재해·재난 등 사고 이후의 사업 지속을 위한 대응계획은 필수

[보안뉴스= 백봉원 ASIS International Korea Seoul 사무총장] 최근 삼성, LG 등 글로벌 제조사들이 사업연속성(BCP: Business Continuity Plan) 관련 국제표준 인증(ISO22301-비즈니스 연속성 경영시스템)을 취득했으며, 많은 다른 업체들도 인증 획득 절차를 진행 중인 것으로 알려져 있다.

이러한 인증 획득은 최근 재해·사고에 대한 위기대응 및 복구 관리체계의 중요성이 대두되면서 화재, 질병, 지진, 정전, 자연재해 등 각종 재해 사고에 대비해 미리 계획된 복구계획과 매뉴얼에 따라 정해진 시간 내에 핵심 업무와 주요 인프라를 신속하게 복구할 수 있는 시스템을 구축해 사고 예방, 위기대응체제의 구축은 물론, 회사의 신뢰성 및 국제 경쟁력 강화 차원의 활동을 한층 더 높이기 위한 노력이라 볼 수 있다. 

BCP는 기업이 방해를 받는 상황에서 손실 혹은 사용할 수 없는 자원을 채우고, 자원 사용이 불가능할 때 계속해서 회사의 중요한 기능 수행을 중단되지 않도록 하는 과정이다. 이 계획은 지난 9·11 미국 테러 사건 이후 지속적인 비즈니스를 보장할 수 있는 환경을 구축하고자 하는 관심이 증가되면서 구축하게 됐다. 

이 BCP는 재난 발생 등으로 사업의 연속성을 유지하기 위한 계획으로 재해, 재난 등의 리스크(Risk)로 인해 사업의 정상적인 운용이 어려울 경우 핵심 업무 기능을 복구해 기업 가치를 극대화하고 회사의 생존을 위해 중요한 기능 실행을 통해 사업을 지속적으로 운영할 수 있다.

오늘날의 환경에서 Business Continuity Plan은 반드시 필요하다
빈번하게 발생하고 있는 각종 도난, 화재 등의 사건뿐만 아니라, 지진, 질병, 풍수해 등 각종 재난재해 그리고 최근 가장 이슈화되고 있는 폭발물 테러, 제품 복제, 사이버공격 등과 관련해 사전, 사후에 어떤 조치가 필요한 것인지를 대처하며 준비해 나가는 부분은 중요한 사안이다.

아울러 재해 사건의 영향을 최소화하고 복구 단계까지의 계획을 임직원들에게 지원해 주어 실제 상황 발생시 사전에 준비된 계획에 따른 적절한 대응으로 자신감을 고취시키며 신속한 복구를 할 수 있다. 또 손실의 최소화, 충격의 감소와 회사의 사업 지속에 대한 확신의 필요성에 의한 대비 및 회생 전략과 적절한 시간에 맞게 사업을 수행할 수 있는 위치에 이르도록 준비된 계획을 이행하는 것이 목적이라 할 수 있다.

이 과정은 재해를 관리하면서 체계적이고 포괄적으로 치명적 리스크를 구별하고 그 영향력을 측정해 완화 및 회복과 기업의 가치 보호를 위한 통합된 전략 수정을 시행한다. 이러한 BCP의 성공을 위한 가장 중요한 사항은 기업 최고경영자의 인식의 전환과 그 의지이며 예산을 고려해 리스크에 따른 비즈니스의 저해요인을 해결하기 위한 프로세스를 구축해야 한다는 점이다. 또한, 이해당사자들이 가급적 모두 참석하고 임직원들에 대한 지속적인 홍보와 교육을 통해 참여의지를 높여야 한다.

대부분의 기업들은 이전에 있던 문제들을 해결하기 위해 계획을 세우는 것이 보통이다. 그러나 대부분 오래된 방법과 경험에 의존해 새롭게 발생되는 리스크에 대한 문제 해결을 추구하는 경향이 있다.

포춘 500대 기업 중, 오직 5~25% 만이 위기에 대처할 준비가 되어있다는 보고서도 있지만, 리스크 예방 활동 시스템을 기 구축한 선진 기업의 경우에는 새롭고 다양하게 발생되는 리스크에 대처할 수 있는 계획을 미리 준비해 놓는 것을 필수로 하고 있다. 이렇게 위기에 대처할 준비가 된 기업들은 긴급 상황에 신속하게 반응해 손실에 대한 충격을 최소화 해 지속적인 영업을 통해 더 좋은 경영실적과 명성을 얻을 수 있는 것이다.

