무료 자료
중소기업 IT 준비 상태 체크리스트
피츠버그와 클리블랜드의 모든 소규모 기업이 자사 기술에 대해 답할 수 있어야 하는 22개 질문입니다. 각 질문에는 초록, 노랑, 빨강 답변과 한 가지 다음 단계가 있습니다. 소요 시간은 약 20분입니다.
전체 체크리스트는 이 페이지에 있으며, 인쇄용 채점표에는 같은 질문과 체크 박스가 들어 있습니다.
약 20분소요
22개 질문6개 영역
점수 산정무엇부터 고쳐야 할지 알 수 있습니다
다루는 플랫폼
평가 기준 안내
현재 귀사의 상황에 맞는 답변을 클릭하세요. 누적 점수는 "점수 확인" 섹션에 표시됩니다.
녹색: 양호한 상태입니다노란색: 가까운 시일 내에 개선이 필요합니다빨간색: 가장 먼저 해결하세요
1. ID 및 접근
비밀번호가 도난당하면 공격자가 이메일과 파일에 바로 들어올 수 있습니다. 대응 비용이 적게 들기 때문에 이 네 가지 질문을 가장 먼저 둡니다.
Q1.모든 업무용 앱에서 모든 사용자에게 다단계 인증을 요구하나요?
초록Microsoft 365 / Google, VPN, 원격 접속, 은행 업무, 업무용 애플리케이션, 모든 관리자 계정에 MFA가 강제 적용되어 있습니다. 가급적 피싱에 강한 방식(패스키, FIDO2, 숫자 일치 확인)을 사용합니다.
노랑이메일에는 MFA가 있지만 다른 앱에는 없거나, SMS만 쓰는 MFA(피싱에 취약)입니다.
빨강MFA가 선택 사항이거나 꺼져 있습니다.
다음 단계: Microsoft와 Google 모두 MFA를 추가 비용 없이 제공합니다. 30일 이내에 모든 곳에서 켜세요.
Q2.직원들이 비밀번호 관리자를 사용하며, 비밀번호 재사용은 완전히 없나요?
초록회사가 비용을 부담하는 비밀번호 관리자(1Password, Bitwarden, Keeper, Dashlane)에 공유 보관소가 있고, 모두가 사용합니다.
노랑일부는 관리자를 쓰지만, 다른 사람들은 비밀번호를 재사용하거나 스프레드시트에 보관합니다.
빨강관리자가 없고, Summer2024 같은 계절성 비밀번호가 흔합니다.
다음 단계: 비즈니스 요금제를 결제하세요. 무료 및 개인 요금제에는 복구, 역할 기반 공유, 감사 로그가 없습니다. 사용자당 월 $4에서 $8 정도를 예산으로 잡으세요.
Q3.영업일 기준 1일 이내에 접근 권한을 회수하는 정식 퇴사 처리 절차가 있나요?
초록로그인 비활성화, 토큰 회수, 이메일 전달, 공유 비밀 값 교체, 기기 회수를 포함한 체크리스트가 있으며, 항상 당일에 처리합니다.
노랑이메일과 Microsoft 365는 차단하지만, 공유 SaaS, VPN, 오래된 토큰은 남아 있습니다.
빨강퇴사한 직원이 여전히 접근할 수 있을 수 있습니다.
다음 단계: 이번 주에 한 페이지짜리 퇴사 처리 체크리스트를 만드세요. 팀이 지금까지 누군가를 등록한 적 있는 모든 앱이 목록에 들어갑니다.
Q4.관리자 계정이 최소 권한 원칙을 따르며, 이메일을 읽는 계정과 분리되어 있나요?
초록도메인, Microsoft 365, 방화벽 등에 별도의 관리자 계정이 있습니다. 일상적인 이메일과 웹 브라우징은 권한이 없는 계정으로 합니다. 가능한 곳에서는 PIM 또는 적시(JIT) 접근을 사용합니다.
노랑전역 관리자가 너무 많거나, 하나의 관리자 계정으로 모든 일을 합니다.
