사이버 공격은 영화처럼 갑자기 화면을 장악하는 모습으로만 나타나지 않습니다. 재사용한 비밀번호 하나, 미뤄 둔 업데이트, 공개된 공유 링크, 복구 여부를 확인하지 않은 백업처럼 평범한 틈에서 시작되는 경우가 많습니다.
특히 직장인이 생성형 AI와 여러 클라우드 서비스를 함께 쓰면 계정과 데이터가 흩어집니다. 회사 자료를 개인 계정에 옮기거나, AI 대화창에 민감한 내용을 그대로 붙여 넣거나, 출처를 알 수 없는 확장 프로그램을 설치하는 행동은 편리하지만 공격 표면을 넓힙니다.
이 글은 보안 전문가의 침해 대응 지침이 아니라, 여러 AI와 클라우드 서비스를 쓰는 직장인이 NIST CSF 2.0을 개인 계정·기기 점검에 적용한 기록입니다.
미국 국립표준기술연구소(NIST)의 Cybersecurity Framework 2.0은 사이버 보안을 Govern, Identify, Protect, Detect, Respond, Recover의 여섯 기능으로 정리합니다. 거창한 보안팀이 없는 개인과 소규모 사이트도 이 순서로 점검할 수 있습니다.
제 사용 환경에 먼저 대입한 항목
저는 Mac mini 기반의 개인 환경, 워드프레스 블로그, 여러 생성형 AI와 클라우드 계정을 함께 사용합니다. 그래서 일반적인 보안 구호를 나열하기보다, 제 환경에서 놓치기 쉬운 지점을 먼저 점검 항목으로 바꿨습니다.
- 계정: 주 이메일과 워드프레스 관리자 계정의 비밀번호 재사용 여부, 2단계 인증, 연결된 앱을 확인합니다.
- AI 입력: 법령·문서 검토를 요청하기 전에 회사명, 실명, 고객정보와 내부 식별자를 제거했는지 확인합니다.
- 블로그 운영: 코어·테마·플러그인 업데이트와 관리자 계정 수, 최근 백업 시점을 함께 봅니다.
- 로컬 장비: 디스크 암호화, 자동 잠금, 원격 접속 범위와 운영체제 업데이트 상태를 확인합니다.
- 게시 전 검수: 스크린샷의 파일명, 알림, 이메일 주소, 브라우저 프로필처럼 본문 밖에서 노출되는 정보까지 살핍니다.
모든 항목을 한 번에 완벽하게 끝냈다고 말하기보다, 계정·데이터·장비·백업·게시물을 반복해서 확인할 수 있는 목록을 남기는 것이 제게 더 현실적인 보안 방식이었습니다.
1. Govern: 먼저 나만의 보안 원칙을 정한다
도구를 설치할 때마다 판단하면 기준이 흔들립니다. 먼저 “회사 문서는 승인된 계정에서만 사용한다”, “주민번호·고객정보·계약서 원문은 공개형 AI에 입력하지 않는다”, “새 서비스는 개인정보 처리방침과 삭제 방법을 확인한다” 같은 최소 원칙을 정합니다.
회사 정책이 있다면 개인의 편의보다 회사 정책이 우선입니다. 회사명이나 실명을 공개하지 않는 블로그를 운영하더라도, 스크린샷의 알림창·파일명·브라우저 프로필에서 신원이 드러날 수 있으므로 게시 전 별도 확인이 필요합니다.
2. Identify: 지켜야 할 계정과 데이터를 목록으로 만든다
무엇을 가지고 있는지 모르면 보호할 수도 없습니다. 이메일, 워드프레스 관리자, 호스팅, 도메인, 소셜미디어, 클라우드 저장소, GitHub 등 중요한 계정을 한 장에 적습니다. 비밀번호 자체를 문서에 적으라는 뜻이 아니라 계정의 존재, 복구 이메일, 2단계 인증 여부, 데이터 민감도를 기록하라는 뜻입니다.
| 자산 | 확인할 것 |
|---|---|
| 주 이메일 | 2단계 인증, 복구 주소, 로그인 기록 |
| 워드프레스·호스팅 | 관리자 수, 업데이트, 백업 위치 |
| AI 서비스 | 대화 저장, 학습 사용, 연결 앱 |
| 소셜 계정 | 공개 프로필, 위치·연락처 노출, 연결 앱 |
3. Protect: 공격이 들어오기 어렵게 만든다
가장 먼저 해야 할 일은 중요한 계정마다 서로 다른 긴 비밀번호를 쓰고 비밀번호 관리자를 이용하는 것입니다. 가능한 계정에는 인증 앱이나 보안 키 기반의 다중 인증을 설정합니다. 문자 인증도 비밀번호만 사용하는 것보다는 낫지만, 선택할 수 있다면 피싱에 더 강한 방식을 우선합니다.