BCP는 컨설팅, 시스템 구축, 시스템 관리 3단계로 진행되며 비상대응계획서(ERP: Emergency Response Plan), 전산장애복구(DRP: Disaster Recovery Plan), BRP(Business  Recovery Plan)의 개념을 포함해 비즈니스 업무 지속성을 가지며 영역은 다음과 같다.

△ Business Continuity Programme Standards
△ Business Impact Analysis (BIA)
△ Business Operations Recovery Strategy & Objectives (RTO)
△ Business Continuity Plan Development
△ Business Continuity Testing
△ Maintenance


BCP의 기대효과는 전사적인 위기관리의 필요성을 인식하고 대외적으로 회사의 신뢰도를 올리는 한편, 회사 내부적으로 발생할 수 있는 리스크에 대한 예방체제를 구축하고 그 리스크에 대해 전사 통합관리가 가능하다는 것이다. 또한, 기업조직의 비즈니스 연속성을 유지하고 신속한 복구체제가 정립됨으로서 기업의 가치 향상은 물론 손실금액 최소화, 보험료 절감 등의 비용효과측면에서도 긍정적으로 작용하게 된다.

또한, BCP 작성 시에는 재해를 예방하기 위해 재해발생 요인들을 확인하고 대응할 수 있도록 하는 것이 중요하다. 분석된 위기를 위기관리(Crisis Management) 시스템을 통해 대응(Response Plan) 및 복구계획(Response & Recovery Plan)을 수립하고 재해에 대한 정성적 정량적 평가 항목을 도출하며 운영할 수 있는 시스템을 구축한다. 수립된 계획에 의한 주기적 훈련을 실시해 문제점을 보완하고 지속적인 업데이트도 필요하다.

최근 국내의 상황을 보면, BCP를 정보보안 분야에 주 초점을 맞추는 경향이 있어 거시적인 관점에서 생산, 구매, 관리, 연구소, 재무 등 포괄적인 BCP를 수립하는 것이 중요하다고 본다.

재직시절에 한 정비사업소에서 발생한 화재사건이 있었다. 외주 사업자가 사업소로부터 계약해지를 통보받은 것에 불만을 품고, 교육받고 있는 교육장에 휘발유통을 들고 들어와 본인의 몸에 휘발유를 끼얹고 라이터로 불을 붙여 순식간에 화재가 발생해 거의 전 사업소 직원들이 부상을 당하는 등 사업소 운영이 불가한 상황이 발생했다.

3층 높이의 장소에서 화재가 발생했음에도 불구하고 더 큰 사고를 막을 수 있었던 것은 사업소에 대한 소방대피훈련이 사고 발생일 1주일 전에 실시되어 직원들이 침착한 대응을 했기 때문인 것으로 기억된다. 이후, 사업소는 BCP(Business Continuity Plan)에 따라 각 정비사업소에서 인력을 차출, 긴급 파견하는 등, 2주 후에 바로 사업을 진행해 피해를 최소화 할 수 있었고 그 사업소는 매년 실시되는 보안(Security) 관련 사항 점검 시에 항상 회사 내 우수 사업소로 선정되기도 했다.

간혹 우리나라에서 사회와 기업 전반에 발생하는 각종 사고와 재해 상황에 있어 사전에 준비된 예방활동과 대응, 그리고 사고 이후의 사업의 지속을 위한 계획이 아닌, Case by Case로 처리되는 현실과 결국은 큰 사고가 난 후에야 계획을 준비하고 대응하려는 낙후된 의식은 반드시 개선돼야 할 한 부분이 아닐까 싶다.

효과적인 재해 복구/비즈니스 연속성 계획 단계
△ 계획 : 계획 단계에서 이 정보를 수집하고 재해 시에 구현되어야 하는 절차 공식화
△ 준비 : 교육, 장비, 처리 우선순위, 인수계획, 복구계획 등
△ 훈련 : 재해 계획에 따라 실제 발생 가능한 사고에 대한 정기적 훈련 실시, 외부 컨설턴트 등 전문가 참여(복구 매뉴얼에 언급되지 않은 사안 발견), 결과에 만족하지 않는 경우 재실시 및 재평가
△ 실전 : 재해가 발생하면 초기에 작성된 계획을 즉시 사용할 수 없을 수 있으므로 임직원들의 훈련 및 대피 등의 절차, 장비 등을 포함하여 다양한 재해에 대해 초기 반응은 매우 중요하므로 훈련의 선행은 필수적
△ 대응 : 상황 발생에 따른 적절한 대응책 수립
△ 비상 가동 : 정상으로 돌아올 때까지 수행되며 장기적으로 이어지는 상황에 대비
△ 재건축/수리 : 재해 후에 건물, 파일, 통신 등 복구 시, 업그레이드를 위한 기회로 활용
△ 정상상태복귀 : 정상적인 사업 운영의 재개를 허용하는 데 필요한 모든 것을 포함
△ 후 처리 : 예상치 못한 문제 및 재난 이후 발생한 새로운 솔루션의 결과 평가, 반영
△ 자료 업데이트 및 교육 : 시스템 설명서를 업데이트뿐만 아니라, 교육 프로그램을 수정하고 새로운 절차에 따른 훈련 실시
 
