693. WORM (Write Once Read Many) 스토리지

핵심 인사이트 (3줄 요약)

1. 본질: WORM (Write Once Read Many) 스토리지는 이미 기록된 데이터를 보존 기간 동안 다시 쓰거나 삭제하지 못하게 막아, 읽기는 허용하되 변경은 금지하는 무결성 중심 저장 방식이다.
2. 가치: 관리자 계정 탈취, 랜섬웨어, 내부자 조작처럼 논리적으로 데이터를 바꾸는 사고에 강해, 감사 로그·증거 자료·백업 원본의 신뢰도를 지키는 데 핵심적이다.
3. 판단 포인트: WORM은 단순 백업이나 스냅샷보다 강한 불변성을 주지만, 보존 기간, 구현 방식, 복구 절차를 함께 설계해야 실제 보호 효과가 난다.

Ⅰ. 개요 및 필요성

WORM (Write Once Read Many) 스토리지는 한 번 기록된 데이터를 정해진 기간 동안 수정·삭제할 수 없도록 강제하는 저장 정책 또는 저장 매체다. 핵심은 데이터를 많이 복제하는 것이 아니라, 기록이 끝난 원본을 논리적으로 되돌릴 수 없게 만드는 것에 있다. 일반 스토리지는 성능과 재사용성을 위해 덮어쓰기와 삭제를 전제로 설계되지만, 규제 문서·의료 영상·감사 로그·백업 원본처럼 "나중에 누가 손댔는지조차 의심받으면 안 되는 데이터"는 이 전제가 오히려 약점이 된다.

왜냐하면 오늘날의 위협은 디스크 고장보다 정상 권한을 악용한 논리적 변조에 더 가깝기 때문이다. 랜섬웨어는 연결된 백업 저장소까지 찾아가 파일을 암호화하거나 삭제하고, 내부자는 관리자 권한으로 로그를 지워 흔적을 숨기려 한다. 이때 복제본이 아무리 많아도 모두 수정 가능한 저장소라면, 오염된 명령이 복제본 전체로 퍼질 수 있다. WORM은 이 연쇄를 끊어 "이미 저장된 사실"을 고정한다.

아래 그림은 WORM이 왜 단순 복사본보다 강한지 보여준다.

┌────────────────────────────────────────────────────────────────────┐
│                  Mutable copy vs immutable WORM                   │
├─────────────────────────┬──────────────────────┬───────────────────┤
│ Operation               │ Mutable storage      │ WORM storage      │
├─────────────────────────┼──────────────────────┼───────────────────┤
│ Write new record        │ allow                │ allow             │
│ Overwrite old record    │ allow                │ deny              │
│ Delete before retention │ allow                │ deny              │
└─────────────────────────┴──────────────────────┴───────────────────┘

즉 WORM의 본질은 "저장 용량을 늘리는 기술"이 아니라, 기록 이후의 변경 권한을 제거하는 통제 장치다. 그래서 WORM은 백업, 보안, 컴플라이언스가 만나는 지점에서 가장 강한 의미를 가진다.

• 📢 섹션 요약 비유: 일반 저장소가 연필로 쓰는 공책이라면, WORM은 잉크가 굳어 버린 공증 문서와 같다. 한 번 찍힌 도장은 읽어 볼 수는 있어도 마음대로 지울 수는 없다.

Ⅱ. 아키텍처 및 핵심 원리

WORM은 크게 물리적 WORM과 논리적 WORM으로 구현된다. 물리적 WORM은 광 디스크처럼 기록 자체가 비가역적으로 남는 매체를 사용하고, 논리적 WORM은 오브젝트 락 (Object Lock)이나 파일 시스템 정책으로 수정·삭제 명령을 거부한다. 현대 데이터센터에서는 대용량 확장과 자동화를 위해 논리적 WORM이 더 널리 쓰이지만, 원리는 동일하다. "새 데이터는 쓰되, 이미 확정된 기록은 다시 건드리지 못하게 한다"는 점이다.

