중소기업의 보안 대책, 무엇부터 시작할까 ── IPA 「중소기업의 정보보안 대책 가이드라인」제4.0판 활용법

「거래처로부터 보안 대책에 관한 체크시트를 받았는데, 무엇을 어디까지 해야 할지 모르겠다」

「보안이 중요하다는 것은 알지만, 전담 담당자를 둘 여유가 없다」

「대책이라고 해도 무엇에 얼마가 드는지 감이 잡히지 않아 손을 대지 못하고 있다」

중소기업의 보안 대책 상담은 대개 이런 형태로 시작됩니다.

사실 이 「무엇부터, 어디까지」에 답하기 위한 공적인 지침서가 있습니다. IPA(독립행정법인 정보처리추진기구)가 공개하는 중소기업의 정보보안 대책 가이드라인입니다. 2026년 3월 27일에는 약 3년 만의 대규모 개정인 제4.0판이 공개되었습니다.

이 글에서는 제4.0판의 내용을 바탕으로, 전담 담당자가 없는 회사가 보안 대책을 어떤 순서로 진행하면 좋을지를 정리합니다.

1. 먼저 결론

가이드라인 제4.0판이 제시하는 진행 방식을 먼저 정리합니다.

• 가장 먼저 할 일은 값비싼 제품 도입이 아니라 「정보보안 6개 조항」이다. 기업 규모와 관계없이 반드시 실행해야 할 기본 대책으로, 큰 비용은 들지 않는다
• 다음으로 부록의 「5분 만에 할 수 있다! 정보보안 자사 진단」(25개 항목)으로 자사의 현재 상태를 파악하고, 되어 있지 않은 항목부터 개선한다
• 대응을 시작했다면 IPA의 「SECURITY ACTION」으로 자기 선언한다(무료). 거래처에 대한 설명 자료가 되며, 공적 지원제도의 요건이 되기도 한다
• 그 위에서 기본방침 작성, 규정 정비, 사고 대응 체제로 단계적으로 나아간다
• 경영자에게는 「대책은 경영자의 리더십으로 진행한다」「위탁처의 대책까지 고려한다」등, 담당자에게 맡겨 두기만 해서는 안 되는 역할이 있다

한마디로 하면, 「단번에 완벽을 목표로 하지 않고, 정해진 순서로, 할 수 있는 것부터 단계적으로」가 이 가이드라인의 설계 사상입니다.

2. 「중소기업의 정보보안 대책 가이드라인」이란

이 가이드라인은 중소기업이 중요한 정보를 유출·변조·소실 등의 위협으로부터 지키고, 사업 지속에 미치는 영향을 막기 위한 사고방식과 절차를 정리한 문서입니다. 초판은 2016년 11월에 공개되었으며, 이후 중소기업용 보안 대책의 사실상의 표준으로 사용되어 왔습니다. 개인사업자나 소규모 사업자도 대상에 포함됩니다.

구성은 크게 3부분으로 나뉩니다.

본문은 약 70페이지에 이르지만, 뒤에서 설명하듯이 처음부터 통독할 필요는 없습니다. 자사의 단계에 맞는 곳부터 시작할 수 있도록 만들어져 있습니다.

읽는 법 가이드 ── 누가, 어디부터 읽을 것인가

입장에 따라 먼저 펼쳐야 할 곳은 다릅니다. 다음 순서로 읽으면 자신과 관계없는 부분을 건너뛸 수 있습니다.

즉 경영자가 읽는 것은 제1부뿐이고, 담당자가 읽는 것은 실천편과 부록이라는 것이 기본적인 역할 분담입니다. 모든 사람이 전부를 읽을 필요는 없습니다.

제4.0판에서 무엇이 바뀌었는가

제4.0판으로의 개정에서는 제3.1판(2023년 4월) 이후의 환경 변화로 다음 세 가지가 제시되어 있습니다.

• 랜섬웨어로 인한 피해가 정보 유출에 그치지 않고 사업 활동의 정지로까지 확대되었다
• 국내외에서 공급망을 통한 피해가 확산되어, 거래망 전체에 걸쳐 대책을 진행할 필요성이 높아졌다
• 중소기업 내부에서 보안 대책을 추진할 인재가 현저히 부족하다

이를 반영해 「정보보안 5개 조항」에 「백업을 받자!」를 추가해 6개 조항으로 확충하고, 경제산업성과 내각관방 국가사이버통괄실이 검토를 진행 중인 SCS 평가제도(공급망 강화를 위한 보안 대책 평가제도)를 반영한 조직적 대책·기술적 방어책의 정리, 보안 인재의 확보·육성을 지원하는 실천 가이드북(부록1)의 추가 등이 이루어졌습니다.

