비즈니스 연속성 vs. 재해 복구: 귀사에 적합한 계획은 무엇인가요?

비즈니스 연속성 및 재해 복구 계획은 기업이 예기치 않은 사고에 대비하기 위해 의존하는 위험 관리 전략입니다. 두 용어는 밀접하게 관련되어 있지만 적합한 용어를 선택할 때 고려해야 할 몇 가지 주요 차이점이 있습니다.

• 비즈니스 연속성 계획(BCP): BCP는 재해 발생 시 조직이 정상적인 비즈니스 기능으로 복귀하기 위해 취할 단계를 설명하는 세부 계획입니다. 다른 유형의 계획은 자연 재해 또는 사이버 공격과 같은 복구 및 중단 방지의 특정 측면에 초점을 맞출 수 있지만 BCP는 광범위한 접근 방식을 취하고 조직이 가능한 한 광범위한 위협에 직면할 수 있도록 하는 것을 목표로 합니다.
• 재해 복구 계획(DRP): BCP보다 더 세부적인 성격의 재해 복구 계획은 기업이 중단 중에 IT 시스템과 중요 데이터를 구체적으로 보호하는 방법에 대한 비상 계획으로 구성됩니다. DR 플랜은 BCP와 함께 대규모 정전, 자연 재해, 랜섬웨어 및 맬웨어 공격 등 다양한 재해 시나리오로부터 데이터와 IT 시스템을 보호하는 데 도움이 됩니다.
• 비즈니스 연속성 및 재해 복구(BCDR): 비즈니스 연속성 및 재해 복구(BCDR)는 비즈니스 요구 사항에 따라 함께 또는 별도로 접근할 수 있습니다. 최근에는 점점 더 많은 기업이 두 가지 분야를 함께 실천하는 방향으로 나아가고 있으며, 경영진에게 BC 및 DR 관행에 대해 단독으로 작업하기보다는 협력할 것을 요청하고 있습니다. 이로 인해 두 용어가 BCDR이라는 하나의 용어로 통합되었지만 두 관행의 본질적인 의미는 변함이 없습니다.

조직에서 BCDR 개발에 접근하는 방법에 관계없이 이 분야가 전 세계적으로 얼마나 빠르게 성장하고 있는지에 주목할 가치가 있습니다. 데이터 손실 및 다운타임과 같은 잘못된 BCDR의 결과로 점점 더 많은 비용이 증가함에 따라 많은 기업이 기존 투자에 추가하고 있습니다. 인터내셔널 데이터 코퍼레이션(IDC)의 최근 보고서(ibm.com 외부 링크)에 따르면 작년에 전 세계 기업들은 사이버 보안 및 솔루션에 2,190억 달러를 지출할 것으로 예상되었으며, 이는 전년 대비 12% 증가한 수치입니다.

비즈니스 연속성 계획(BCP) 및 재해 복구 계획(DRP)은 조직이 광범위한 예상치 못한 사고에 대비하는 데 도움이 됩니다. 효과적인 DR 계획을 효과적으로 구축하면 이해 관계자가 특정 위협이 야기할 수 있는 정규 업무 기능에 대한 위험을 더 잘 이해할 수 있습니다. 비즈니스 연속성 및 재해 복구(BCDR)에 투자하지 않는 기업은 예상치 못한 사고로 인해 데이터 손실, 다운타임, 재정적 불이익, 평판 훼손을 겪을 가능성이 높습니다.

비즈니스 연속성 및 재해 복구 계획에 투자하는 기업이 기대할 수 있는 몇 가지 이점은 다음과 같습니다:

