프리랜서, 1인 유한책임회사(LLC), 또는 혼자 일하는 개인사업자라면 사이버보안 지침이 자신을 염두에 두고 작성된 것이 아니라고 생각해왔을 것이다. 대부분의 지침은 IT 부서를 대상으로 하는 것처럼 읽힌다—설정해야 할 방화벽, 교육해야 할 직원, 조율해야 할 보안팀. 하지만 당신에게는 그런 것이 하나도 없다. 노트북 한 대, 휴대폰 한 대, 몇몇 고객 계정, 그리고 그다지 넉넉하지 않은 여유 시간이 전부다.
NIST도 바로 이 공백을 발견했고, 이에 대한 조치를 취했다. 2026년 4월, 미국 국립표준기술연구소(NIST)는 소상공인 사이버보안 지침의 초안 개정판을 발표했으며, 이번이 처음으로 "무직원 기업"—대표자 본인 외에는 유급 직원이 없는 사업체—을 명시적으로 대상으로 한다. 이는 결코 소수 사례가 아니다. 미국 중소기업청(SBA)에 따르면 미국에는 3,480만 개의 소상공인이 있으며, 그중 81.9%—2,800만 개 이상—가 직원이 전혀 없다. 혼자서 사업을 운영하고 있다면, 당신은 예외적인 경우가 아니라 압도적인 다수에 속한다.
CSWP 50이란 정확히 무엇인가?
정식 명칭이 NIST CSWP 50: 소상공인 사이버보안: 무직원 기업인 이 새 발간물은 2009년부터 존재해온 문서(원래 명칭 NIST IR 7621)의 개정판이다. 이는 은행, 병원, 포춘 500대 기업이 사용하는 것과 동일한 위험관리 프레임워크인 NIST 사이버보안 프레임워크(CSF) 2.0을 기반으로 하되, 컨설턴트를 고용하지 않고도 1인 사업체가 실제로 실행할 수 있는 수준으로 축소한 것이다.
이전에 NIST 지침을 보고 너무 방대하다고 느꼈다면 주목할 만한 몇 가지 변화가 이번 개정판에 담겨 있다:
- 범위 축소. 이전 버전은 일반적인 정보보안 전반을 다루려 했다. CSWP 50은 사이버보안—디지털 시스템과 데이터를 위협으로부터 보호하는 것—에 구체적으로 초점을 맞춰, 더 다루기 쉽고 명확한 목표를 제시한다.
- 훑어보기 쉬운 구성. 내용이 빽빽한 산문이 아니라 표 형태로 배치되어 있어, 처음부터 끝까지 다 읽지 않고도 자신의 상황에 맞는 부분만 찾아볼 수 있다.
- 세 가지 실제 사례. 이 초안에는 아주 작은 사업체가 실제로 지침을 어떻게 적용하는지 보여주는 구체적인 예시가 포함되어 있어, 추상적인 원칙을 스스로 해석할 필요가 없다.
- 성장 경로 고려. 일부 무직원 기업은 영원히 1인 체제를 유지할 계획인 반면, 다른 기업은 결국 직원을 고용하게 된다는 점을 인정하고, 모두가 IT 부서를 갖춘 "제대로 된" 회사로 성장하는 궤도에 있다고 가정하지 않은 채 두 경로 모두에 대한 지침을 제공한다.
이 초안에 대한 공개 의견 수렴 기간은 2026년 5월 14일에 마감되었으며, NIST는 올해 안에 최종 지침을 확정할 것으로 예상된다. 아직 최종 표준이 아닌 초안 단계이지만, 이 지침이 시사하는 방향은 기다리지 않고 지금 바로 실행에 옮길 만한 가치가 있다.
이것이 보이는 것보다 더 중요한 이유
사이버보안은 "대기업"의 문제이며, 1인 부기 사무소나 혼자 일하는 웹 개발자를 굳이 노릴 사람은 없을 것이라고 가정하기 쉽다. 그러나 데이터는 정반대를 말해준다.
전체 사이버공격 중 상당수가 소상공인을 겨냥하고 있으며, 업계 유출 보고서에 따르면 특정 연도에 소상공인의 연간 침해 발생률은 대략 전체 소기업의 절반에 달한다. 실제로 침해가 발생하면, 중소기업이 부담하는 전형적인 비용은 다운타임, 복구, 통지 의무, 고객 신뢰 상실을 모두 포함할 경우 낮은 6자리 수에서 7자리 수에 이르며, 심각한 침해를 겪은 소상공인 중 다수는 장기적으로 살아남지 못한다. 이러한 사고 중 상당수에는 랜섬웨어가 관련되어 있으며, 중간값 지불액은 6자리 수 후반대에 달해 종종 1인 사업자의 연 매출 전체를 넘어서기도 한다.