빨강모두가 자기 컴퓨터의 관리자이고, 소유자는 전역 관리자 계정으로 메일을 읽습니다.
다음 단계: Microsoft 365에서 활성 사용자, 관리자 역할 순으로 열어 전역 관리자를 소수로 줄이세요. 다른 용도로는 쓰지 않는 전용 관리자 계정을 만드세요.
2. 백업 및 복구
이 다섯 가지 질문은 내일 아침 서버, 노트북, 또는 SaaS 데이터가 사라졌을 때 얼마나 빨리 업무에 복귀할 수 있는지를 다룹니다. 백업에서 실제로 복원해 본 뒤에야 백업으로 인정하세요.
Q5.SaaS 데이터(Microsoft 365, Google Workspace, QuickBooks Online)를 백업하고 있나요?
초록서드파티 백업(Datto SaaS Protection, Afi, Dropsuite, Spanning)이 모든 SaaS에서 실행되며, 검토한 보관 정책이 있습니다.
노랑Microsoft나 Google이 백업이라고 가정합니다. 기본 제공 보관 기간은 제한적이며 의도적인 삭제로부터는 보호해 주지 않습니다.
빨강SaaS 백업이 전혀 없습니다.
다음 단계: 평판이 좋은 SaaS 백업을 골라 이번 주에 켜세요. 가격은 보통 사용자당 월 $3에서 $6입니다.
Q6.백업이 평소 로그인으로는 접근할 수 없는 위치 한 곳 이상에 보관되어 있나요?
초록3-2-1 원칙을 따릅니다. 사본 3개, 매체 2종류, 오프사이트 또는 변경 불가능한 사본 1개(S3 Object Lock, Wasabi Immutability, Datto)입니다.
노랑오프사이트 백업이 있지만 운영 환경과 같은 관리자 자격 증명으로 접근할 수 있습니다.
빨강백업이 보호 대상 데이터와 같은 서버, NAS, 또는 도메인에 있습니다.
다음 단계: 변경 불가능하거나 에어 갭이 적용된 대상을 추가하세요. 관리자 로그인을 얻은 공격자는 그 로그인으로 닿는 모든 백업을 삭제할 수 있습니다.
Q7.마지막 백업이 아니라 마지막으로 복원에 성공한 테스트는 언제였나요?
초록최근 90일 이내에 실제 파일이나 VM을 복원해 백업이 작동하는지 확인했습니다.
노랑백업은 매일 밤 실행되지만, 지난 1년 동안 실제로 복원해 본 사람은 없습니다.
빨강백업을 언제 테스트했는지, 테스트한 적이 있는지조차 확실하지 않습니다.
다음 단계: 핵심 파일 하나, 전체 머신 하나, 클라우드 데이터 세트 하나에 대해 분기별 복원 테스트를 예약하세요. 반복 일정으로 캘린더에 넣으세요.
Q8.RTO(얼마나 오래 중단될 수 있는지)와 RPO(얼마나 많은 데이터 손실을 감당할 수 있는지)를 알고 있나요?
초록각 핵심 시스템에 사업 책임자와 합의한 서면 RTO와 RPO가 있으며, 백업이 두 목표를 모두 맞추도록 설계되어 있습니다.
노랑대략적인 감은 있지만 문서화되거나 검증된 것은 없습니다.
빨강논의한 적이 없습니다. 장애가 나면 즉흥적으로 대처하게 됩니다.
다음 단계: 각 부서장에게 물어보세요. 오전 9시에 이것이 사라졌다면 늦어도 언제까지 복구되어야 하나요? 그 답이 RTO입니다. 그런 다음 백업이 각 RPO를 맞출 만큼 자주 실행되는지 확인하세요.
Q9.주 사업장이 48시간 동안 전력과 인터넷을 잃는다면 사업이 계속 운영될까요?
초록원격 근무가 가능한 인력, 클라우드 전화 시스템, 문서화된 장애 조치 절차가 있습니다.
