Google Workspace 보안: 2026년 모범 사례
Google Workspace는 수백만 조직의 생산성을 뒷받침하는 중추입니다. 이메일, 문서, 캘린더, 화상 회의, 작업 관리가 모두 하나의 플랫폼에서 실행됩니다. 이러한 중앙 집중화는 엄청난 편리함을 가져다주지만, 동시에 공격자, 실수로 인한 데이터 노출, 내부자 위협의 집중적인 표적이 되기도 합니다.
Google Workspace 보안은 일회성 설정이 아닙니다. 이는 관리자 제어, 최종 사용자 행동, 타사 통합 및 조직 정책을 아우르는 지속적인 실천 과정입니다. 이 가이드에서는 각 제어 계층별로 적용되는 2026년 가장 중요한 보안 관행을 다룹니다.
Google Workspace 보안에 각별한 주의가 필요한 이유
Google은 전송 및 저장 데이터 암호화, 물리적 보안이 갖춰진 데이터 센터, 지속적인 위협 탐지 등 인프라 보안에 막대한 투자를 하고 있습니다. 하지만 Google이 완전히 보호할 수 없는 부분은 귀하의 조직이 이 플랫폼을 어떻게 구성하고 사용하는가입니다.
Google Workspace에서 발생하는 가장 일반적인 보안 사고는 Google 인프라 침해가 아닙니다. 다음과 같은 사례가 대부분입니다.
- 피싱을 통한 계정 탈취 — 공격자가 직원을 속여 가짜 로그인 페이지에 자격 증명을 입력하게 만드는 경우.
- 과도한 권한을 가진 OAuth 앱 — Google Drive나 Gmail에 대한 액세스 권한을 부여받은 타사 앱이 나중에 악성으로 변하거나 신뢰할 수 없는 회사에 인수되는 경우.
- 실수로 인한 공유 — 특정인이 아닌 “링크가 있는 모든 사용자”에게 민감한 문서를 공유하는 경우.
- 약하거나 재사용된 비밀번호 — 특히 2단계 인증을 사용하지 않는 계정에서 자주 발생.
- 관리자 계정 침해 — 모든 Google Workspace 조직에서 가장 위험도가 높은 계정 유형.
이러한 각 위협에는 명확한 완화 방법이 있습니다. 문제는 이를 일관되게 구현하는 것입니다.
관리 콘솔: Google Workspace 보안의 기초
Google Admin Console은 조직의 보안 구성이 이루어지는 곳입니다. 여기에 설명된 모든 보안 모범 사례를 구현하려면 관리자 액세스 권한이 필요합니다.
2단계 인증 강제 적용
2단계 인증(2SV)은 Google Workspace에서 사용할 수 있는 가장 영향력 있는 보안 제어 수단입니다. 비밀번호 외에 코드, 하드웨어 키, 생체 인식과 같은 두 번째 요소를 요구합니다. 공격자가 사용자의 비밀번호를 알아내더라도 두 번째 요소 없이는 계정에 액세스할 수 없습니다.
강제 적용 방법:
- 관리 콘솔에서 보안 > 인증 > 2단계 인증으로 이동합니다.
- 모든 사용자에 대해 강제 적용을 활성화합니다(선택 사항으로 두지 마십시오).
- 정책이 적용되기 전 사용자가 등록할 수 있도록 유예 기간(7~30일)을 설정합니다.
- 관리자와 같이 권한이 높은 계정에는 하드웨어 보안 키(FIDO2/WebAuthn) 사용을 고려하십시오.
최상의 보호를 위해 하드웨어 보안 키는 SMS 코드나 인증 앱보다 피싱에 훨씬 더 강력합니다. Google 자체 연구에 따르면 하드웨어 키는 자동화된 봇 공격의 100%, 대량 피싱 공격의 99%, 표적 공격의 90%를 차단했습니다.