논리적 WORM에서는 보통 세 가지 요소가 함께 움직인다. 첫째, 새 데이터를 기록할 때 보존 만료 시점을 함께 적는다. 둘째, 그 기간 안에는 삭제·덮어쓰기 요청을 거절한다. 셋째, 필요하면 리걸 홀드 (Legal Hold)를 걸어 분쟁이나 감사가 끝날 때까지 보존 기간과 무관하게 해제를 막는다. 이 구조는 "쓰기 가능 구간"과 "보호 구간"을 분리해, 저장 후 즉시 immutable 상태로 전환하는 방식으로 이해하면 쉽다.

Client
  │  write new object
  ▼
Store object + retain-until date
  │
  ├── read request ───────────────▶ allow
  ├── overwrite request (locked) ─▶ deny
  └── delete request (locked) ────▶ deny

여기서 중요한 점은 WORM이 새 버전 생성까지 막는 것은 아니라는 것이다. 기존 기록을 바꾸지 못하게 막을 뿐, 필요하면 새로운 버전을 추가로 기록할 수 있다. 그래서 WORM은 append-only 설계, 버전 관리, 감사 추적과 자연스럽게 결합된다.

• 📢 섹션 요약 비유: WORM은 금고에 물건을 넣고 자물쇠를 채운 뒤, 열쇠가 아니라 "개봉 날짜"를 함께 봉인하는 방식과 같다. 새 상자는 넣을 수 있지만, 이미 봉인된 상자는 약속한 날 전까지 열 수 없다.

Ⅲ. 비교 및 연결

WORM을 정확히 이해하려면 비슷해 보이는 보호 기술과 경계를 구분해야 한다. 스냅샷 (Snapshot), 버전 관리, 백업, 에어갭 (Air-gap)은 모두 데이터 보호와 관련 있지만, **"기존 기록을 수정 불가능하게 만드는가"**라는 질문에 대한 답이 서로 다르다.

즉 WORM은 백업의 대체재가 아니라 백업의 신뢰도를 높이는 속성이다. 예를 들어 WORM이 걸린 백업 원본은 삭제와 암호화에 강하지만, 복구 시간이 느리거나 다른 지역 복제가 없다면 재해 복구 체계는 여전히 부족할 수 있다. 반대로 복제가 여러 벌 있어도 모두 수정 가능하다면, 무결성은 쉽게 무너진다.

또한 WORM은 기록된 데이터가 "옳다"는 것까지 보장하지는 않는다. 애초에 잘못된 데이터를 WORM으로 저장하면, 그 잘못된 상태가 그대로 오래 보존될 뿐이다. 그래서 체크섬 검증, 입력 검수, 다중 사본 정책과 함께 써야 진짜 의미가 있다.

• 📢 섹션 요약 비유: WORM은 사진을 여러 장 복사해 두는 일이 아니라, 최종 원본 사진 위에 보호 필름을 붙여 더는 낙서하지 못하게 만드는 일이다. 복사본 수와 보호 필름은 서로 다른 문제다.

Ⅳ. 실무 적용 및 기술사 판단

실무에서 WORM은 특히 세 가지 장면에서 힘을 발휘한다. 첫째, 금융·공공·의료처럼 법적으로 장기 보존이 필요한 기록 보관소다. 둘째, 랜섬웨어 복구를 위해 "최후의 깨끗한 백업 원본"을 남겨야 하는 백업 저장소다. 셋째, 운영 로그와 보안 감사 자료처럼 사후 조사 시 위변조 의심 자체가 치명적인 데이터다. 이때 아키텍트는 단순히 "WORM을 켠다"가 아니라, 어떤 데이터에 얼마나 오래 어떤 강도로 적용할지를 정해야 한다.

특히 거버넌스 모드 (Governance Mode)와 컴플라이언스 모드 (Compliance Mode)의 차이를 구분해야 한다. 거버넌스 모드는 일부 특권 계정이 예외적으로 잠금을 풀 수 있어 운영 유연성이 높지만, 강한 내부 통제가 전제되어야 한다. 반면 컴플라이언스 모드는 관리자조차 보존 기간 중 해제가 불가능해, 규제 대응과 증거 보전에 더 적합하다. 시험 답안과 실무 모두에서 "누가 잠금을 해제할 수 있는가"를 명확히 쓰는 것이 판단 포인트다.