노랑일부 직원은 원격으로 일할 수 있지만 핵심 시스템(공유 드라이브, 업무용 애플리케이션, 전화)은 오프라인이 됩니다.
빨강사업장이 복구될 때까지 업무를 멈추게 됩니다.
다음 단계: 한 페이지짜리 업무 연속성 계획을 작성하세요. 누가 누구에게 연락하는지, 고객이 전화에서 무엇을 듣는지, 직원이 어디서 일하는지를 담습니다.
3. 엔드포인트 및 이메일 보안
팀이 사용하는 장치와 그 장치에 도착하는 이메일에 관한 다섯 가지 질문입니다.
Q10.모든 노트북, 데스크톱, 서버가 기본 제공 백신 외의 다른 보호 수단을 사용하나요?
초록모든 엔드포인트의 100%에 관리형 EDR(SentinelOne, CrowdStrike, Huntress, 또는 사람이 알림을 확인하는 Defender for Business)이 적용되어 있습니다.
노랑Defender 또는 다른 백신이 켜져 있지만 알림을 확인하는 사람은 없습니다.
빨간색내장 백신만 있거나, 일부 컴퓨터에는 아무것도 없습니다.
다음 단계: 모든 엔드포인트의 목록을 만들고 최신 EDR과 알림을 보는 사람이 있는지 확인하세요. 놓치기 쉬운 서버와 소유자의 노트북도 점검하세요.
Q11.운영 체제와 서드파티 앱이 정해진 기간 안에 패치되나요?
초록패치 관리 도구와 정책이 있습니다. 긴급 패치는 7일, 나머지는 30일 이내에 적용하며, 월간 준수 보고서가 있습니다.
노랑운영 체제는 자동 업데이트되지만 서드파티 앱(Adobe, Java, 브라우저)은 뒤처집니다.
빨강누군가 알아차릴 때 패치를 적용합니다.
다음 단계: 패치 관리 도구(NinjaOne, PDQ, Intune, Action1)를 골라 정책을 정하세요. 운영 체제와 함께 브라우저와 다른 서드파티 앱도 포함하세요.
Q12.수신 이메일이 제공업체 기본 필터에 더해 피싱과 사칭을 잡아내는 필터를 거치나요?
초록Mimecast, Proofpoint, Avanan, IRONSCALES 또는 유사한 제품을 사용하며 사칭 방지 기능이 켜져 있습니다.
노랑기본 Microsoft 365 또는 Gmail 필터만 사용하며, 뻔한 피싱 메일이 일부 받은 편지함에 도달합니다.
빨강고급 이메일 필터링이 없으며, 대표를 사칭한 위조 메일이 통과합니다.
다음 단계: 이미 보유한 라이선스에 포함된 고급 피싱 방지 정책(Microsoft 365 Business Premium 이상)을 켜거나, 전용 보안 이메일 게이트웨이를 추가하세요. 사용자당 월 $3에서 $5 정도를 예산으로 잡으세요.
Q13.발신 도메인에 SPF, DKIM, DMARC가 설정되어 있나요?
초록세 가지가 모두 구성되어 있습니다. DMARC는 p=reject 또는 p=quarantine이며 집계 보고서를 모니터링합니다.
노랑SPF와 DKIM은 설정되어 있지만 DMARC는 p=none(보고만)입니다.
빨강세 가지 모두 설정되어 있지 않거나, SPF에 +all 또는 ?all이라는 전형적인 실수가 있습니다.
다음 단계: mxtoolbox.com에서 도메인을 확인하세요. 강제 적용되는 DMARC 정책이 없으면 다른 사람이 귀사 도메인에서 온 것처럼 보이는 메일을 보낼 수 있습니다.
Q14.모든 노트북에 전체 디스크 암호화가 적용되어 있나요?
초록BitLocker(Windows) 또는 FileVault(Mac)가 모든 노트북의 100%에서 활성화되어 있으며, 복구 키는 Entra ID, Intune, 또는 Jamf에 보관됩니다.
