재해복구계획 수립은 이렇게··· 9가지 방법

CIO UK
재해복구계획(DRP)을 수립해 IT인프라와 애플리케이션이 중단되더라도 복구할 수 있도록 해야 한다. 재해가 비즈니스 운영에 필수적인 IT시스템을 공격하면 CIO는 신속하게 확실하게 복구하는 데 중요한 역할을 맡게 된다.

필요한 절차를 문서로 만들어 정전 후 데이터, 시스템 기능, IT인프라를 어떻게 복구할지 정리해 놓은 DRP에 나와 있는 대로 잘 수행하면 작업을 정상적으로 복구할 수 있을 것이다.

DRP는 IT 재난을 예방, 탐지, 수정하는 방법을 설명한 것으로, 여기에는 모든 서비스 중단의 영향을 최소화하고 중요한 애플리케이션을 복원하는 데 필요한 조치를 문서로 만들고 다른 직원의 책임에 대한 설명이 포함돼 있다.

성공적인 DRP를 수립하는 방법을 알아보자.

1. 내부 시스템 감사
조직의 모든 활동과 자원을 평가해 IT시스템과 애플리케이션의 기능을 완전히 이해해야 한다.

모든 중요한 기능, 시스템, 애플리케이션을 파악하고 각각이 멈췄을 때 비즈니스에 미치는 영향을 설명하는 비즈니스 영향 분석(BIA)을 개발하라. 모든 문제가 다뤄지도록 조직의 모든 부서에 대한 의견을 구하라.

2. 외부 공급 업체 확인
조직에서 사용하는 데이터나 애플리케이션을 호스팅하는 써드파티 업체와 서비스 수준 협약(SLA)을 검토해 해당 서비스와 관련한 모든 문제의 영향을 이해하라.

각 공급 업체와 잠재적인 문제의 위험을 평가하고 운영에 중요한 공급 업체 손실에 대비한 비상 계획과 전략을 수립하라.

3. 취약점 이해
잠재적 취약성 영역과 운영 절차에서 전력에 이르기까지 조직에 피해를 줄 방법을 문서로 작성하라.

다른 유형의 피해는 없는지도 확인하라. 인간의 실수, 자연재해, 정전, 사이버 공격, 소프트웨어 문제, 하드웨어 고장은 혼란을 야기할 수 있다.

이러한 각각의 발생 위험, 그들이 가질 수 있는 영향 및 복구해야 할 것이 무엇인지 문서로 만들어야 한다. 

위험 요소로는 가동 중지 시간, 고객 손실, 생산성 감소, 수익 손실, 명예훼손 및 회복 비용이 포함된다.

4. 카탈로그 시스템 및 서비스
IT인벤토리 구성 요소에 대한 모든 정보를 상세하게 추가하라. 보증 기간 만료일, 위치, 버전 번호, 설치 또는 구매 날짜, 필수 및 지원 장비의 최신 업데이트도 반드시 넣어야 한다. 

영향이 미치기 전에 각 구성 요소를 복구해야 하는 상태(복구 시점 목표(RPO), 이를 수행하기 위한 목표 시간(복구 시간 목표), 최대 허용 가능 중단 시간(MTD))를 정하라.

5. 위험 경감
적절한 지원 시스템 및 전략을 수립하면 파악할 수 있는 위험을 줄일 수 있다. 여기에는 데이터 백업 및 IT자산 정기 점검이 포함돼야 한다.

바이러스 백신 소프트웨어, 네트워크 모니터링, 직원 교육 같은 조치로 잠재적인 위협을 발견하고 중요한 데이터와 애플리케이션을 보호하는 중복 저장으로 손상을 완화하라.

6. 재해복구계획 문서화
DRP에는 핵심 기능을 복구 및 복원하는 단기 계획과 전체 IT 역량으로 복귀하는 과정에서 어떤 측면을 처리할 것인지를 우선시하는 장기 계획이 모두 포함돼야 한다.

모든 자산에 대해 필요한 시간 내에 복구 목표를 달성하는 방법에 대한 전략을 수립하라. 여기에는 복구 프로세스의 일부로 연락해야 할 모든 공급 업체의 연락처 정보도 있어야 한다. 

사고 대응 프로세스의 일환으로 가능한 한 모든 시간대를 백업하고 실행하는 프로세스를 수립하라. 이로 인해 기존 시스템이 강화되거나 새로운 도구가 배포될 수 있다.

현 직장이 사용할 수 없는 경우에 대비하여 임대할 수 있는 대체 사무실 공간을 확인하고 기존 보험이 적절한지 확인하라.

7. 직원 교육
계획을 모든 직원에게 알리고 DRP에 따라 책임을 이해하며 이행할 수 있도록 공식적인 교육을 마련하라.

교육은 정기적으로 이뤄져야 하며, 회복 과정에서 직원의 역할에 영향을 미치는 계획이 변경될 때마다 수행돼야 한다.

---------------------------------------------------------------
클라우드 재해복구 인기기사
->기고 | 아마존 정전에서 얻은 재해복구와 클라우드 교훈
-> 아마존 정전 사고 1년, 클라우드 안전성을 생각한다
->클라우드 정전 사태를 예방하는 5가지 방법
-> 아마존 정전 사태, 클라우드 불신 촉발
-> 일본 데이터센터는 어떻게 대지진을 견뎠을까
---------------------------------------------------------------

8. DRP 테스트
정기적으로 DRP를 테스트하여 백업 소프트웨어부터 공급 업체 연락처 등 세부 정보에 이르기까지 다양한 기술 측면이 필요에 따라 작동하는지 확인하라.

테스트는 모든 백업과 복구 절차를 평가하고 수정해야 할 부분을 파악해야 한다.

9. 업데이트
기술과 비즈니스는 끊임없이 진화하기 때문에 개발을 고려해 계획을 수립해야 한다.

IT환경이나 조직에 변화가 있으면 시스템이나 직원에게 DRP를 업데이트하도록 알려라.

일단 재난이 발생했다면 DRP를 적용한 결과를 검토하고 부족한 부분을 개선해야 한다. 계획의 모든 개정 사항을 문서 앞부분의 별도 섹션에서 넣고 이후 꾸준히 모니터링하라. ciokr@idg.co.kr