강력한 비밀번호 요구
최소 12자 이상의 비밀번호 길이를 설정하고 재사용 방지(최근 10개의 비밀번호 차단)를 강제하십시오. 이와 함께 Google Security Center에 포함된 Have I Been Pwned 스타일의 유출된 자격 증명 탐지 기능을 활용하십시오.
슈퍼 관리자 계정 감사
슈퍼 관리자 계정은 Google Workspace 조직의 모든 데이터와 설정에 무제한으로 액세스할 수 있습니다. 모범 사례는 다음과 같습니다.
- 슈퍼 관리자 계정을 2~4개 이하로 유지하십시오.
- 일상적인 업무에 슈퍼 관리자 계정을 사용하지 마십시오. 일상적인 관리 작업을 위한 별도의 관리자 계정을 만드십시오.
- 모든 슈퍼 관리자 계정에 로그인 챌린지를 활성화하고 하드웨어 보안 키를 요구하십시오.
- 분기별로 슈퍼 관리자 목록을 검토하십시오.
사용자 데이터 보호: 공유 및 DLP
외부 공유 설정 감사
Google Drive의 기본 공유 설정은 사용자가 링크가 있는 모든 사람(조직 외부 사람 포함)과 파일을 공유할 수 있도록 허용합니다. 대부분의 조직에서는 이 설정이 너무 관대합니다.
관리 콘솔에서 다음을 검토하십시오:
- Drive 및 Docs > 공유 설정 > [도메인] 외부 공유 — 신뢰할 수 있는 특정 도메인으로 제한하거나 민감한 조직 단위의 경우 외부 공유를 완전히 비활성화하십시오.
- 민감한 데이터를 다루는 조직 단위의 경우 링크 공유를 “모든 사용자”로 설정하는 기능을 비활성화하십시오.
데이터 손실 방지(DLP)
Google Workspace의 DLP 규칙은 신용카드 번호, 주민등록번호, 국가 ID 번호, 사용자가 정의한 사용자 지정 패턴 등 민감한 데이터 패턴에 대해 발신 이메일과 Drive 파일 공유를 자동으로 스캔합니다.
DLP가 민감한 패턴을 감지하면 공유를 차단하거나, 사용자에게 경고하거나, 관리자에게 알릴 수 있습니다. DLP는 Business Plus, Enterprise, Education Plus 플랜에서 사용할 수 있습니다.
구성해야 할 주요 DLP 규칙:
- 신용카드 번호가 포함된 Drive 파일이 외부로 공유되지 않도록 차단.
- 특정 키워드(기밀, 독점, PII 등)가 포함된 이메일 전송 전 경고.
- 의심스러운 첨부 파일 형식이 포함된 Gmail 메시지 격리.
보관 및 eDiscovery를 위한 Vault
Google Vault를 사용하면 관리자가 Gmail, Drive, Chat, Meet에 대한 보관 규칙을 설정할 수 있습니다. 이를 통해 사용자가 데이터를 삭제하더라도 법적 및 규정 준수 요구 사항에 따라 필요한 보관 기간 동안 데이터가 유지되도록 보장합니다.
GDPR, HIPAA 또는 금융 규정의 적용을 받는 조직에게 Vault는 선택 사항이 아닌 필수 인프라입니다.
타사 앱 액세스 관리
OAuth를 통해 Google Workspace에 연결되는 타사 앱은 가장 과소평가된 보안 위험 중 하나입니다. 사용자가 “Google로 로그인”을 클릭하고 앱에 권한을 부여할 때마다, 해당 앱은 사용자가 수동으로 취소할 때까지 부여된 데이터에 지속적으로 액세스할 수 있게 됩니다.
연결된 앱 감사
관리 콘솔에서 보안 > 액세스 및 데이터 제어 > API 제어 > 앱 액세스 제어로 이동하여 조직의 Google Workspace 데이터에 OAuth 액세스 권한이 부여된 모든 타사 앱을 확인하십시오.
다음 사항을 기준으로 목록을 검토하십시오:
- 기능에 필요한 것보다 더 광범위한 권한을 요청하는 앱.
- 조직에서 더 이상 사용하지 않는 공급업체의 앱.