BCP 작성시 포함사항
·BCP 소개
·배포 List
·참고 문헌 및 관련 서류
·용어 해설
·리스크 관리 계획
·보험 관련 사항
·데이터 보안 및 백업 전략
·비즈니스 영향 평가 분석
·사고 대응 계획
·즉각적인 대응 체크리스트
·피난 절차
·응급 키트
·역할과 책임
·비상연락망
·복구 계획
·사고 복구 체크리스트
·관련 연락처
·보험 청구 양식
·시장 평가
·유지, 훈련 관련
·기타

기업연속성에 관한 CEO 선언문 예(자료: 기업보안론_최선태 저)
◇ 목적
BCP는 기업에 영향을 미치는 재난발생 직후에 기업의 핵심 업무의 운영을 신속하게 복귀할 수 있도록 촉진하기 위해서 제안된다. BCP는 이미 사업장에서 시행되고 있는 연속성계획(화재예방계획, 폭발물대응계획, 기상이변계획 등)을 보완하는 후속계획으로 적용되며, 이러한 계획들이 종료되는 시점에 이어서 시행된다. CEO는 재난이 발생되는 경우에 사업에 심각한 영향을 받게 되므로 해당 BCP를 개발하고 목적이 달성되도록 보장되는 책임을 갖는다.
핵심 업무 관계자는 해당부서에서 절차를 수립하는 책임을 진다.
1. 핵심 업무의 손실정도에 대하여 평가한다.
2. 주요인사에게 알린다.
3. 핵심 업무를 복구하는데 필요한 재원을 배치한다.
이러한 절차에서의 핵심은 관리자마다 매우 다양하나 사명선언, 업무범위, 의사결정 책임, 핵심임무의 지정, 필요한 재원, 재난 이후에 구성원과 쇄신할 수 있는 과정, 재난을 알려야 할 인사, 복구침의 구성, 복구 우선순위, 업무의 상호관계, 업무흐름도, 의사결정도, 훈련에 관한 내용이 포함된다. 해당절차는 개별적으로 BCP에 첨부되고 관리자는 필요한 경우에 항상 사용이 가능한 상태로 유지한다.

◇ 가정
1. 핵폭발과 같은 특수한 재난의 경우는 피해정도는 심각하나 BCP의 영역에는 포함하지 않는다.
2. 본사에 영향을 미치는 재난은 대형화재, 지진, 폭탄, 시민소요, 노동쟁의 보다는 태풍에 수반하는 강풍이나 호우일 가능성이 높다.
3. 재난이 발생한 다음 본사의 업무가 정상적인 상황으로 복귀하는데 걸리는 시간은 적어도 2일에서 최대 30일을 초과하지 않는다.
4. 임시 업무공간, 장비, 데이터, 보급품, 공급업체는 재난이 발생한 지 48시간 이내에 핵심업무가 가능하도록 준비하여야 한다. 이러한 가정은 태풍과 같이 동일 지역의 모든 핵심 사업장이 피해의 대상이 된 경우에는 이러한 필수적인 재원의 보급과 수요에 문제가 발생하므로 사전에 이러한 상황을 가정하여 건물관리에 필요한 핵심 보급품을 확보하여야 한다.
5. BCP수행에 필수적인 사람은 항상 재난상황에서 사업장에 상주하여야 한다. 그럼에도 불구하고 임직원 가족이 공동체 전체가 재난의 영향권에 들어갈 경우에는 가족을 보호해야 하기 때문에 사업장의 복구 진행이 지연될 수도 있다.

◇ 목표
1. 가장 핵심적인 업무는 2일 이내에 복구시킨다.
2. 대부분의 핵심 업무는 일주일 이내에 복구시킨다.
3. 모든 업무기능을 30일 이내에 복구시킨다.

◇ 비지니스 연속성 팀의 구성
비즈니스 연속성팀은 보안팀, 재무, 구매, 인사, 대외업무, IT부서가 핵심이 되어 구성한다.
[글 _ 백봉원 ASIS International Korea Seoul 사무총장, 서울과학종합대학원 겸임교수
(메일:jhpaik100@daum.net/카페 :http://cafe.naver.com/securitycso)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>