Windows 10 에서 11 로 넘어갈 때 보안 관점 점검표

업그레이드는 설정이 그대로 넘어간다는 전제를 깨뜨립니다

답부터 적으면 업그레이드의 보안 쟁점은 기기 요건이 아니라 설정 이관입니다. 운영체제를 올리면 일부 정책과 기능 설정이 기본값으로 돌아갈 수 있고, 그 기본값이 이전에 의도적으로 바꿔 둔 값과 다를 수 있습니다. 그래서 업그레이드 전에 무엇을 바꿔 두었는지 목록으로 적는 작업이 먼저입니다.

넘어가기 전에 적어 둘 설정 묶음

CISA 의 랜섬웨어 지침이 적는 항목을 그대로 점검 목록으로 쓸 수 있습니다. 원격 데스크톱이 웹에 노출되어 있지 않은지, SMBv1 이 비활성화되어 있고 SMBv3 으로 올라가 있는지, 경계 방화벽에서 TCP 445 가 인바운드와 아웃바운드 모두 차단되어 있는지, 메일로 전달되는 오피스 파일의 매크로가 비활성화되어 있는지입니다. 이 네 가지는 업그레이드로 값이 바뀔 수 있는 자리입니다.

순서는 노출 면이 큰 기기부터입니다

여러 대를 한꺼번에 올리기 어렵다면 순서를 정해야 합니다. 같은 지침은 패치 우선순위를 인터넷 데이터를 처리하는 인터넷 노출 서버에 두라고 적습니다. 같은 기준을 업그레이드 순서에 적용하면 외부에서 들어오는 경로가 있는 기기가 앞 순서입니다. 브라우저와 메일을 많이 쓰는 기기, 원격 접속을 받는 기기가 먼저입니다.

ESU 를 쓸 수 있는 기기는 순서를 뒤로 보낼 수 있습니다

업그레이드 대상 중 일부는 유예가 가능합니다. Windows 10 버전 22H2 의 Home, Professional, Pro Education, Workstations 이고 조직 관리 기기와 엔터프라이즈 라이선싱 등록 기기가 아니라면 확장 보안 업데이트를 받을 수 있고, 종료일은 2027년 10월 12일입니다. 확인일 2026년 10월 19일 기준으로 358일이 남았습니다. 유예가 불가능한 기기를 앞으로 보내는 것이 전체 일정을 짧게 만듭니다.

사례: 20대를 두 그룹으로 나눠 일정을 만들기

상황은 사무실 PC 20대입니다. 입력값은 확인일 2026년 10월 19일, 전원 Windows 10 버전 22H2, 그중 조직 라이선싱 등록 4대, 원격 접속을 받는 기기 3대, 나머지는 일반 사무용입니다. 계산은 유예 가능 여부와 노출 면을 겹쳐 보는 것입니다. 조직 등록 4대는 개인 ESU 대상이 아니므로 즉시 처리군입니다. 원격 접속을 받는 3대는 ESU 대상이지만 노출 면이 커서 역시 즉시 처리군으로 올립니다. 남은 13대는 ESU 로 358일을 벌 수 있어 예산을 나눠 처리합니다. 최종 결과는 즉시 처리 7대, 유예 13대입니다. 결과를 바꾸는 예외는 원격 접속 3대의 노출을 제거할 수 있는 경우로, 그때는 그 기기가 유예군으로 내려가 즉시 처리가 4대로 줄어듭니다. 다음 행동은 20대를 라이선싱 등록 여부와 외부 노출 경로 두 열로 분류한 표를 만드는 것입니다.

업그레이드 직후에 다시 확인하는 이유

올린 직후에 네 가지 설정을 다시 봅니다. 원격 데스크톱 노출 여부, SMB 버전, 방화벽의 445 규칙, 매크로 정책입니다. 업그레이드가 끝났다는 화면과 설정이 유지됐다는 사실은 다릅니다. 확인하지 않으면 노출이 생긴 상태로 몇 달이 지나갈 수 있습니다.

기기 요건을 이 글에서 다루지 않은 이유

Windows 11 의 하드웨어 요건과 호환성 확인 방법은 Microsoft 안내가 기준이고 기기마다 결과가 다릅니다. 이 글은 요건 충족 여부와 별개로 남는 보안 관점, 즉 설정 이관과 순서 결정을 적었습니다. 업그레이드 평균 소요 시간과 국내 교체 비용은 공개된 통계를 찾지 못해 수치를 제시하지 않습니다.

업그레이드 전후로 확인할 설정 묶음