이 SCS 평가제도는 제4.0판이 공개된 2026년 3월 시점에서는 아직 검토·제도 설계가 진행되고 있는 단계입니다. 이미 운용이 시작되어 지금 신청할 수 있는 인증제도가 아닙니다. 가이드라인이 하고 있는 것도 「제도가 요구하게 될 대책을 미리 정리해 두는」 것이지, 「이 제도를 취득하라」는 것이 아닙니다. 거래처로부터 평가제도 이야기가 나왔을 때 당황하지 않도록, 최신 상황은 경제산업성의 공표 자료로 확인하시기 바랍니다.

「백업」과 「공급망」이라는 개정의 두 축은 그대로 지금 중소기업이 직면한 위협을 반영하고 있습니다. 랜섬웨어와 거래처 경유 공격은, IPA가 매년 공표하는 「정보보안 10대 위협」의 조직편에서도 2026년판에서 각각 1위(11년 연속)·2위(8년 연속)를 차지하고 있습니다(자세한 내용은 정보보안 10대 위협 2026 해설 기사를 참고하시기 바랍니다).

3. 경영자편 ── 대책은 「담당자의 일」이 아니다

제1부 경영자편은 기술적인 이야기를 거의 하지 않습니다. 쓰여 있는 것은 대책을 게을리했을 때 무엇을 잃는지(사업 정지, 신뢰 실추, 손해배상), 경영자가 어떤 법적 책임을 지는지(개인정보보호법의 안전관리조치, 회사법상의 충실의무 등), 그리고 경영자는 무엇을 해야 하는지입니다.

경영자가 인식해야 할 3원칙으로 다음이 제시되어 있습니다.

1. 보안 대책은 경영자의 리더십으로 진행한다
2. 위탁처의 보안 대책까지 고려한다
3. 관계자와는 항상 보안에 관한 소통을 나눈다

그 위에서 실행해야 할 「중요 7항목의 대응」으로, 조직 전체의 대응 방침을 정한다, 예산이나 인재 등을 확보한다, 필요하다고 판단되는 대책을 검토시켜 실행을 지시한다, 대책의 적절한 재검토를 지시한다, 긴급 시 대응이나 복구를 위한 체제를 정비한다, 위탁이나 외부 서비스 이용 시 보안에 관한 책임을 명확히 한다, 최신 동향을 수집한다는 경영자의 업무가 제시되어 있습니다.

현장 직원의 입장에서 보면 보안 대책은 편의성이 떨어지는 번거로운 작업으로 비치기 쉽습니다. 그렇기 때문에 「경영자가 판단하고 의사결정하며 주도한다」는 것이 제1원칙에 놓여 있습니다. 담당자에게 「알아서 해 둬」라고 맡기기만 해서는 기능하지 않는다는 것이, 이 가이드라인이 일관되게 취하는 입장입니다.

4. 실천편 ── 3단계로 진행한다

제2부 실천편은 「할 수 있는 것부터 시작한다」→「조직적인 대응을 시작한다」→「본격적으로 대응한다」는 단계 구성으로 되어 있습니다.

단계1: 할 수 있는 것부터 시작한다                  ── 추가 비용이 거의 필요 없음／오늘부터 착수 가능
        정보보안 6개 조항을 실행한다
        ↓
단계2: 조직적인 대응을 시작한다                    ── 추가 비용이 거의 필요 없음／진단은 25개 항목으로 5분
        정보보안 기본방침을 만들어 알린다            기본방침은 부록2의 샘플을 고쳐서 작성
        「5분 만에 할 수 있다! 자사 진단」(25개 항목)으로 실시 상황을 파악한다
        되어 있지 않은 대책을 정해 알린다
        ↓
단계3: 본격적으로 대응한다                        ── 여기부터 공수가 소요됨／인력과 시간 확보가 필요
        규정 작성, 자산관리, 공격의 방어·탐지,
        점검과 개선, 사고 대응 체제, 거래처 관리
        ↓
그 위에: 더욱 강화하기 위한 방책                    ── 필요에 따라. 제품·외부 서비스 비용이 수반됨
        리스크 분석, 웹사이트·클라우드·재택근무 대책 등

