운영 복원력이란 무엇인가요?

사이버 공격, 정전 또는 시스템 장애와 같은 주요 중단 이벤트는 불가피합니다. 어떠한 조직이나 기업도 이러한 상황에서 자유롭지 않습니다. 운영 복원력은 예기치 못한 이벤트를 사전에 관리함으로써 기존의 재해 복구를 넘어서는 개념입니다. 이 접근 방식은 비즈니스에 가장 중요한 서비스를 식별하고 해당 서비스가 안정적으로 유지되며 빠르게 복구될 수 있도록 하는 것을 요구합니다.

기업들은 점점 더 운영 복원력의 필요성을 해결하고 있습니다. BCI와 Riskonnect의 연구에 따르면 현재 조직의 70%가 운영 복원력 프로그램을 보유하고 있으며, 추가로 10%는 이를 구축 중입니다.¹ 모범 사례 준수는 이러한 전략을 개발하는 가장 일반적인 동인이며, 규정 준수가 그 다음 순위입니다.

운영 복원력은 모든 비즈니스에 중요하지만, 특정 산업에서는 더욱 강력한 역량이 요구됩니다. 금융 기관은 특히 보안 사고와 사이버 위험에 취약합니다. 이들은 고객 데이터를 보호하고 금융 시스템의 안정성을 유지하며 엄격한 규정을 준수해야 하며, 그렇지 않으면 평판과 고객 신뢰를 잃을 위험이 있습니다. 마찬가지로 의료 기관은 위기 상황에서도 치료의 연속성을 보장하는 동시에 민감한 환자 데이터의 개인정보 보호 요구사항을 충족해야 할 책임이 있습니다.

운영 복원력은 여러 이유로 현대 비즈니스에서 필수 요소가 되었습니다. 항상 연결된 디지털 환경에서 조직은 모든 운영 중단을 견뎌야 하며, 단 1초의 다운타임도 재무 손실, 보안 취약성 및 비즈니스 위험으로 이어집니다.

팬데믹이나 자연재해와 같은 대규모 재난은 운영 복원력의 필요성을 더욱 부각시켰습니다. 또한 전 세계적으로 규제 활동이 증가하면서 정부 및 기타 기관은 기업이 불리한 상황을 예측하고 신속하게 복구할 수 있도록 지침, 법률 및 규정을 제정하고 있습니다.

기업이 경쟁력을 유지하기 위해 인공지능(AI)을 도입하고 파트너십에 의존함에 따라 조직은 이러한 의존성이 조직과 규제 기관이 요구하는 정보 보안, 복원력 및 통제 기준을 동일하게 충족하도록 보장해야 합니다.

사이버 위협 환경 또한 변화하고 있습니다. 2024 IBM® X-Force Threat Intelligence Index에 따르면 공격자는 랜섬웨어에서 정보 탈취를 목적으로 한 악성 코드로 이동하고 있습니다.

산업과 관계없이 워크로드와 데이터의 위치를 결정할 때 신뢰와 보안은 반드시 기본이 되어야 합니다.

운영 복원력, 비즈니스 연속성 관리(BCM) 및 재해 복구(DR)는 모두 비즈니스를 보호하기 위한 전략이지만 서로 다른 프로세스입니다.

비즈니스 연속성 전략은 위기 상황에서도 핵심 비즈니스 기능을 유지하고 최소한의 다운타임으로 정상 운영을 재개할 수 있는 조직의 능력을 의미합니다. BCM은 공급망 장애, 팬데믹 또는 기타 예기치 못한 사고 발생 시에도 핵심 비즈니스 프로세스가 지속될 수 있도록 상세한 계획과 절차를 수립하는 데 중점을 둡니다.

재해 복구 계획은 보다 기술적이고 IT 중심적인 접근입니다. DR은 장비 장애, 사이버 공격 또는 시설 손상과 같은 재난적 사건으로 인한 데이터 손실과 비즈니스 중단을 방지하거나 최소화하기 위해 설계된 IT 기술과 모범 사례로 구성됩니다.

