보안

비즈니스 연속성 및 재해 복구 계획 기본 가이드

Neal Weinberg | CSO 2021.03.29
캘리포니아의 산불, 텍사스의 폭설, 중서부 지역 곳곳의 겨울 강풍, 하와이의 홍수, 플로리다와 루이지애나의 허리케인, 러시아 해커와 랜섬웨어 공격, 그리고 전세계를 휩쓴 팬데믹 위기까지. 아직까지도 재해 복구와 비즈니스 연속성 계획이 크게 중요하지 않다고 생각한다면, 최근 일어난 사건들을 주목하지 않아서 일 것이다. 

코로나19 팬데믹 위기를 벗어나기 시작하는 지금, 기업과 조직들은 원격과 디지털, 클라우드가 더 확대될 ‘뉴 노멀’에 맞춰 변화하고 있는 중이다. 재해 복구 계획 또한 변화하는 비즈니스 환경과 상황에 보조를 맞춰 변화할 것이다.

무엇보다 재해 복구를 위한 비즈니스 요건이 크게 바뀌었다. 며칠이나 몇 시간의 복구 시간이 수용되던 시절이 있었다. 그런데 지금은 몇 분이어야 한다. 일부 사업 단위(BU)는 예기치 않은 중단에 ‘0’의 다운타임을 요구한다.

2021년 이후의 재해 복구 및 비즈니스 연속성(DR/BC) 계획에 반영되어야 할 기본사항들을 소개한다 (정의에 너무 집착하지 말자. 재해 복구(Disaster Recovery, DR)란 IT 인프라를 백업에 가동하는 것, 비즈니스 연속성은 복구 후에 비즈니스를 되찾고 다시 기능하도록 만드는 더 광범위한 개념이다). 
 
ⓒ Getty Images Bank
 

사이버 보안, 침입 감지/대응, 재해 복구를 데이터 보호 계획에 통합 

CISO가 재해 복구 계획에서 첫 번째로 추구해야 할 목표는 애초에 재난을 피하는 것이다. 그런데 이는 갈수록 더 어려워지고 있는 목표이다. 무엇보다 데이터가 온프레미스 데이터센터에 안전하게 보관되어 있지 않다. 온프레미스 환경과 하이퍼스케일 클라우드, 엣지와 SaaS 애플리케이션 곳곳에 분산되어 있다. ESG 리서치(ESG Research)의 시니어 애널리스트인 크리스토프 버틀랜드는 SaaS는 데이터 보호와 복구 측면에서 상당한 도전과제를 제시한다고 지적했다. 이제는 미션 크리티컬 애플리케이션들이 통제할 수 없는 ‘서비스’로 운영되고 있기 때문이다.

둘째, 팬데믹 위기는 수많은 직원들을 안전한 기업 사무실에서 자신의 홈 오피스로 내몰았다. 와이파이는 덜 안전하고, 직원들은 협업 애플리케이션에서 민감한 데이터를 공유하는 환경이다.

셋째, 해커들은 이렇게 공격 표면이 확대된 것을 알고 있고, 이에 더 표적화 된 새로운 랜섬웨어 공격을 감행했다. 소포스(Sophos)의 2020년 랜섬웨어 현황 보고서에 따르면, 해커들은 무차별적 데스크톱 공격에서 벗어나 서버 기반 공격을 감행했다. 이는 전개에 더 많은 노력을 투입하는 아주 표적화 된 정교한 공격이다. 이 보고서는 “암호화된 자산의 가치가 훨씬 더 높고, 큰 금액의 랜섬이 조직에 큰 위협을 초래할 수 있기 때문에 일반적으로 훨씬 더 치명적이다”고 지적하고 있다.

CISO는 이렇게 변화하는 환경에 대응, 원격 근무를 하는 직원들을 위해 엔드포인트 보안을 강화하는 데 초점을 맞춰야 한다. 이를 위해 VPN과 암호화 체계를 배치하고, 장소에 상관없이 보관 상태의 데이터를 보호하고, 협업 도구들이 보안 취약점의 근원이 되지 않도록 보장해야 한다.
 

비즈니스 영향 분석(BIA) 실시 

기업과 조직은 재무적인 영향, 규제 준수, 법적 책임 및 직원 안전 측면에서 재해가 가져올 잠재적인 영향을 파악해 평가하기 위해 철저히 비즈니스 영향을 분석할 필요가 있다. 가트너는 비즈니스에 부합하는 데이터 포인트 없이, 또는 오래된 비즈니스 영향 분석(Business Impact Analysis, BIA)를 토대로 재해 복구에 관한 의사 결정을 내리는 조직의 비율을 70%로 추정하고 있다. 가트너는 “BIA가 제공하는 사실을 기반으로 하지 않을 경우, 팀은 적절한 DR의 수준과 용인할 수 있는 위험의 종류에 대해 추측을 할 수밖에 없다. 그 결과 지나치게 많이 지출을 하거나, 기대치를 충족하지 못하는 문제가 발생한다”고 지적했다.

모든 것을 보호할 필요가 없다는 점을 기억하자. 이런 훈련을 하는 조직은 매달, 심지어 매년 한 번 판에 박힌 백엔드 비즈니스 프로세스를 실행하는 것 외에 아무것도 하지 않는 서버를 발견하고 놀라는 경우가 많다.