중요한 것은 단계1과 단계2까지는 특별한 지식도 큰 비용도 거의 필요하지 않다는 점입니다. 6개 조항은 모두 Windows나 클라우드 서비스의 표준 기능과 운영 재검토로 실행할 수 있고, 자사 진단은 체크시트에 답하기만 하면 되며, 기본방침과 규정은 부록의 샘플을 고쳐서 작성합니다. 첫머리의 「무엇에 얼마가 드는지 감이 잡히지 않는다」는 질문에 대한 답은, 적어도 단계2까지는 「거의 0원」입니다. 비용과 공수가 본격적으로 필요해지는 것은 단계3부터로, 「예산이 없어서 아무것도 할 수 없다」가 아니라 「예산이 없어도 여기까지는 오늘부터 시작할 수 있다」는 설계로 되어 있습니다.

5. 정보보안 6개 조항 ── 첫걸음의 내용

단계1의 「정보보안 6개 조항」은 기업 규모와 관계없이 반드시 실행해야 할 기본 대책입니다.

4번째 열은 가이드라인 본문의 기재 사항이 아니라, 추가 비용 없이 착수할 수 있는 구체적인 수단으로 보완한 것입니다.

제4.0판에서 추가된 5번째 「백업」에 대해서는, 취득(대상과 간격을 정한다), 보관(장소와 세대 관리와 기간을 정한다), 복구(계획을 세우고 올바르게 복원할 수 있음을 확인한다)의 3가지 세트로 운용할 것이 제시되어 있습니다. 랜섬웨어로 원본 데이터까지 함께 암호화되지 않도록 운영 환경에서 분리해 보관하는 것과, 「받아 둔 줄 알았던 백업이 실은 복원되지 않는다」를 방지하는 복구 확인까지 포함해야 비로소 대책으로 성립합니다.

어느 항목이든 글로 써 보면 당연해 보입니다. 그러나 실제 피해의 상당수는 이 당연한 것이 철저히 지켜지지 않는 지점에서 발생합니다. 먼저 이 6개 항목을, 경영자의 톱다운으로 전사에 철저히 시행하는 것이 출발점입니다.

6. 5분 만에 할 수 있는 자사 진단과, 2단계부터의 조직적인 대응

단계2의 중심이 되는 것이 부록3의 「5분 만에 할 수 있다! 정보보안 자사 진단」입니다. 25개 항목의 질문에 「실시하고 있다/일부 실시하고 있다/실시하지 않고 있다/모른다」로 답해 나가기만 하면 자사의 현재 상태와 약점이 눈에 보이게 됩니다.

제4.0판에서는 진단의 대책 예시가 재검토되어 「외부에서 내부 네트워크로의 불필요한 통신을 차단한다」「웹사이트를 안전하게 운영한다」와 같이 최근의 침입 경로를 반영한 항목도 추가되었습니다. VPN 기기의 취약점을 노린 침입이나 방치된 웹사이트의 변조는 실제로 중소기업에서 피해가 이어지고 있는 경로입니다(웹사이트 쪽 대책은 별도 글 IPA 「안전한 웹사이트 제작법」 활용법에서 자세히 다룹니다).

진단 결과는 점수를 경쟁하기 위한 것이 아닙니다. 「되어 있지 않은 항목 중 자사 업무에 리스크가 큰 것부터 고친다」는 우선순위 판단 자료로 사용합니다.

7. SECURITY ACTION ── 대응을 「가시화」하는 무료 제도

대응을 시작했다면 함께 활용하고 싶은 것이 SECURITY ACTION입니다. 중소기업이 스스로 정보보안 대책에 대응할 것을 자기 선언하는 제도로, 대응 단계에 따라 「별 하나」「별 둘」의 로고 마크를 무료로 사용할 수 있습니다.

자기 선언이므로 심사는 없지만, 그만큼 바로 시작할 수 있습니다. 명함이나 웹사이트에 로고를 게재하면 거래처에 대한 설명 자료가 되고, IT 도입 보조금을 비롯한 공적 지원제도에서 선언이 신청 요건으로 요구되는 경우도 있습니다.

선언 절차는 IPA의 자기 선언 신청 방법 페이지에 다음과 같은 흐름이 제시되어 있습니다.