- 현재 사용하는 사용자가 없는 앱.
- 지원이 중단되었거나 공급업체가 인수된 앱.
타사 앱 액세스 제한
보안 수준이 높은 조직의 경우 타사 앱이 Google Workspace에 연결되는 것을 완전히 제한할 수 있습니다. 두 가지 옵션이 있습니다:
- 허용 목록 모드 — 관리자가 명시적으로 승인한 앱만 연결할 수 있습니다.
- 확인되지 않은 앱 제한 — Google의 OAuth 확인 절차를 완료한 앱만 민감한 범위를 요청할 수 있습니다.
허용 목록 방식은 가장 강력한 보호를 제공하지만, 조직이 새로운 도구를 도입할 때마다 지속적인 유지 관리가 필요합니다.
TasksBoard 및 OAuth 보안
TasksBoard는 OAuth를 통해 공식 Google Tasks API를 사용하며, Google Tasks 데이터에 대한 액세스만 요청합니다. Gmail, Drive, Calendar 콘텐츠에 대한 액세스는 요청하지 않습니다. TasksBoard에 액세스 권한을 부여하면 Google Tasks를 읽고 쓸 수 있을 뿐 다른 작업은 수행할 수 없습니다. 이러한 최소한의 권한 범위는 최소 권한의 원칙을 따릅니다.
타사 Google Workspace 앱을 평가할 때는 액세스 권한을 부여하기 전에 요청된 권한 범위를 확인하십시오. “생산성 향상”을 명목으로 모든 Gmail 데이터에 대한 액세스를 요청하는 앱은 위험 신호입니다.
이메일 보안: Gmail 보호
Gmail에는 관리자가 구성하고 강화할 수 있는 여러 보안 계층이 포함되어 있습니다.
피싱 및 멀웨어 보호
관리 콘솔의 앱 > Google Workspace > Gmail > 안전에서 다음을 활성화하십시오:
- 향상된 메시지 사전 전달 스캔 — 메시지가 사용자 받은 편지함에 도달하기 전 AI 기반의 추가 스캔.
- 첨부 파일: 신뢰할 수 없는 발신자의 첨부 파일로부터 보호.
- 링크 및 외부 이미지: 단축 URL 뒤에 숨겨진 링크 식별.
- 스푸핑 및 인증: 인증되지 않은 이메일로부터 보호.
SPF, DKIM 및 DMARC 구성
이러한 이메일 인증 표준은 귀하의 도메인에서 발송된 이메일이 실제로 승인된 메일 서버에서 발송되었는지 확인합니다.
- SPF (Sender Policy Framework) — DNS에 승인된 발신 IP 주소를 나열합니다.
- DKIM (DomainKeys Identified Mail) — 발신 이메일에 암호화 서명을 추가합니다.
- DMARC — SPF/DKIM 확인에 실패한 이메일을 어떻게 처리할지 수신 메일 서버에 지시합니다.
Google Workspace는 관리 콘솔을 통해 DKIM 구성을 간편하게 지원합니다. DMARC는 DNS 레코드가 필요합니다. 처음에는 모니터링만 수행하는 p=none 정책으로 시작한 다음, 합법적인 이메일이 인증을 통과하는지 확인한 후 p=quarantine 및 최종적으로 p=reject로 이동하십시오.
보안 LDAP 및 SSO
보안 LDAP 또는 SAML 기반 싱글 사인온(SSO)을 사용하는 조직의 경우, SSO 공급자가 Google Workspace와 동일한 2SV 정책을 강제하는지 확인하십시오. SSO 계층에서 2SV를 우회하면 Google Workspace의 2SV 보호 기능이 무력화됩니다.
엔드포인트 및 모바일 기기 관리
Google Workspace에 액세스하는 모든 기기는 잠재적인 공격 벡터입니다. 모바일 기기 관리(MDM)를 통해 관리자는 조직 데이터에 액세스하는 기기를 제어하고 초기화할 수 있습니다.
