'재해' 복구와 '보안' 복구 전략을 따로 세워야 하는 이유

많은 기업이 재해 복구와 보안 복구 계획을 하나의 단순한 패키지로 통합해 운영하고 있다. 그러나 이런 접근방식이 과연 합리적일까. 많은 재난 및 보안 복구 전문가가 "그렇지 않다"고 말한다. 보안 및 재난 계획은 관련성이 있지만 항상 같은 것은 아니라는 것이다.



전 도이치뱅크(Deutsche Bank) 기업 보안 및 비즈니스 연속성 사업부 수석 부사장이자 현 사이버 위협 감지 기업 시에나가 시스템즈(Cienaga Systems)의 CEO인 이니고 메리노에 따르면, 재난 복구 및 보안 복구 계획의 목적은 기업마다 다르고 때때로 서로 충돌하기도 한다.

그는 “가장 큰 차이는 재난 복구의 핵심이 비즈니스 연속성인 반면 정보 보안의 핵심은 정보 자산 보호라는 점이다. 보안 사건 대응에는 세부적인 기저 원인 분석과 증거 수집 및 보존, 조율되고 또는 눈에 띄지 않는 대응이 필요하다. 반면 비즈니스 기회 계획은 그 특성상 매우 공개적인 이벤트로 모두가 준비하고 신속하고 전략적인 비즈니스 재개를 목표로 대규모 의사소통이 이루어져야 한다”라고 말했다.

신원 관리 및 취약성 관리 제품 개발업체 비욘드트러스트(Beyondtrust)의 기술 전문가 스콧 칼슨은 "재난 복구 계획의 경우 우선 데이터 품질에 초점을 맞추고 이 이후에 비즈니스 처리를 다룬다. 반면 보안 계획에서는 과거의 데이터를 분실했는지 여부에 상관없이 보호 통제를 염두에 두며 ‘앞으로 보호하는 것’이 훨씬 중요하다”라고 말했다.

비슷하지만 다르다
재난 및 보안 전략은 겉으로 비슷해 보여서 많은 기업이 편의성을 위해 둘을 통합한다. 경영 컨설팅 기업 내비게이트(Navigate)의 수석 관리자 스티븐 웨이드너는 “높은 수준에서 보면 재난 복구 및 보안 계획은 활동이 유사하다. 처음에는 두 계획 모두 이벤트의 영향을 최소화하는 절차가 있으며 이벤트로부터 복구하기 위한 절차와 테스트, 재개하기 위한 절차가 이어진다. 비슷한 이벤트의 재발 가능성을 최소화하는 지침이 포함된 것도 같다"라고 말했다.

하지만 자세히 보면 재난 및 보안 복구 계획은 근본적인 차이가 있다. 웨이드너는 “(재난) 복구 계획은 IT 활동 복구에 초점을 두지만 보안 계획은 IT 중단 방지 또는 제한 및 IT 운영 유지에 초점을 두고 있다”라고 말했다.

뉴잉글랜드에 위치한 회계기업 베이커 뉴먼 노이스(Baker Newman Noyes)의 위험 및 비즈니스 자문 활동 관리자 피터 포추네이토도 "보안 복구 계획은 사건의 파장을 멈추고 재발하지 않도록 수립된다. 반면 재난 복구 계획은 유사한 단계를 거칠 수 있지만 명명법에서 ‘감지'라는 말로 화재 또는 홍수를 설명하거나 분석 방법을 적용하지 않는다. 또한 증거 수집이 필요한 재난은 많지 않다”라고 말했다.



계획 관리의 또 다른 위험은 원치 않는 대중의 관심을 얻을 수 있다는 점이다. 메리노는 “예를 들어 재난 복구 계획을 적용하려면 주요 이해당사자에게 많은 정보를 제공해야 하는 경우가 많다. 하지만 휘발성이 높은 전자 증거를 수집하고 무결성을 보존해야 하기 때문에 (네트워크) 유출 의혹 등 조사가 필요한 문제는 가장 마지막으로 취해야 하는 조치다”라고 말했다.

복잡한 보안 및 재난 복구 규칙과 절차를 통합하면 불필요하게 크고 모호하며 때로는 모순되는 문서가 생성될 수 있다. 사이버 보안 서비스 제공기업 그레이캐슬 시큐리티(GreyCastle Security)의 서비스 부사장 댄 디디어는 “프로세스와 자원을 단일 계획으로 통합하려고 시도하는 경우 흙탕물을 일으키거나 프로세스를 과도하게 간소화 또는 복잡화할 수 있다”고 말했다.

실제로 사건의 전반적인 영향에 대한 순위를 설정하는 등 일부 프로세스는 유사할 수 있지만 다른 프로세스는 통합하기가 쉽지 않다. 디디어는 “다양한 자원이 관련돼 있을 수 있으므로 사후에 계획을 업데이트해야 하고 교육과 테스트가 복잡하다”라고 말했다.

화재, 폭풍, 정전, 기타 물리적인 사건은 모두 예측이 불가능하지만 일반적으로 그 속성은 널리 알려져 있다. 반면 보안 위협은 예측이 불가능하고 빠르게 발전하는 사이버 범죄의 속성을 고려할 때 일반적으로 잘 파악되지 않는다. 따라서 보안 복구 전략을 재난 복구 전략보다 더 자주 검토하고 업데이트 해야 한다.

