[특집-BCP] 기고..이영재 BCP포럼회장.동국대교수

"위기관리 대응책 미흡 초기단계서 해법 찾아야"


1.25인터넷 대란 이후 정보보호 솔루션과 컨설팅에 대한 중요성이 높아지고 있다. 이와 관련 침체되었던 정보보호 시장이 활기를 찾을 것이라는 전망을 하고 있다. 그러나 정보보호를 기술적으로 아무리 강화한다 해도 유사한 비상사태를 근본적으로 차단할 수 있는 방안은 못된다.

이러한 관점에서 이번 인터넷 대란과 같은 사고는 위기관리라는 넓은 범위에서 접근 방법을 찾아봐야 한다. 위기관리의 관점에서 문제점들을 살펴보면 이번과 같은 대형 재해를 방지하고 신속히 대응할 수 있는 대안을 찾을 수 있다. 위기관리에 있어 우리나라 조직의 문제점은 첫째, 업무 프로세스에 대한 명확한 정의가 되어있지 않다는 것이다. 조직에 따라 차이는 있겠지만 사람 중심으로 업무진행이 이루어는 것이 일반적이다. 따라서 비상계획의 중심 대상이 되는 업무 프로세스를 명확히 정의할 수 없으므로 업무프로세스 단위로 비상계획을 수립하기가 쉽지 않다.

둘째는 계획을 단순히 형식적으로 작성, 비상계획을 유사시 현장에 적용할 수 없게 만드는 것이다. 셋째, 비상계획에 대한 훈련 역시 형식적으로 이뤄지고 있으며 실시한다 해도 피난훈련에 그치고 있다. 책임자도 위기발생 시 대응에 대한 실천적 훈련이 되어 있지 않아 비상계획을 실제 대응과 복구활동에 현실적으로 적용하기가 어려운 실정이다. 넷째, 복잡한 보고체계가 위기상황 발생시에 신속하고 적절한 의사결정을 내리는데 많은 걸림돌로 작용하고 있다. 이는 위기관리를 전담하는 조직과 의사결정을 위한 표준절차가 수립되어 있지 않아서 위기상황이 발생할 경우, 평소보다 많은 시간을 필요로 하기 때문이다.

이러한 위기관리 프로세스가 효과적으로 이루어지려면 이같은 문제점들을 고려해 비즈니스 상시운영체계(BCP 또는 업무연속성체계)에서 그 대안을 찾아야 한다.

BCP는 전력이나 기술 공급중단 및 자연 재해 등 광범위한 시나리오를 다룬다. 특히 정보시스템이 문제가 생기면 정지 시간이 얼마이든 간에 비즈니스에 치명적인 영향을 주기 때문에 BC관리자는 보안 사건/침해, 아웃소싱 업체의 정지/침해, 콘텐츠/애플리케이션 링크/침해, 운영상의 오류 등과 같은 새로운 리스크를 계속 시나리오에 포함시켜야 한다.

BCP 프로그램의 초기 단계에 정보보호의 필요성에 대한 기본적인 방안을 수립해야 한다. 첫째, 조직이 사이버테러에 대한 취약성과 어느 정도의 노출가능성이 있는지 그리고 어느 프로세스가 가장 심각하게 노출되었으며 어떠한 영향을 받는가를 파악해 업무의 복구 우선 순위를 결정해야 한다. 둘째, 사이버 테러를 경감할 수 있는 방법, 사건 예방 및 사건으로부터의 복구 등을 위한 방법을 폭넓게 연구하여 비용과 효과 측면에서 평가, 현실적인 정보보호 방안을 선택해야 한다. 셋째, 정보보호에 관한 업무 내용과 조직 등을 담고 있는 세부 계획과 행동, 보고, 협력 체계를 수립하여야 한다. 리스크 발생 방지에 대한 성공의 열쇠는 복구 프로세스 테스트를 위시한 세부 계획에 대한 지속적인 훈련과 교육에 있다. 훈련은 모든 팀원들을 갑작스럽게 또한 예기치 않게 발생한 비즈니스 프로세스의 중단에 익숙하게 하고, 발생 가능한 문제와 예상 밖의 상황을 미리 경험할 수 있게 해 준다.