이는 온프레미스 또는 클라우드 환경의 데이터 센터에서 핵심 운영을 중단시킬 수 있는 개별 장애 지점에 초점을 맞춥니다. DR은 정보 시스템과 데이터를 복구하기 위한 구체적인 복구 시간 목표(RTO)와 복구 시점 목표(RPO)를 설정합니다.

비즈니스 연속성 및 재해 복구(BCDR)는 통합 전략으로 함께 사용되는 경우가 많지만 비즈니스 목표에 따라 별도로 사용할 수도 있습니다.

운영 복원력 계획은 도전 상황에서 핵심 서비스와 기능을 예측, 유지 및 복구할 수 있는 비즈니스 역량을 의미하는 보다 포괄적인 전략입니다. DR과 BCM이 특정 시나리오와 복구 계획에 초점을 맞추는 반면, 운영 복원력은 비즈니스 서비스 운영과 제공을 지원하는 모든 요소(예: 인력, 프로세스, 기술, 공급망)를 포괄합니다. 이는 점점 더 정교해지는 위협에 대응하기 위해 발전해 왔습니다.

최근 몇 년간 운영 복원력은 전 세계 정부 및 다양한 기관에서 규제 우선순위로 자리 잡았습니다. 이는 개인정보 보호, 사이버 복원력, 보안 및 데이터 주권 요구사항을 관리하는 고도로 규제된 산업(예: 금융 서비스 기업, 금융 시장 인프라)을 안내합니다.

공공의 이익을 보호하기 위해 이러한 규제 기관은 조직이 취약점을 이해하고 금융 안정성을 위한 보호 조치에 투자하도록 보장하는 표준화된 관행을 수립했습니다.

미국에서는 연방준비제도와 기타 은행 규제 기관이 운영 복원력 관행에 대한 지침을 발표했습니다. 국제적으로는 유럽연합의 디지털 운영 복원력 법(DORA)과 같은 규정이 금융 기관 및 핵심 타사 기술 서비스 제공업체를 위한 구속력 있는 포괄적 정보통신기술(ICT) 위험 관리 프레임워크를 마련했습니다.

운영 복원력은 다음과 같은 상호 연결된 영역 전반에 걸친 총체적 접근이 필요합니다.

• 위험 관리 프레임워크: 운영 위험 관리 관행은 내부 및 외부 위협 모두에 대응하기 위한 기반을 형성합니다. 조직은 인적 오류부터 기술 및 시스템 장애에 이르기까지 운영 위험 노출을 지속적으로 식별, 평가 및 완화해야 합니다. 효과적인 위험 관리는 조직이 잠재적 위험을 예측하고 그 영향을 줄이기 위한 전략을 수립할 수 있도록 합니다.
• 기술 및 시스템: 강력한 정보 기술(IT) 인프라를 구축하는 것은 필수적입니다. IT 시스템, 애플리케이션, 데이터 및 사이버 보안 통제는 중단 상황을 견디고 운영 사고 발생 시 신속하게 복구할 수 있을 만큼 충분히 강력해야 합니다.
• 인력 및 프로세스: 숙련된 직원, 명확하게 정의된 절차 및 효과적인 교육은 모든 이해관계자가 위기 상황에서 적절히 대응하고 핵심 기능과 디지털 주권을 유지할 수 있도록 합니다.
• 시설 및 인프라: 데이터 센터, 전력 시스템 및 네트워킹 인프라와 같은 물리적 시설은 보호되어야 하며 재해 복구와 비즈니스 연속성을 지원하기 위한 백업 기능을 갖춰야 합니다.
• 타사 의존성: 공급업체, 클라우드 서비스 공급자 및 아웃소싱 파트너는 의존성을 초래하므로 이들이 복원력 기준을 충족하도록 보장하기 위한 타사 위험 관리가 필요합니다.

조직은 지속적이고 선제적인 4단계 라이프사이클을 통해 주요 모든 영역에서 운영 복원력을 구축합니다.

기업은 온프레미스, 프라이빗 클라우드, 소버린 클라우드, 퍼블릭 클라우드, 엣지를 포함한 전체 IT 시스템 전반에서 핵심 비즈니스 기능, 잠재적 위협 및 취약점을 식별해야 합니다.

