전직 정보보호 컨설팅을 오래 했던 사람입니다.

우리나라 관리체계의 가장 큰 문제점은.. 편법을 정식으로 우기고 그걸 큰 문제없이 용인한다는데 있는 것 같습니다.

과거 911 사고 때 모건 스탠리는 WTC에 본사가 있었고, 당연히 사고로 인해 본사가 사라져 버렸습니다만, 하루만에 주요 업무를 재개하면서 일순간에 재해관리체계의 모범사례로 급부상했습니다.

이후 세계적으로 떠오른 것이 BCP(Business Continuity Plan, 업무 연속성 계획) 입니다. BCP는 이번 사고 때문에 계속 회자되는 DR(Disaster Recovery) 또는 DRP(Disaster Recovery Plan)와는 엄연히 다른 개념입니다.

DR은 재해 이후 다시 정상적인 운영으로 복구하는 계획이므로 당연히 시간이 걸릴 수 밖에 없습니다. 또한 대부분의 DR은 IT 자산에 국한되는 경우가 대부분입니다. 그래서 backup & recovery를 중요시 하고 이걸 어떤 식으로 설계하느냐에 따라 빠른 복구가 가능하냐 아니냐 정도만 판가름납니다.

BCP는 좀 더 크고 전반적인 계획으로 봐야 합니다.

말 그대로 업무를 연속으로 할 수 있는 계획이며, 이건 전체 업무의 복구가 아니라 핵심 업무의 임시적인 재개를 의미합니다. 이번 처럼 전산장비의 문제가 생기면 하다 못해 수기로 업무를 복구하든, 아니면 hot site로 구성된 DR을 이용해서 업무를 복구하든 어쨌건 핵심 업무가 정상적으로 동작하도록 만드는 것을 목표로 하는 계획입니다(여기서 중요한 건 "핵심 업무"입니다. 그래서 BCP 수립 시에는 반드시 핵심 업무를 파악하는 BIA라는 과정이 들어가야 합니다). 여기에는 전산 복구만이 아니라 인력, 장소, 절차 전반에 걸친 핵심 업무의 복구가 포함되어 있습니다.

이는 ISO27001에서도 주요한 계획으로 선언하고 있고, 이를 차용한 ISMS나 주요정보기반시설 취약점 진단 등에서도 비슷한 개념을 포함하고 매년 점검을 시행하고 있습니다.

근데...

실제 BCP를 수립한 곳은.. 적어도 저는 본 적이 없습니다. BCP의 수립 여부를 점검하는 통제항목에 대한 답변은 대부분 DR center를 구축한 것으로 갈음합니다. 즉 BCP는 없는 겁니다. 더더욱 BCP와 DR/DRP 개념 자체를 같은 것으로 생각해 버립니다. BIA(Business Impact Analysis)? 없습니다. 뭐가 핵심 업무인지 파악이 안되니 당연히 "핵심" 업무 재개도 할 수가 없겠죠. 그냥 "전체"를 복구하는데 집중하게 되는 겁니다.

이번에 그 결과가 여실히 드러났다고 생각합니다.

DR은 어느 정도 구축되어 있을지 모르나(즉 데이터 분실은 없을 수 있습니다), BCP가 제대로 구현되지 않아 핵심 업무 재개가 언제 가능할 지 알 수 없는 상황입니다. 전체 업무를 복구하지 않으면 어떻게 할 수 없는 상황인거죠.

제대로 된 BCP가 있다면 25년 전의 모건스탠리 정도의 대응은 가능했을 겁니다. 1~2일 정도면 핵심 업무의 재개가 가능했을 것이고 적어도 119와 같은 시스템의 즉각적인 복구 정도는 가능했을 겁니다.

넵. 현직에 있을 때 나름 정부기관의 BCP를 수립해 본 경험이 있습니다. 하지만 결국 DR+α 수준의 BCP 개념을 약간 차용한 정도의 계획을 수립하는 것이 최선이었습니다. 여러가기 제약 상황들 때문에...

이번 사고를 반면교사 삼아.. 적어도 국가 주요 업무에 대한 BCP가 이제는 좀 제대로 수립되고 가동될 수 있기를 바라 봅니다. 고질적인 예산 절감 압력과 공공 커넥션 등의 악습을 좀 떨쳐 버리고 제대로 된 투자와 준비가 필요한 시점이 아닐까 생각합니다.

이번 정부라면.. 할 수 있을 것 같습니다. 체계는 최초가 어렵지 한 번 수립하면 이후는 관성을 가지고 돌아가게 될 겁니다. 이번 기회가 더 나은 관리 체계로 도약하는 계기가 되었으면 좋겠네요.