• 가동 중단 시간 단축: 재해로 인해 정상적인 비즈니스 운영이 중단되면 기업은 다시 가동하는 데 수억 달러의 비용이 발생할 수 있습니다. 대규모 사이버 공격은 특히 피해가 크며, 원치 않는 주의를 끌기 쉽고 투자자와 고객이 다운타임이 짧다고 광고하는 경쟁사로 떠나게 됩니다. 강력한 BCDR 계획을 구현하면 직면한 재해의 종류에 관계없이 복구 기간을 단축할 수 있습니다.
• 재무 위험 감소:  IBM의 최근 데이터 침해 비용 보고서에 따르면 2023년 데이터 침해로 인한 평균 비용은 445만 달러로 2020년 이후 15% 증가했습니다. 강력한 비즈니스 연속성 계획을 갖춘 기업들은 가동 중지 시간을 단축하고 고객과 투자자의 신뢰를 높임으로써 비용을 크게 줄일 수 있다는 것을 보여주었습니다.
• 처벌 감소: 데이터 침해로 인해 개인 고객 정보가 유출될 경우 큰 처벌을 받을 수 있습니다. 의료 및 개인 금융 분야에서 운영되는 기업은 처리하는 데이터의 민감성 때문에 더 높은 위험에 처해 있습니다. 강력한 비즈니스 연속성 전략을 수립하는 것은 이러한 부문에서 운영되는 기업에 필수적이며, 이를 통해 막대한 재정적 처벌의 위험을 상대적으로 낮게 유지하는 데 도움이 됩니다.

비즈니스 연속성 재해 복구(BCDR) 계획은 기업이 개별적이지만 조율된 접근 방식을 취할 때 가장 효과적입니다. 비즈니스 연속성 계획(BCP)과 재해 복구 계획(DRP)은 유사하지만, 이를 별도로 개발하는 것이 유리한 중요한 차이점이 있습니다:

• 강력한 BCP는 재난 발생 전, 도중, 직후에 정상적인 운영을 유지하기 위한 전술에 중점을 둡니다. 
• DRP는 사고에 대응하고 모든 것을 원활하게 복구하고 실행할 수 있는 방법을 개략적으로 설명하는 등 보다 사후 대응적인 경향이 있습니다.

효과적인 BCP 및 DRP를 구축하는 방법을 살펴보기 전에 두 가지 용어와 관련된 몇 가지 용어를 살펴보겠습니다.

• 복구 시간 목표(RTO): RTO는 계획되지 않은 인시던트 후 비즈니스 프로세스를 복원하는 데 걸리는 시간을 나타냅니다. 합리적인 RTO를 수립하는 것은 기업이 BCP 또는 DRP를 만들 때 가장 먼저 해야 할 일 중 하나입니다. 
• 복구 시점 목표(RPO): 비즈니스의 복구 시점 목표(RPO)는 재해로 인해 손실될 수 있지만 복구할 수 있는 데이터의 양입니다. 데이터 보호는 많은 현대 기업의 핵심 기능이므로 대규모 보안 침해 발생 시 연속성을 보장하기 위해 원격 데이터 센터로 데이터를 지속적으로 복제하는 기업도 있습니다. 다른 사람들은 백업 시스템에서 비즈니스 데이터를 복구하기 위해 몇 분(또는 몇 시간)의 허용 가능한 RPO를 설정하고 그 시간 동안 손실된 모든 것을 복구할 수 있다는 것을 알고 있습니다.

비즈니스 연속성 계획에 대한 요구 사항은 비즈니스마다 조금씩 다르지만, 규모나 업종에 관계없이 강력한 결과를 가져오는 널리 사용되는 네 가지 단계가 있습니다.

1. 비즈니스 영향 분석 실행 

비즈니스 영향 분석(BIA)은 조직이 직면한 다양한 위협을 더 잘 이해하는 데 도움이 됩니다. 강력한 BIA에는 모든 잠재적 위협과 이로 인해 노출될 수 있는 취약성에 대한 강력한 설명을 작성하는 것이 포함됩니다. 또한 BIA는 각 이벤트의 가능성을 추정하여 조직이 그에 따라 우선 순위를 지정할 수 있도록 합니다.

2. 잠재적 대응 창출

BIA에서 식별한 각 위협에 대해 비즈니스를 위한 대응 방안을 개발해야 합니다. 위협에 따라 서로 다른 전략이 필요하므로 직면할 수 있는 각 재해에 대해 잠재적으로 복구할 수 있는 방법에 대한 자세한 계획을 수립하는 것이 좋습니다.