프리랜서 특유의 위험도 실재한다. 계약자 및 프리랜서 계정의 침해는 업계 전반의 유출 사고 중 상당 부분과 연관되어 있으며, 이는 흔히 고객이 공유 시스템에 접근 권한을 부여한 뒤 아무도 이를 나중에 잠그지 않았기 때문이다. 다른 기업을 위해 계약 업무를 수행한다면, 당신의 보안 수준은 단순히 자신만의 위험이 아니라 그들의 시스템으로 들어가는 문이 된다.
그럼에도 대비 수준의 격차는 매우 크다. 직원 수 50명 미만인 기업의 거의 절반이 전용 사이버보안 예산이 전혀 없다고 답했으며, 사이버보험에 가입한 소상공인은 극히 일부에 불과하다. 예방은 복구보다 훨씬 저렴하며—흔히 50배에서 60배 더 저렴하다고 추산되지만—문제가 발생하기 전까지 이를 위한 예산을 세우는 사람은 거의 없다.
1인 기업을 위해 풀어쓴 6가지 기능
CSF 2.0은 사이버보안 업무를 여섯 가지 기능으로 구성한다: 거버넌스(Govern), 식별(Identify), 보호(Protect), 탐지(Detect), 대응(Respond), 복구(Recover). 보안팀을 갖춘 회사에서는 이 각각이 하나의 부서다. 1인 사업자에게는 각 기능이 1년에 몇 번씩 다시 살펴보는 체크리스트 항목에 가깝다. 실제로 어떤 모습인지 살펴보자:
거버넌스(Govern) — 어떤 데이터를 다루는지, 그리고 자신의 위험 허용 수준이 어느 정도인지 서면으로(간단한 문서라도 괜찮다) 정해두라. 고객의 재무 기록, 의료 정보, 결제 정보를 보관하고 있다면 위험 허용 수준은 낮아야 하며, 실제 업무 방식에도 그 점이 반영되어야 한다.
식별(Identify) — 간단한 목록을 작성하라. 업무에 어떤 기기를 사용하는가? 민감한 데이터를 보유한 계정은 무엇인가—이메일, 클라우드 저장소, 회계 소프트웨어, 고객 포털 등. 목록화하지 않은 것은 보호할 수 없다.
보호(Protect) — 1인 사업체에게 실질적인 가치가 가장 많이 담긴 부분이다:
- 비밀번호 관리자를 사용하고, 지원하는 모든 계정—특히 이메일과 금융 도구—에서 다중 인증(MFA)을 활성화하라. 이메일은 다른 거의 모든 것을 복구하는 열쇠와 같다.
- 업데이트를 미루지 말고 소프트웨어와 운영체제가 자동으로 업데이트되도록 설정하라.
- 노트북의 하드디스크를 암호화하라(최신 Windows와 macOS에는 내장되어 있으며 켜기만 하면 된다).
- 고객 데이터와 재무 데이터를 주 기기와 분리된 곳에 백업하라—클라우드 백업이나 항상 연결되어 있지 않은 외장 드라이브를 이용하라.
- 계약자나 하도급자를 이용한다면, 해당 업무에 필요한 것보다 더 많은 시스템 접근 권한을 주지 말고, 작업이 끝나면 즉시 권한을 회수하라.
탐지(Detect) — 이메일, 은행, 주요 클라우드 계정에서 로그인 알림과 이상 활동 알림을 켜두라. 1인 사업체에는 별도의 모니터링 시스템이 없겠지만, 대부분의 주요 서비스 제공업체는 옵트인만 해두면 이상이 감지될 때 무료로 알려준다.
대응(Respond) — 침해가 의심될 때 무엇을 할지 필요해지기 전에 미리 적어두라. 어떤 계정을 가장 먼저 잠글지, 누구에게 알려야 할지(고객, 은행, 보험사가 있다면 보험사), 백업이 어디에 있는지 등이다. 미리 침착하게 결정해두는 것이 공황 상태에서 결정하는 것보다 훨씬 낫다.
복구(Recover) — 백업으로부터 시스템과 데이터를 어떻게 복원할지 파악해두고, 실제로 필요해지기 전에 백업이 제대로 작동하는지 미리 테스트하라. 테스트하지 않은 백업은 계획이 아니라 희망일 뿐이다.
30분 만에 시작하는 체크리스트
CSF의 여섯 가지 기능을 한 번에 모두 실행할 필요는 없다. 오늘 당장 실행하고 싶다면, 가장 가치가 높은 항목부터 다루는 현실적인 출발점은 다음과 같다:
- 이메일, 은행, 고객 대상 포털에서 다중 인증(MFA)을 켜라. 이것만으로도 비밀번호가 유출되더라도 계정 탈취 시도의 대다수를 막을 수 있다.