1. 대응 목표를 정한다(별 하나인지 별 둘인지)
2. GビズID(GBizID)를 취득한다(법인·개인사업자는 프라임 계정. gBizID 사이트에서 신청합니다)
3. 신청 양식에 입력한다(개인정보 취급에 대한 동의, 로고 마크 사용규약에 대한 동의, 사업자 정보, 대응 내용 선택)
4. 완료 메일을 받는다(자기 선언 ID와 로고 마크 사용 방법이 통지됩니다)
5. 로고 마크를 다운로드한다(임의. SECURITY ACTION 관리 시스템에 GBizID로 로그인하여 마이페이지에서 취득합니다)

IPA는 GBizID 취득부터 로고 마크 사용까지 최단 1일 만에 실시할 수 있다고 밝히고 있습니다. 또한 신청 창구는 2026년 4월 1일에 공개된 「SECURITY ACTION 관리 시스템」으로 새로 바뀌었으므로, 예전에 선언했던 기억이 있는 분도 현재의 절차를 위 페이지에서 확인하시기 바랍니다. 별 하나는 「앞으로 6개 조항에 대응할 것을 선언하는」 것이므로, 대책이 완료되지 않았어도 신청할 수 있습니다.

거래처로부터 보안 체크시트를 받고 당황하고 있는 단계의 회사라면, 「가이드라인에 따라 6개 조항과 자사 진단부터 대응하고 있습니다. SECURITY ACTION도 선언했습니다」라고 답할 수 있는 상태를 만드는 것이 현실적이고 성실한 첫걸음이 됩니다.

8. 부록은 「서식 모음」으로 활용할 수 있다

이 가이드라인의 실무적인 가치는 부록에 있다고 해도 될 정도입니다. 제4.0판에는 다음 8가지가 첨부되어 있으며, 모두 IPA 페이지에서 무료로 다운로드할 수 있습니다.

• 부록1: 중소기업을 위한 보안 인재 확보·육성 실천 가이드북(제4.0판에서 신규 추가)
• 부록2: 정보보안 기본방침(샘플)
• 부록3: 5분 만에 할 수 있다! 정보보안 자사 진단
• 부록4: 정보보안 핸드북(서식)
• 부록5: 정보보안 관련 규정(샘플)
• 부록6: 자산관리대장(샘플)
• 부록7: 중소기업을 위한 클라우드 서비스 안전 이용 지침서
• 부록8: 중소기업을 위한 보안 사고 대응 지침서

기본방침도 규정도 자산관리대장도 처음부터 작성할 필요가 없습니다. 샘플을 자사에 맞게 수정하는 것이 기본 전제인 구성입니다. 사내 규정 정비에서 멈춰 있는 회사는 부록2와 부록5부터 손을 대면 빠르게 진행됩니다.

또한 일상적인 운영에 가까운 곳에서는, 비밀번호가 걸린 ZIP 파일을 메일로 보내는 이른바 PPAP의 재검토(왜 PPAP는 안 되는가)나, 폐기하는 PC로부터의 정보 유출 대책(Windows PC 폐기 전 체크리스트)과 같은 개별 주제도 이 가이드라인의 사고방식과 맞닿아 있습니다.

정리

IPA 「중소기업의 정보보안 대책 가이드라인」제4.0판의 요점을 정리합니다.

• 2026년 3월 27일 공개. 랜섬웨어로 인한 사업 정지, 공급망 경유 피해, 인재 부족이라는 환경 변화를 반영한 개정
• 진행 방식은 단계식. 먼저 정보보안 6개 조항, 다음으로 25개 항목의 자사 진단, 그 위에서 방침·규정·체제 정비로
• 6개 조항에는 「백업을 받자!」가 추가되었다. 취득·보관·복구 확인까지가 백업이다
• 경영자에게는 3원칙과 중요 7항목의 대응이 있으며, 담당자에게 맡겨 두기만 해서는 안 된다
• SECURITY ACTION의 자기 선언(무료)으로 대응을 가시화할 수 있으며, 공적 지원제도의 요건이 되기도 한다
• 부록 8가지는 서식 모음으로 그대로 실무에 활용할 수 있다

보안 대책은 「무엇을 하면 좋을지 모르겠다」는 것이 가장 큰 장벽이지만, 그 부분은 공적인 가이드라인이 이미 답을 준비해 두었습니다. 남은 것은 자사 환경에 대입하여 실행하는 단계입니다.