3. 역할과 책임 할당

다음 단계는 재해 발생 시 재해 복구 팀의 모든 사람에게 필요한 사항을 파악하는 것입니다. 이 단계에서는 기대치를 문서화하고 계획되지 않은 인시던트 발생 시 개인이 어떻게 커뮤니케이션할지 고려해야 합니다. 많은 위협이 셀룰러 및 Wi-Fi 네트워크와 같은 주요 통신 기능을 차단하므로 신뢰할 수 있는 통신 대체 절차를 마련하는 것이 좋습니다.

4. 계획 리허설 및 수정

대비한 각 위협에 대해 BCDR 계획이 원활하게 작동할 때까지 지속적으로 연습하고 개선해야 합니다. 실제 위험에 처하게 하지 않고 최대한 현실적인 시나리오를 연습하여 팀원들이 자신감을 키우고 비즈니스 연속성이 중단되었을 때 어떻게 대처할 수 있는지 알아볼 수 있도록 하세요.

BCP와 마찬가지로 DRP는 주요 역할과 책임을 식별하며, 효과를 내기 위해 지속적으로 테스트하고 개선해야 합니다. DRP를 만드는 데 널리 사용되는 4단계 프로세스는 다음과 같습니다.

1. 비즈니스 영향 분석 실행

BCP와 마찬가지로 DRP는 회사가 직면할 수 있는 각 위협과 그 영향에 대한 신중한 평가로 시작됩니다. 각 잠재적 위협이 야기할 수 있는 피해와 일상적인 비즈니스 운영을 방해할 가능성을 고려하십시오. 추가 고려 사항에는 매출 손실, 가동 중단 시간, 평판 복구(홍보) 비용, 나쁜 언론으로 인한 고객 및 투자자 손실이 포함될 수 있습니다.

2. 자산 재고 관리

효과적인 DRP를 위해서는 기업이 정확히 무엇을 소유하고 있는지 알아야 합니다. 정기적으로 이러한 인벤토리를 수행하면 하드웨어, 소프트웨어, IT 인프라 및 조직의 중요한 비즈니스 기능에 필요한 모든 것을 쉽게 파악할 수 있습니다. 다음 레이블을 사용하여 각 자산을 분류하고 보호(중요, 중요 및 중요하지 않음)의 우선 순위를 지정할 수 있습니다.

• 중요: 정상적인 비즈니스 운영을 위해 자산에 의존하는 경우 중요 자산에 라벨을 붙입니다.
• 중요: 하루에 한 번 이상 사용하며 중단될 경우 중요한 작업에 영향을 미칠 수 있는 모든 항목에 이 라벨을 부착하세요(완전히 중단되지는 않음).
• 중요하지 않음: 이러한 자산은 귀하의 비즈니스가 소유하고 있지만 정상적인 운영에 필수적이지 않을 정도로 자주 사용하지 않는 자산입니다.

3. 역할과 책임 할당

BCP에서와 마찬가지로 책임을 설명하고 팀 구성원이 책임을 수행하는 데 필요한 것을 갖추고 있는지 확인해야 합니다. 다음은 널리 사용되는 몇 가지 역할과 책임에 대해 고려해야 할 사항입니다:

• 인시던트 보고: 장애 이벤트가 발생했을 때 관련 당사자의 연락처 정보를 관리하고 비즈니스 리더 및 이해관계자와 소통하는 사람입니다.
• DRP 수퍼바이저: 인시던트 발생 시 팀 구성원이 배정된 작업을 수행하도록 하는 사람. 
• 자산 관리자: 재해가 발생했을 때 중요한 자산을 확보하고 보호하는 업무를 맡은 사람입니다. 

4. 계획 리허설

BCP와 마찬가지로 DRP도 효과적으로 실행하려면 지속적으로 연습하고 업데이트해야 합니다. 정기적으로 연습하고, 의미 있는 변경 사항이 있을 경우 그에 따라 문서를 업데이트하세요. 예를 들어, DRP가 형성된 후에 회사가 새로운 자산을 취득하는 경우 향후 계획에 이를 포함해야 재해가 발생했을 때 보호받을 수 있습니다.