노랑대부분의 노트북에서 활성화되어 있지만 중앙 복구 키 보관소는 없습니다.
빨강활성화되어 있지 않거나 알 수 없습니다.
다음 단계: 암호화되지 않은 노트북을 주운 사람은 누구든 그 안의 파일을 읽을 수 있습니다. BitLocker와 FileVault는 Windows와 macOS에 내장되어 있으며, 정책 하나로 켤 수 있습니다.
4. 네트워크 및 원격 접속
이 영역은 방화벽, 네트워크를 나누는 방식, 직원이 사무실 밖에서 접속하는 방법을 다룹니다.
Q15.방화벽이 최신이고, 지원되며, 최소 연 1회 검토되나요?
초록유효한 라이선스가 있는 최신 세대 방화벽(Fortinet, Palo Alto, SonicWall, Meraki, OPNsense)을 사용하며, 침입 방지가 켜져 있고 규칙을 매년 검토합니다.
노랑방화벽은 있지만 라이선스가 만료되었고 규칙을 검토한 적이 없습니다.
빨강가정용 공유기, 지원이 종료된 방화벽, 또는 기본 규칙을 한 번도 구성하지 않았습니다.
다음 단계: 지원이 종료된 방화벽은 더 이상 보안 업데이트를 받지 못합니다. 모델이 아직 지원되는지 확인하고 라이선스를 갱신하세요.
Q16.게스트 장치, IoT(카메라, 온도 조절기, 프린터), 직원 노트북이 별도의 네트워크에 있나요?
초록세그먼트로 분리되어 있습니다. 운영용 VLAN, IoT VLAN, 클라이언트 격리가 적용된 게스트 네트워크가 있으며, 프린터는 자체 VLAN에 있습니다.
노랑게스트 네트워크는 있지만 IoT 장치가 주 네트워크를 공유합니다.
빨강모든 것이 하나의 평면 네트워크에 있습니다.
다음 단계: 평면 네트워크에서는 침해된 온도 조절기가 파일 서버에 닿을 수 있습니다. 최신 액세스 포인트와 관리형 스위치가 있으면 소규모 사무실의 세그먼트 분리는 반나절 정도면 됩니다.
Q17.직원들은 어떻게 원격으로 업무에 접속하며, 그 방식은 안전한가요?
초록SSO와 제로 트러스트 접근(Cloudflare Access, Tailscale, Twingate), 또는 MFA가 적용된 최신 VPN을 사용합니다. 인터넷에 열린 RDP가 없습니다.
노랑사용자 이름과 비밀번호만 쓰는 구형 VPN입니다.
빨강공유 자격 증명으로 RDP 또는 원격 도구가 인터넷에 노출되어 있습니다.
다음 단계: 인터넷에 열려 있는 RDP 포트를 오늘 닫고, 원격 접속을 MFA가 적용된 VPN 또는 제로 트러스트 도구 뒤로 옮기세요.
5. 사고 대응 및 자산
이 세 가지 질문은 사고 발생 후 첫 30분 동안 무엇을 하는지, 직원이 피싱을 알아볼 수 있는지, 어떤 장비를 보유하고 있는지 알고 있는지를 다룹니다.
Q18.한 페이지에 들어가는 서면 사고 대응 계획이 있나요?
초록있습니다. 연락처, 의사 결정 트리, 사이버 보험사에 누가 연락하는지, 누가 고객에게 알리는지, 계획이 어디에 있는지가 담겨 있으며 매년 검토합니다.
노랑계획은 있지만 2년 동안 아무도 읽지 않았습니다.
빨강계획이 없습니다.
다음 단계: 초록 항목에 나열된 내용으로 한 페이지짜리 계획을 작성하고, 인쇄본을 보관하며, 1년에 한 번 검토하세요.
Q19.지난 12개월 안에 직원들이 피싱 인식 교육을 받았나요?
초록네. 평판이 좋은 플랫폼(KnowBe4, Hoxhunt, Wizer, Curricula)을 사용하며 피싱 링크 클릭 실패율이 감소 추세입니다.