기본 vs 고급 기기 관리
Google Workspace는 추가 비용 없이 기본 기기 관리를 제공합니다. 고급 엔드포인트 관리는 상위 플랜에서 사용할 수 있습니다. 주요 기능:
기본(무료):
- 모바일 기기 화면 잠금 요구.
- 원격 계정 초기화(전체 기기 초기화 없이 Google Workspace 데이터만 제거).
- 기기 인벤토리.
고급(유료 플랜):
- 승인된 앱만 사용하도록 요구.
- 손상된 기기의 액세스 차단.
- 전체 기기 초기화 기능.
- OS 업데이트 요구 사항 강제 적용.
Chromebook 관리
Chromebook을 사용하는 조직은 Google Admin을 통해 USB 저장소 차단, 확인된 부팅 강제 적용, 앱 설치 제한, 네트워크 액세스 정책 설정 등 세부적인 정책 제어를 수행할 수 있습니다.
보안 모니터링 및 사고 대응
Security Center
Google Workspace Security Center(Business Plus 및 Enterprise에서 사용 가능)는 보안 상태 지표, 경고 및 조사 도구에 대한 대시보드를 제공합니다. 다음을 모니터링하십시오:
- 로그인 실패 시도 및 의심스러운 로그인.
- 이메일 및 Drive 활동 이상 징후.
- 타사 앱 OAuth 권한 부여.
- 데이터 유출 지표.
관리 팀이 즉시 알림을 받을 수 있도록 우선순위가 높은 보안 이벤트에 대한 이메일 알림을 설정하십시오.
Alert Center
관리 콘솔의 Alert Center는 계정 침해 경고, 정부 지원 공격 알림, 의심스러운 로그인 활동, 도메인을 대상으로 하는 피싱 캠페인 등 Google Workspace 전반의 보안 경고를 집계합니다.
정기적으로 Alert Center를 검토하고 일반적인 경고 유형에 대한 사고 대응 워크플로를 수립하십시오.
로그 보관 및 감사 로그
Google Workspace는 관리자 작업, Drive 활동, Gmail 활동 등에 대한 감사 로그를 생성합니다. 이러한 로그는 모든 보안 조사의 기초가 됩니다.
대부분의 플랜에서 감사 로그는 180일 동안 보관됩니다. 더 긴 보관 기간이 필요한 조직은 Google Cloud Storage 내보내기 또는 SIEM 통합을 구성해야 합니다.
최종 사용자를 위한 보안 모범 사례
관리적 제어만으로는 한계가 있습니다. 직원의 보안 행동이 방정식의 나머지 절반을 차지합니다.
정기적인 보안 교육
연간 보안 교육은 많은 산업 분야에서 규제상의 최소 요건이지만, 가장 효과적인 프로그램은 시나리오 기반의 지속적인 교육을 제공합니다. 피싱 인식, 안전한 파일 공유 관행, 비밀번호 위생에 집중하십시오.
Google은 관리자가 직원들과 공유할 수 있는 Google Workspace 학습 센터를 통해 무료 보안 교육 리소스를 제공합니다.
피싱 시뮬레이션
정기적인 피싱 시뮬레이션(직원들에게 가짜 피싱 이메일을 보내 클릭 여부 확인)을 실행하면 추가 교육이 필요한 직원이나 팀에 대한 데이터를 얻을 수 있습니다. 이는 징벌적 조치가 아닌 학습 도구로 활용할 때 가장 효과적입니다.
명확한 데이터 처리 정책
어떤 유형의 데이터를 외부와 공유할 수 있는지, 내부 전용 액세스가 필요한 데이터는 무엇인지, 암호화나 추가 제어가 필요한 데이터는 무엇인지 문서화하고 전달하십시오. 명확한 정책이 없으면 직원들은 일관되지 않은 결정을 내려 노출 위험을 초래하게 됩니다.
자주 묻는 질문(FAQ)
가장 중요한 Google Workspace 보안 설정은 무엇인가요?