이 접근 방식에는 잠재적 취약점과 중요한 기능을 식별하기 위해 사이버 위험 평가, 위협 모델링 및 비즈니스 영향 분석(BIA)을 수행하는 것이 포함됩니다.

이 단계에서는 잠재적 중단을 차단하거나 영향을 완화하기 위한 전략을 수립하고 실행합니다. 이 과정에는 사고를 예방하기 위해 강력한 보안 정책, 직원 교육 및 전문 IT 솔루션을 통합하는 것이 포함됩니다.

이 단계는 진행 중인 위기를 관리하고 핵심 기능을 신속하게 복구하기 위해 사고 대응 및 비즈니스 연속성 계획을 활성화하는 것을 의미합니다.

목표는 갑작스러운 영향과 충격을 최소화하고 핵심 서비스의 연속성을 보장하는 것입니다.

사고 발생 이후 조직은 발생 원인을 분석하고 데이터를 수집하며 계획의 효과를 검토하고 식별된 격차를 개선하여 복원력 역량을 강화해야 합니다.

운영 복원력을 실제로 구현하려면 내부 팀, 프로세스, 기술 시스템 및 3자 및 4자 조직을 포함한 전체 시스템을 아우르는 일관된 전략이 필요합니다.

많은 조직이 데이터 사일로, 레거시 인프라, 핵심 비즈니스 운영을 중단하지 않고 대규모 스트레스 테스트를 수행해야 하는 복잡성과 같은 장애를 겪습니다.

포괄적인 계획은 이후 제시되는 핵심 단계를 통해 이러한 문제를 해결합니다.

비즈니스에 필수적이며 중단될 경우 가장 큰 피해를 초래할 수 있는 서비스를 식별하는 것부터 시작하세요. 영향 허용 범위와 지표를 설정하세요. 

비즈니스의 기술적 측면에만 집중하지 말고 고객, 매출 및 평판에 미치는 영향도 함께 고려하는 것이 중요합니다.

시스템, 인력 및 프로세스가 어떻게 연결되어 있는지 문서화하세요. 이러한 상호 연결성과 의존성을 이해하면 타사 서비스 제공업체의 장애가 동시에 여러 내부 시스템에 영향을 미치는 것과 같은 잠재적인 연쇄 반응을 식별하는 데 도움이 됩니다.

현대의 종속성 매핑 툴은 복잡한 분산 환경 전반에서 가시성을 자동화할 수 있습니다.

단일 데이터 센터 의존과 같은 주요 장애 지점을 식별하세요. 표준화된 용어와 위험 평가 척도를 사용하여 기술 팀, 비즈니스 리더 및 이사회 간 일관된 커뮤니케이션이 가능하도록 조직 전반에 공통된 위험 언어를 구축하세요.

기존 위협(예: 하드웨어 장애)과 새로운 위협(예: 고도화된 악성 코드)을 모두 고려하세요. AI 기반 모니터링 및 분석은 핵심 인프라 전반에서 취약점과 잠재적 장애 지점을 발견하는 데 도움이 됩니다.

명확한 최고 경영진 책임을 지정하는 데이터 거버넌스 프레임워크를 구축하세요. 운영 복원력 활동의 우선순위를 정하기 위해 명확한 역할과 책임(책임성 기준 포함)을 할당하세요.

리더십은 복원력 투자와 우선순위를 결정하기 위해 조직의 위험 수용 범위를 설정해야 합니다.

대응 역량을 검증하기 위해 시나리오 테스트를 수행합니다. 정기적인 훈련과 연습은 사이버 사고나 중단이 발생할 경우 팀이 준비되어 있고 비상 계획이 효과적으로 유지되도록 합니다.

실제 사고와 테스트 연습은 격차를 식별하는 데 도움이 됩니다. 정기적인 평가와 개선은 복원력 역량을 강화하고 지속적인 위협과 비즈니스 변화에 대응할 수 있도록 합니다.

처음부터 전략에 규정 준수를 포함하세요. 비즈니스를 적절한 규정에 맞추고 NIST와 같은 산업 프레임워크를 활용하세요.

자동화된 규정 준수 모니터링은 규정 요구사항을 지속적으로 준수하고 있음을 입증하는 데 도움이 됩니다.