실무 체크리스트

1. 데이터 유형별로 보존 기간과 삭제 시점을 정책으로 분리했는가?
2. WORM 원본 외에 복구 속도를 위한 가변 사본 또는 캐시를 따로 두었는가?
3. 잠금 정책을 운영 계정과 분리해 실수나 내부자 오남용을 줄였는가?
4. 정기적으로 복구 리허설을 수행해 "읽을 수는 있지만 복원 절차가 없는" 상태를 피하고 있는가?
5. 체크섬, 복제, 에어갭과 결합해 가용성과 무결성을 함께 확보했는가?

흔한 안티패턴은 모든 데이터를 무조건 WORM으로 넣는 것이다. 이렇게 하면 정정 요청, 개인정보 삭제 요구, 운영 데이터 갱신까지 경직되어 저장 비용과 관리 복잡도만 커진다. WORM은 "모든 저장소의 기본값"이 아니라, 변경 금지가 본질적으로 가치가 있는 데이터에 선별 적용하는 보호 장치로 보는 것이 맞다.

• 📢 섹션 요약 비유: WORM은 집 안 모든 물건을 박물관 유리관에 넣는 일이 아니다. 절대 바뀌면 안 되는 계약서와 증거품만 따로 봉인 전시실에 넣는 일이다.

Ⅴ. 기대효과 및 결론

WORM을 올바르게 설계하면 데이터 보호 체계에서 가장 취약한 고리였던 "기록 이후 변조"를 크게 줄일 수 있다. 그 결과 규제 대응 신뢰도가 높아지고, 감사 시 증거성이 강화되며, 랜섬웨어 사고 후에도 되돌아갈 깨끗한 기준점이 생긴다. 즉 WORM은 저장장치의 성능을 높이는 기술이 아니라, 기록의 신뢰성을 보존하는 설계 철학이다.

다만 WORM만으로 모든 것이 해결되지는 않는다. 저장 매체 장애에 대비한 복제, 재해 상황을 위한 원격 보관, 빠른 서비스 복구를 위한 가변 사본, 입력 오류를 막는 데이터 검증은 별도로 필요하다. 그래서 WORM의 올바른 기억법은 "백업의 상위 대체재"가 아니라, 백업과 아카이브에 불변성이라는 마지막 자물쇠를 다는 기술이라는 관점이다.

앞으로는 클라우드 오브젝트 아카이브, 이뮤터블 백업 (Immutable Backup), 보안 관제 로그 저장소와 결합한 논리적 WORM이 더 넓게 확산될 가능성이 크다. 결국 핵심은 매체 종류가 아니라, 저장 후 수정 권한을 얼마나 강하게 제거하느냐에 있다.

• 📢 섹션 요약 비유: WORM은 보물상자를 크게 만드는 기술이 아니라, 상자 안에 들어간 보물을 나중에 누구도 바꿔치기하지 못하게 봉인하는 밀랍 봉인과 같다.

📌 관련 개념 맵

📈 관련 키워드 및 발전 흐름도

Mutable storage
    │
    ▼
Snapshot / versioning
    │
    ▼
Backup copy
    │
    ▼
Immutable backup / WORM retention
    │
    ▼
Compliance archive / ransomware recovery vault

이 흐름은 "복사본을 많이 만든다"에서 출발해 "복사본을 바꿀 수 없게 만든다"로 보호 수준이 올라가는 과정을 보여준다.

👶 어린이를 위한 3줄 비유 설명

1. WORM은 한 번 적으면 지우개로 못 지우는 특별한 일기장 같아요.
2. 나쁜 사람이 와서 글씨를 바꾸려 해도, 이미 쓴 페이지는 잠겨 있어서 손댈 수 없어요.
3. 그래서 중요한 약속이나 기록을 오래 믿고 보관할 때 아주 유용해요.