자사 환경에 적용하는 단계에서 어려움을 겪고 계신 분께

6개 조항의 「OS와 소프트웨어를 최신 상태로」를 실행하려고 하면, 「오래된 업무 애플리케이션이 새로운 OS에서 작동하지 않아 업데이트할 수 없다」는 벽에 부딪히는 회사가 적지 않습니다. 또한 자사 진단에서 발견된 과제를 어떤 순서로 고칠지는 업무 시스템의 구성에 따라 달라집니다.

합동회사 코무라소프트는 Windows 업무 애플리케이션과 웹 시스템의 개발·유지보수 경험을 바탕으로, 업데이트를 가로막는 기존 소프트웨어의 개수나 대책의 우선순위 판단에 관한 상담을 받고 있습니다. 「진단은 해 봤지만 여기서부터는 기술적인 이야기가 되어 진행이 안 된다」는 단계에서도 현재 상태 확인부터 상담하실 수 있습니다.

관련 기사

같은 태그를 공유하는 최신 기사입니다. 더 가까운 주제로 지식을 넓힐 수 있습니다.

관련 토픽

이 기사와 가까운 토픽 페이지입니다. 기사를 출발점 삼아 관련 서비스와 다른 기사로 이어집니다.

이 주제와 연결되는 서비스

이 기사는 다음 서비스 페이지로 이어집니다. 가까운 입구부터 확인해 주세요.

자주 묻는 질문

이 기사 주제에 대해 상담 시 자주 나오는 질문을 모았습니다.

정보보안 6개 조항이란 무엇인가요?

IPA의 「중소기업의 정보보안 대책 가이드라인」제4.0판에서 제시하는, 기업 규모와 관계없이 반드시 실행해야 할 기본 대책입니다. ①OS와 소프트웨어를 항상 최신 상태로 유지한다, ②백신 소프트웨어를 도입한다, ③비밀번호를 강화한다, ④공유 설정을 재검토한다, ⑤백업을 받는다, ⑥위협과 공격 수법을 안다, 이렇게 6가지 항목입니다. 제3.1판까지는 5개 조항이었지만, 랜섬웨어 피해 확대를 반영해 「백업을 받자!」가 추가되어 6개 조항이 되었습니다.

SECURITY ACTION의 별 하나와 별 둘은 무엇이 다른가요?

별 하나는 「정보보안 6개 조항」에 대응할 것을 스스로 선언하는 것으로, 앞으로 대책을 시작하는 기업도 바로 선언할 수 있습니다. 별 둘은 가이드라인 부록의 「5분 만에 할 수 있다! 정보보안 자사 진단」으로 자사 상황을 파악한 뒤, 「정보보안 기본방침」을 정해 외부에 공개하고 대책에 대응할 것을 선언하는 것입니다. 어느 쪽이든 IPA에 대한 자기 선언이며, 비용은 들지 않습니다.

전담 IT 담당자가 없는 회사는 무엇부터 시작해야 하나요?

가이드라인의 실천편은 「할 수 있는 것부터 시작한다」는 구성으로 되어 있습니다. 먼저 경영자의 톱다운으로 정보보안 6개 조항을 실행하고, 다음으로 부록3 「5분 만에 할 수 있다! 정보보안 자사 진단」의 25개 항목으로 현재 상태를 파악해, 되어 있지 않은 항목부터 개선한다는 순서가 제시되어 있습니다. 6개 조항과 자사 진단 모두 특별한 지식이나 큰 비용을 필요로 하지 않는 내용입니다.

제4.0판은 제3.1판에서 무엇이 바뀌었나요?

2026년 3월 27일에 공개된 제4.0판에서는 랜섬웨어 피해로 인한 사업 정지, 공급망을 통한 피해 확산, 보안 인재 부족이라는 환경 변화를 반영한 개정이 이루어졌습니다. 구체적으로는 「정보보안 5개 조항」에 「백업을 받자!」를 추가해 6개 조항으로 확충하고, 경제산업성 등이 검토를 진행 중인 SCS 평가제도(공급망 강화를 위한 보안 대책 평가제도)를 반영한 대책 정리, 보안 인재의 확보·육성을 지원하는 실천 가이드북 부록 추가 등이 이루어졌습니다.

저자 프로필

기사 저자의 프로필 페이지입니다.

Go Komura

합동회사 코무라소프트 대표

Windows 소프트웨어 개발, 기술 상담, 장애 조사를 중심으로 재현이 어려운 장애 조사와 기존 자산이 남아 있는 프로젝트에 강점이 있습니다.