모든 사용자에 대해 2단계 인증을 강제하는 것이 가장 영향력 있는 보안 제어 수단입니다. 계정 탈취는 Google Workspace 환경에서 가장 흔한 심각한 보안 사고이며, 2SV는 자격 증명 기반 공격의 대부분을 방지합니다.
내 Google Workspace에 액세스 권한이 있는 앱을 확인하려면 어떻게 해야 하나요?
관리 콘솔에서 보안 > 액세스 및 데이터 제어 > API 제어 > 앱 액세스 제어로 이동하십시오. 여기에서 조직의 데이터에 OAuth 액세스 권한이 있는 모든 타사 앱을 확인할 수 있습니다. 개별 사용자는 myaccount.google.com/permissions에서 자신의 개인 연결 앱을 확인할 수 있습니다.
Google Workspace는 HIPAA를 준수할 수 있나요?
네, 적절하게 구성하면 가능합니다. Google은 Gmail, Drive, Calendar 및 기타 핵심 서비스를 포함하는 Google Workspace 고객을 위해 BAA(Business Associate Agreement)를 제공합니다. HIPAA 요구 사항을 충족하려면 Google과 BAA를 체결하고 적절한 제어(암호화, 액세스 제어, 감사 로깅)를 구성해야 합니다.
Google Workspace의 데이터 암호화 방식은 무엇인가요?
Google은 전송 중인 데이터(TLS)와 저장 중인 데이터(AES 256비트)를 암호화합니다. 고객 관리 암호화 키가 필요한 조직을 위해 Google Workspace는 Enterprise 및 Education Plus 플랜에서 클라이언트 측 암호화(CSE)를 제공하며, 이를 통해 데이터가 Google 서버에 도달하기 전에 사용자가 제어하는 키로 암호화할 수 있습니다.
Google Drive에서 실수로 인한 데이터 유출을 방지하려면 어떻게 해야 하나요?
주요 제어 수단은 관리 콘솔에서 외부 공유 설정을 제한하고, 민감한 데이터 패턴을 표시하기 위한 DLP 규칙을 구현하며, 사용자에게 공유 모범 사례를 교육하는 것입니다. 민감도가 높은 조직의 경우 링크 공유를 “링크가 있는 모든 사용자”가 아닌 특정인으로 설정하도록 요구하면 가장 일반적인 실수로 인한 노출 경로를 제거할 수 있습니다.
TasksBoard는 Google Workspace 보안을 어떻게 처리하나요?
TasksBoard는 Google Tasks에만 액세스하며, 작업 이외의 Gmail, Google Drive 또는 다른 Google Workspace 서비스에 대한 액세스는 요청하지 않습니다. TasksBoard는 인증을 위해 OAuth 2.0을 사용하므로 귀하의 Google 비밀번호를 수신하거나 저장하지 않습니다. myaccount.google.com/permissions의 Google 계정 보안 설정을 통해 언제든지 TasksBoard의 액세스 권한을 검토하고 취소할 수 있습니다.
단순한 설정이 아닌 보안 프로그램 구축
가장 탄력적인 Google Workspace 보안 태세는 일회성 설정이 아니라 정기적인 검토, 지속적인 사용자 교육, 명확한 사고 대응 프로세스를 갖춘 살아있는 프로그램입니다.
우선순위가 높은 제어 수단(2단계 인증 강제 적용, 슈퍼 관리자 계정 감사, 외부 공유 설정 검토, Gmail 인증(SPF/DKIM/DMARC) 구성)부터 시작하십시오. 그런 다음 우선순위가 낮은 제어 수단을 체계적으로 진행하십시오.
보안은 조직의 위험 프로필에 비례할 때 가장 효과적입니다. 10명 규모의 스타트업은 의료 기관이나 금융 서비스 회사와는 다른 요구 사항을 가집니다. 이 가이드를 프레임워크로 활용하고 각 제어의 엄격함을 조직의 실제 상황에 맞게 조정하십시오.
Google Workspace 기능 및 역량에 대한 자세한 내용은 Google Workspace 튜토리얼을 참조하십시오.