보안 복구 계획이 재난 복구 계획보다 최신 상태를 유지하기가 더 어렵다는 것은 전문가의 공통된 의견이다. 법률기업 BBS(Bass, Berry and Sims)의 내쉬빌(Nashville) 사무소 프라이버시 및 데이터 보안 변호사 앤소니 맥파랜드는 “새로운 외부 사이버 위협이 매주 발생하고 있다. 반면 기업을 위협하는 인공 또는 자연 재해는 상대적으로 정적이다. 비즈니스가 지리적으로 확장될 때에도 새로운 예측 가능한 재난의 수는 제한적이다"라고 말했다.

재난 대응은 즉각적이어야 하지만 사이버 이벤트에 대한 대응은 더 신속해야 한다. 토네이도, 홍수, 지진 등의 임박한 재난에 대해서는 사전 경고를 받을 수 있지만 표적화된 사이버 공격에 대해서는 사전 고지는 받을 수 없기 때문이다.

SAP NSS(SAP National Security Services)의 사장 겸 CEO 마크 테스토니는 “보안 복구 계획 내에서 위협의 속성은 재난 복구보다 더 동적이기 때문에 지속적인 검토와 업데이트가 필요하다. 예를 들어, 최근의 워너크라이(WannaCry) 같은 랜섬웨어 공격은 놀랍도록 파괴적이고 새로운 위협과 위험에 효과적으로 대응하는 방법을 파악하기 위해 보안 복구 계획이 필요하다”라고 말했다.

부즈 알렌(Booz Allen)의 긴급 관리, 재난 지원 담당 마크로 번은 발견 프로세스가 보안 및 재난 계획의 가장 중요한 측면이라고 본다. 그는 “계획은 적응력이 뛰어나야 하며 핵심 리더는 성과를 극대화하기 위해 계획의 목표를 반드시 파악해야 한다”라고 말했다.


팀 전체의 노력
전문가 대부분은 재난 및 보안 복구 계획을 별도로 작성해 유지해야 한다는 생각이지만, 더 중요한 것은 두 전략의 잠재적인 공백과 충돌을 정기적으로 검토하는 것이다.

뉴욕 롱아일랜드(Long Island, N.Y.)의 법률 기업 MH&H(Moritt Hock & Hamroff)의 파트너이자 사이버 보안 활동 그룹의 공동 회장 스티브 루빈은 “계획이 상호 보완하도록 하는 최고의 조치는 동일한 팀이 이 둘을 통해 업무를 처리하도록 하는 것이다. 더 강력하고 상호 보완할 뿐 아니라 장기적으로 더 효과적이고 민첩할 것이다”라고 말했다.

하지만 단, 각 팀이 서로 전략과 목표를 정기적으로 조율하면 보안 및 재난 계획을 개별적으로 담당할 수 있는 경우도 있다. 웨이드너는 “각 팀은 보안 또는 IT 복구 지원 여부에 상관없이 자체적으로 구체적인 계획 요건을 관리해야 한다. “하지만 감독과 관리를 중앙에 집중해 임원진, 기업 이해당사자, 고객에 대한 의사소통 등 동일한 방법론을 이용해 이벤트를 지원하도록 보장해야 한다”라고 말했다.

1~2팀이 계획을 처리하는지 여부에 상관 없이 적절한 사람들을 참여시켜는 것도 중요하다. 특히 고위 경영진은 필수로 감독해야 한다. 이밖에 CIO, CISO, 네트워크 관리자도 두 팀의 필수적인 구성원이다. 하지만 많은 재난 복구팀 구성원이 보안 그룹 업무에 관여하지 않거나 제한적으로 참여하며 반대의 경우도 마찬가지이다.

맥파랜드는 “예를 들어 시설 관리자는 재난 복구팀의 필수적인 구성원이지만 일반적으로 사무실에서 유형/하드카피 데이터를 물리적으로 손실 또는 도난 당하지 않는 한 (보안) 그룹에는 필요 없다”라고 말했다.

운영팀과 보안팀은 반드시 통제되고 건설적인 방법으로 서로의 계획을 검토해 서로 지원하기 위해 어떻게 활용할 수 있는지를 판단해야 한다. 비욘드트러스트의 기술 부사장 모레이 하버는 “이런 활동은 별도로 개발하지 말고 가능하면 함께 시험해야 한다. 이는 별도의 의무 요건을 유지하고 팀 시너지를 구축하면서 극단적인 사례가 발생하지 않도록 하는 데 도움이 된다”라고 말했다.

교훈
기업이 효과가 있는 보안 및 재난 복구 계획과 그렇지 않은 것을 알게 되면서 점점 더 많은 기업이 보안 복구는 재난 복구가 아니며 각 요건이 전혀 다르다는 것을 인식하고 있다. 메리노는 “기업이 성숙하면서 보안 사건 대응의 목적은 단순히 비즈니스를 복원하는 것이 아니며, 일반적으로 비즈니스 연속성을 위해 재난 복구에 적용되는 여러 기능이 사이버 보안 이벤트에 적용할 수 없거나, 일부 경우에는 오히려 보안 사건 대응 및 포렌식(Forensics)에 유해하다는 점을 깨닫고 있다”라고 말했다.

웨이드너는 “성공적인 보안 및 재난 복구 계획을 확보하는 핵심은 계획을 문서화, 관리, 시험하고 보편적인 관리, 소통, 단계적 확대 방법론을 개발하는 것이다. 이런 통합된 접근방식은 혼란을 최소화하고 이벤트로부터의 복구 시간을 감소시킨다”라고 말했다. ciokr@idg.co.kr