노랑입사 때 한 번 교육했고 그 이후로는 없습니다.
빨강교육이 없습니다.
다음 단계: 교육이 하루짜리 수업일 필요는 없습니다. 점수를 매기는 모의 피싱과 함께 5분짜리 월간 영상을 활용하세요.
Q20.누가 어떤 노트북을 쓰는지, 어떤 서버가 있는지, 클라우드에 무엇이 있는지 등 완전하고 최신인 자산 목록이 있나요?
초록RMM 또는 MDM(Intune, NinjaOne, Jamf)이 자동으로 관리하는 목록이 실시간으로 갱신됩니다.
노랑누군가 1년에 한 번 갱신하는 스프레드시트입니다.
빨강주위를 둘러보고서야 어떤 자산이 있는지 알게 됩니다.
다음 단계: RMM 또는 MDM을 골라 목록을 자동으로 만들게 하세요.
6. 공급업체 및 문서화
두 가지 질문입니다. 귀사의 데이터를 보관하는 회사들, 그리고 한 사람의 머릿속에만 있는 지식에 관한 것입니다.
Q21.핵심 공급업체(회계 플랫폼, 파일 공유 도구, CRM)가 이번 주말에 침해를 당한다면 그들이 귀사의 어떤 데이터를 보관하고 있는지 알고 있나요?
초록주요 공급업체의 짧은 목록, 각 업체가 보관하는 데이터, 가장 최근 보안 보고서 사본이 있습니다.
노랑공급업체를 신뢰하지만 서면으로 질문해 본 적은 없습니다.
빨강목록이 없습니다. 공급업체 침해가 발생해도 뉴스를 보고서야 알게 됩니다.
다음 단계: 데이터 민감도가 가장 높은 공급업체 세 곳을 골라 각각 최신 보안 보고서를 요청하세요. 보고서를 내놓지 못하는 업체가 있다면 위험으로 기록하세요.
Q22.IT가 어떻게 돌아가는지 아는 단 한 사람이 내일 자리를 비운다면 다른 사람이 알아낼 수 있나요?
초록중요한 사항(시스템 위치, 접속 방법, 연락할 사람)이 팀원이 찾을 수 있는 곳에 기록되어 있고, 변경될 때마다 갱신됩니다.
노랑한 명의 엔지니어 또는 소유자가 모든 것이 어떻게 돌아가는지에 대한 단일 장애 지점입니다.
빨강한 사람만 알고 있으며 기록된 것이 없습니다.
다음 단계: 한 사람만 아는 IT 사항을 기록하는 시간을 매달 한 시간씩 잡으세요.
점수 확인
22개 질문에 대한 초록, 노랑, 빨강 답변이 클릭할 때마다 여기에 집계됩니다.
22개 중 0개에 답했습니다. 위의 각 질문에서 해당하는 답을 클릭하세요.
0녹색
0노란색
0빨간색
0/22답변 완료
초록 18개 이상: 상태가 좋습니다. 분기별 복원 테스트, 월간 패치, 연간 정책 검토로 이 상태를 유지하세요.
초록 11개에서 17개: 기본은 대부분 갖추어져 있습니다. 가장 심각한 노랑 세 가지를 골라 90일 안에 해결하세요.
초록이 11개 미만이거나 Q1, Q5, Q6, Q10, Q14 중 하나라도 빨강인 경우: 이 다섯 질문의 빨강부터 해결하고, 그다음 나머지 빨강, 마지막으로 노랑을 해결하세요.
다른 의견 구하기
KawaConnect는 펜실베이니아 서부와 오하이오 북동부의 소규모 기업에 무료 IT 준비 상태 상담 통화를 제공합니다. 답변 내용을 설명해 주시면 가장 먼저 고칠 것과 대략적인 비용을 말씀드립니다. 지속적인 도움이 필요하시면 관리형 IT 서비스를 참고하세요.
무료 준비도 상담 예약채점표 다운로드0 / 22 답변 완료내 점수 보기
