프롤로그 비밀번호를 바꾸기 전에 장부부터 펴라

1장 하루 점검의 지도: 무엇을 지키는지 모르면 못 지킨다

1-1 보안은 장비가 아니라 책임선이다
1-2 고객정보 흐름을 한 장에 그리는 법
1-3 개인정보처리시스템의 경계를 정하라
1-4 위험은 데이터의 양보다 조합에서 커진다
1-5 하루 점검의 시간표와 의사결정 규칙
1-6 점검의 끝은 체크 표시가 아니라 증거다

2장 관리자 계정: 공격자가 노리는 가장 짧은 길

2-1 관리자 계정을 빠짐없이 찾는 역추적법
2-2 공용 아이디를 해체하고 1인 1계정으로 바꾸기
2-3 긴 비밀번호, 비밀번호 관리도구, 복구수단
2-4 다중인증은 어디부터 켜야 하는가
2-5 퇴직자·외주·비상계정의 수명 관리
2-6 로그인 이상징후를 발견하고 계정을 되찾는 법

3장 접근권한: 믿는 사람보다 필요한 사람에게만

3-1 직급이 아니라 업무로 권한을 설계하라
3-2 소형 쇼핑몰의 주문·환불·다운로드 권한
3-3 학원의 상담·강의·회계 권한
3-4 회원제 사업장의 데스크·트레이너·CCTV 권한
3-5 권한 부여·변경·말소 기록을 남기는 법
3-6 월 1회 권한 재인증으로 묵은 권한 걷어내기

4장 백업: 저장이 아니라 복구 가능성을 사는 일

4-1 동기화와 백업을 혼동하면 함께 지워진다
4-2 작은 사업장용 3-2-1 백업 설계
4-3 랜섬웨어가 닿지 못하는 분리계정과 오프사이트
4-4 RPO와 RTO로 무엇을 얼마나 자주 복사할지 정하기
4-5 복구훈련은 파일 하나부터 시작한다
4-6 보존기간·파기·백업이 충돌할 때

5장 사람과 파일: 평범한 실수가 유출이 되는 순간

5-1 전체메일·참조·숨은참조의 사고를 막는 기본값
5-2 엑셀 파일과 클라우드 링크의 유효기간
5-3 다운로드·출력·USB를 기록으로 통제하기
5-4 노트북과 휴대전화 분실에 대비하는 세 겹 방어
5-5 메신저와 생성형 AI에 고객정보를 넣기 전에
5-6 10분 교육과 이중확인으로 실수를 줄이는 법

6장 외주와 SaaS: 내 서버가 없어도 책임은 남는다

6-1 수탁자 지도를 그리면 보이지 않던 위험이 보인다
6-2 계약서에 반드시 남겨야 할 통제 문장
6-3 쇼핑몰·PG·LMS·CRM 사이의 책임 경계
6-4 API 키·연동 앱·플러그인은 숨은 관리자다
6-5 계약 종료와 업체 교체 때 데이터를 회수하는 법
6-6 공급망 사고를 내 사고처럼 다루는 연락망

7장 사고 0~72시간: 차단·보전·판단·연락의 순서

7-1 유출을 의심해야 하는 일곱 가지 신호
7-2 첫 15분: 혼자 해결하지 말고 확산부터 막아라
7-3 로그와 화면을 지우지 않고 증거를 보전하는 법
7-4 유출 여부·범위·위험을 잠정 판정하는 질문
7-5 정보주체 통지는 빠르고 구체적이어야 한다
7-6 개인정보 유출 신고와 침해사고 신고를 구분하라

8장 하루 완성: 최소 대응체계를 실제로 돌려보기

8-1 오전 9시, 개인정보 보유현황 지도를 완성한다
8-2 오전 11시, 관리자 계정과 복구수단을 잠근다
8-3 오후 1시, 백업을 분리하고 복원한다
8-4 오후 3시, 접근권한표와 외주 연락망을 정리한다
8-5 오후 5시, 20분 모의사고로 빈틈을 찾는다
8-6 30일·90일 운영지표로 하루의 성과를 지킨다

에필로그 사고가 없었다는 말보다 복구할 수 있다는 증거