- 비밀번호 관리자를 설치하고 계정마다 비밀번호를 재사용하지 마라. 유출된 사이트에서 재사용된 비밀번호 하나가 1인 사업자 계정이 침해되는 가장 흔한 경로 중 하나다.
- 백업이 실제로 작동하는지 확인하라. 클라우드 동기화가 이루어지고 있다고 그냥 믿지 말고, 파일 하나를 골라 로컬에서 삭제한 뒤 백업에서 복원해 프로세스가 제대로 작동하는지 직접 증명하라.
- 고객 데이터가 저장된 모든 위치를 나열하라—이메일 첨부파일, 공유 드라이브, 청구서 발행 도구, 회계 소프트웨어 등—그리고 각각에 MFA가 활성화되어 있는지 확인하라.
- 두 문단짜리 사고 대응 계획을 작성하라. 누구에게 연락할지, 무엇을 가장 먼저 잠글지, 백업은 어디에 있는지. 형식을 갖출 필요는 없다. 공황 상태에 빠지기 전에 존재하기만 하면 된다.
- 분기마다 계약자와 앱 접근 권한을 검토하라. 이미 끝난 프로젝트를 위해 부여했던 권한은 모두 회수하라.
이 중 어느 것도 예산이나 보안 배경지식을 필요로 하지 않는다—이는 IT 프로젝트라기보다 오후 한나절 동안 계정 설정을 손보는 일에 가깝다.
앞으로의 전망
CSWP 50은 아직 초안 단계이므로, NIST가 이를 최종 확정하기 전에 구체적인 문구와 구조가 바뀔 수 있다. 그러나 1인 기업 규모에 맞춘 평이한 언어와 사례 중심의 지침이라는 방향성이 뒤집힐 가능성은 낮으며, 이 지침의 기반이 되는 CSF 2.0 기능들은 이미 확정되어 안정적이다. 미리 앞서가고 싶다면, 위에서 제시한 실행 단계는 최종 문서가 어떻게 작성되든 프레임워크와 그대로 맞아떨어지므로, 최종본을 기다리기보다 지금 바로 시작해도 손해볼 것이 거의 없다.
이는 또한 규제 기관과 표준 제정 기구가 어디에 초점을 맞추고 있는지를 보여주는 유용한 신호이기도 하다. 1인 및 무직원 기업은 IT 직원을 갖춘 회사를 위한 조언에 덧붙여진 부수적 존재가 아니라, 그 자체로 독자적인 지침을 받을 가치가 있는 별도 범주로 점점 더 취급되고 있다. 데이터 유출 통지 규정부터 보험 인수 심사에 이르기까지, "소상공인"의 대부분이 실제로는 한 사람이라는 사실을 명시적으로 반영하는 사례가 앞으로 더 늘어날 것으로 예상된다.
부기와의 연결고리
사이버보안과 재무 기록 관리는 사람들이 예상하는 것보다 훨씬 더 밀접하게 맞물려 있다. 보안 사고는 곧 재무 기록 사고이기도 하기 때문이다. 회계 데이터가 완전히 통제할 수 없는 시스템 안에 존재하거나, 장부가 내보내기 가능한 백업 없이 클라우드 대시보드와의 실시간 연결로만 존재한다면, 계정이 침해될 경우 사고 대응, 보험 청구, 세금 신고처럼 재무 이력이 가장 필요한 바로 그 순간에 이를 잃어버릴 수 있다.
이것이 바로 독점 플랫폼 안에만 장부를 두는 대신 일반 텍스트 형태의 버전 관리되는 파일로 장부를 보관하는 것이 과소평가된 장점을 지니는 이유다. 재무 기록이 공격자가 당신을 차단할 수 있는 단일 로그인 뒤에 갇혀 있지 않기 때문이다. 로컬에 백업된 원장 파일은 브라우저 전용 대시보드와 달리 SaaS 계정이 침해되어도 살아남는다.
재무 관리를 단순하게
1인 사업자로서 사이버보안 관행을 강화하는 김에, "모든 신뢰를 하나의 로그인에 걸어두지 않는다"는 같은 사고방식을 장부에도 확장해볼 만하다. Beancount.io는 재무 데이터에 대한 완전한 투명성과 통제권을 제공하는 일반 텍스트 회계 방식을 제공한다—블랙박스도 없고, 벤더 종속도 없으며, 다른 중요한 파일을 백업하듯 그대로 백업하고 감사할 수 있는 기록을 남긴다. 무료로 시작하기를 통해 왜 개발자와 재무 전문가들이 일반 텍스트 회계로 전환하고 있는지 확인해보라.