운영체제, 브라우저, 워드프레스 코어·테마·플러그인은 정기적으로 업데이트합니다. 사용하지 않는 플러그인과 계정은 비활성화에 그치지 말고 필요성을 확인한 뒤 제거합니다. CISA와 FBI도 기본 비밀번호, 알려진 취약점 방치, 안전하지 않은 제품 관행을 반복해서 경고하고 있습니다.
생성형 AI에 자료를 넣기 전에는 AI에 업무 자료를 넣기 전 확인할 개인정보·비밀번호·계정 보안 기준도 함께 점검합니다.
4. Detect: 이상 징후를 빨리 알아차린다
보호 장치를 설치해도 침해 가능성을 0으로 만들 수는 없습니다. 이메일과 소셜 계정의 새 로그인 알림을 켜고, 워드프레스 관리자 목록과 최근 변경 이력을 정기적으로 봅니다. 평소와 다른 지역의 로그인, 내가 만들지 않은 관리자, 갑자기 늘어난 외부 링크, 알 수 없는 광고나 리디렉션은 확인이 필요한 신호입니다.
한 달에 한 번 10분 점검일을 정하면 좋습니다. 중요 계정의 로그인 기록, 연결된 앱, 워드프레스 업데이트 상태, 백업 성공 여부를 같은 날 확인합니다.
5. Respond: 사고가 나면 순서를 지킨다
계정 침해가 의심되면 당황해서 모든 것을 한꺼번에 지우기보다 증거와 복구 경로를 먼저 확보합니다.
- 안전한 기기에서 주 이메일과 호스팅 계정부터 비밀번호를 변경합니다.
- 열려 있는 세션을 종료하고 모르는 연결 앱을 해제합니다.
- 호스팅사의 접근 로그와 변경 시점을 보존합니다.
- 회사 정보가 관련됐다면 내부 보안 담당자에게 즉시 알립니다.
- 영향받은 이용자가 있다면 관련 법과 조직 절차에 따라 통지합니다.
6. Recover: 백업이 아니라 복구 가능성을 확인한다
백업 파일이 존재해도 실제로 열리지 않거나 감염 이후의 상태만 남아 있다면 복구할 수 없습니다. 사이트 파일과 데이터베이스를 함께 백업하고, 운영 서버와 다른 위치에 사본을 둡니다. 최소한 분기마다 테스트 환경에서 복원해 보는 것이 좋습니다.
복구 후에는 “무엇이 뚫렸는가”뿐 아니라 “왜 늦게 알았는가, 다음에는 어떤 알림과 권한을 바꿀 것인가”를 기록합니다. 보안은 한 번 설치하고 끝나는 제품이 아니라 운영 습관입니다.
오늘 바로 할 수 있는 15분 점검
- 주 이메일과 워드프레스 관리자에 2단계 인증이 켜져 있는지 확인
- 사용하지 않는 관리자 계정과 연결 앱 확인
- 워드프레스 코어·테마·플러그인 업데이트 상태 확인
- 최근 백업 날짜와 파일·데이터베이스 포함 여부 확인
- 공개 게시물과 스크린샷에 실명·회사명·이메일이 보이는지 확인
완벽한 방어보다 중요한 것은 위험을 알고, 기본 보호를 적용하고, 이상을 발견하고, 사고 후 복구할 수 있는 체계를 갖추는 것입니다. 작은 블로그와 개인 계정도 여섯 단계를 반복하면 ‘설마 나에게’에 기대는 것보다 훨씬 강해집니다.
참고한 공식 자료
온라인 서비스에 넘기는 정보의 범위를 정하려면 디지털 생활에서 선택권과 개인정보를 지키는 점검표도 함께 활용할 수 있습니다.
작성·공식 링크 재검토 기준일: 2026년 8월 29일. 이 글은 개인 환경에 적용한 점검 기록이며, 실제 침해 사고는 소속 조직·호스팅사·보안 전문가의 절차에 따라 대응하세요.