비즈니스 연속성 계획(BCP)이 필요하든, 재해 복구 계획(DRP)이 필요하든, 아니면 둘 다 함께 또는 개별적으로 작업해야 하든, 다른 기업이 준비 태세를 강화하기 위해 어떻게 계획을 수립했는지 살펴보는 데 도움이 될 수 있습니다. 다음은 BC 및 DR 준비에 도움이 된 계획의 몇 가지 예입니다.

• 위기 관리 계획: 좋은 위기 관리 계획은 비즈니스 연속성 또는 재해 복구 계획의 일부가 될 수 있습니다. 위기 관리 계획은 특정 위협을 관리하는 방법을 요약한 상세 문서입니다. 정전, 사이버 범죄 또는 자연 재해와 같은 특정 유형의 위기에 조직이 어떻게 대응할 것인지에 대한 자세한 지침을 제공합니다. 특히 이벤트가 진행되는 동안 시간별 및 분 단위의 압력에 어떻게 대처할 것인지에 대한 자세한 지침을 제공합니다. 비즈니스 연속성 및 재해 복구 계획에 필요한 많은 단계, 역할 및 책임은 적절한 위기 관리 계획과 관련이 있습니다.
• 커뮤니케이션 계획: 통신 계획(또는 통신 계획)은 비즈니스 연속성 및 재해 복구 노력에도 동일하게 적용됩니다. 계획되지 않은 인시던트 발생 시 조직이 PR 문제를 구체적으로 해결하는 방법을 간략하게 설명합니다. 좋은 커뮤니케이션 계획을 수립하기 위해 비즈니스 리더는 일반적으로 커뮤니케이션 전문가와 협력하여 커뮤니케이션 계획을 수립합니다. 일부 기업은 가능성이 높고 심각한 것으로 간주되는 재해에 대한 구체적인 계획을 수립하여 어떻게 대응할지 정확히 알고 있습니다.
• 네트워크 복구 계획: 네트워크 복구 계획은 인터넷 액세스, 셀룰러 데이터, 근거리 통신망(LAN) 및 광역 네트워크(WAN)를 포함한 네트워크 서비스 중단을 복구하는 데 도움이 됩니다. 네트워크 복구 계획은 기본적이고 필수적인 요구 사항(통신)에 초점을 맞추기 때문에 일반적으로 범위가 넓으며 재해 복구보다 비즈니스 연속성 측면에서 더 많이 고려해야 합니다. 비즈니스 운영에 대한 많은 네트워크 서비스의 중요성을 감안할 때 네트워크 복구 계획은 중단 후 서비스를 빠르고 효과적으로 복원하는 데 필요한 단계에 중점을 둡니다.
• 데이터 센터 복구 계획: 데이터 센터 복구 계획은 데이터 보안 및 IT 인프라에 대한 위협에 중점을 두기 때문에 DRP보다 BCP에 포함될 가능성이 더 높습니다. 데이터 백업에 대한 몇 가지 일반적인 위협에는 과도한 인력 과로, 사이버 공격, 정전 및 규정 준수 요구 사항을 따르는 어려움이 포함됩니다. 
• 가상화된 복구 계획: 데이터 센터 계획과 마찬가지로 가상화된 복구 계획은 BCP가 IT 및 데이터 리소스에 중점을 두기 때문에 DRP보다 BCP의 일부일 가능성이 더 높습니다. 가상화된 복구 계획은 중단 후 몇 분 내에 작동을 시작할 수 있는 가상 머신(VM) 인스턴스에 의존합니다. 가상 머신은 고가용성(HA)을 통해 중요한 애플리케이션 복구를 제공하거나 시스템이 장애 없이 지속적으로 작동할 수 있는 기능을 제공하는 물리적 컴퓨터의 표현/에뮬레이션입니다.

사소한 중단도 비즈니스를 위험에 빠뜨릴 수 있습니다. IBM은 클라우드 백업 및 재해 복구 기능, 보안 및 복원력 서비스 등 다양한 위협에 대비할 수 있는 광범위한 비상 계획과 재해 복구 솔루션을 보유하고 있습니다.