조직은 비즈니스에 중요한 정도를 기준으로 애플리케이션의 우선순위를 정하고, 비즈니스 프로세스와 관련된 종속성을 모두 파악해야 한다. 특히 여러 물리적 서버에서 가상화 되거나, 클라우드의 컨테이너에서 실행되거나, 서버리스 클라우드 환경에서 실행되는 애플리케이션이 중요하다.
 

데이터 분류 

모든 데이터를 보호할 필요는 없다. 비즈니스를 계속 운영하기 위해 필요한 데이터만 보호한다. 데이터의 위치를 찾고, 파악하고, 분류하는 프로세스를 철저히 거쳐야 한다. 규제 요건의 대상인 데이터, 고객 데이터, 환자 데이터, 신용카드 데이터, 지적 재산, 개인 커뮤니케이션 등을 보호해야 한다. 다행히 데이터를 자동으로 식별해 분류할 수 있는 도구들이 있다.
 

DRaaS(Disaster Recovery as a Service) 고려

DRaaS는 효율적인 비용으로 IT 복원력을 개선하고, 컴플라이언스나 규제 요건을 충족하고, 리소스 부족 문제를 극복하기 원하는 중소 기업과 조직의 CISO들에게 점점 더 많은 인기를 얻고 있다. 모도르 인텔리전스(Mordor Intelligence)에 따르면, DRaaS 시장은 향후 5년 동안 매년 12%씩 성장할 전망이다. DRaaS 서비스는 재해 복구와 비즈니스 연속성의 모든 측면을 다루며, 기업에 유연성과 민첩성을 제공한다.

가트너는 DRaaS 시장이 성숙해지고, 벤더의 상품과 서비스가 더 산업화되면서, DRaaS의 규모와 범위가 몇 년 전보다 훨씬 더 커졌다고 덧붙였다.
 

탄탄한 커뮤니케이션 계획을 수립 

단순히 서버를 다시 가동하는 것은 무의미하다. 모든 사람이 자신의 역할과 책임을 인식해야 한다. 사람들이 정보를 공유하기 적절한 휴대폰 번호와 이메일 주소를 갖고 있는가? 이해 관계자들이 법무 팀 밖 법 집행기관 및 조직, 유틸리티 회사, 핵심 기술 및 공급사슬 파트너, 고위 리더, 더 광범위한 직원들, 외부 PR팀에게 연락하는 것과 관련, 위기 시 대응 방법에 대해 규정한 ‘플레이북’을 갖고 있는가?

네트워킹 그룹은 재해의 성격과 특징에 따라 원격 근무자를 위해 새로운 연결성을 구축하고 트래픽 흐름을 재구성해야 할 수 있다. 또 유지관리 팀은 원격으로 문제를 해결하고, 보안 팀은 방화벽을 다시 설정하고, 액세스 정책을 변경하고, 새로운 장치나 클라우드 기반 리소스의 보안을 확대해 보호해야 할 수도 있다. 재해 시 가장 큰 문제는 데이터 백업과 관련이 없다. 적재적소에 적절한 사람이 없고, 복구할 비즈니스에 필요한 단계적인 방법들을 모두 이해하지 못하는 것이다.
 

자동화된 테스트 

전통적으로 기업들은 재해에 대한 준비성을 테스트하기 위해 핵심 이해관계자가 모여 DR 시나리오를 훈련하는 도상 훈련을 실시한다. 그러나 오스트먼 리서치(Osterman Research)가 사이버보안 분야에서 인적자원의 준비성 스킬을 육성하는 회사인 이머시브 랩스(Immersivve Labs)와 함께 7월 실시한 조사에 따르면, 이 훈련이 아주 효과적이라고 응답한 비율은 1/3에 불과했다. 또한 조직들은 변화하는 위협을 따라잡을 만큼 충분히 도상 훈련을 실시하지 않으며, 이런 훈련에 평균 3만 달러의 비용이 든다. 그리고 팬데믹 기간, 이런 도상 훈련이 실시되지 않았을 것이다.

베리타스(Veritas)의 엔터프라이즈 데이터 보안 담당 VP인 더그 매튜스는 더 나은 방법이 있다고 강조했다. 새로운 도구는 지속적으로 백업 및 복구 절차를 자동 테스트하고, 다뤄야 할 잠재적인 문제들을 파악할 수 있다. 또 최신 테스트 솔루션은 샌드박싱 기술을 이용, 기업이 프로덕션 네트워크에 영향을 주지 않고 애플리케이션의 복구성을 테스트할 수 있는 안전한 환경을 생성해준다.
 

불변 데이터 백업 생성 

랜섬웨어 공격자는 클라우드를 중심으로 백업 저장소를 표적으로 삼는다. 또한 SaaS 애플리케이션을 노린다. 따라서 조직은 변경할 수 없는 데이터 사본 하나를 반드시 유지해야 한다. 매튜스는 “누구도 손댈 수 없는 변경이 불가능한 백업 데이터 사본을 갖고 있어야 한다. 기업은 상시 2개가 아닌 3개 데이터 사본을 유지해야 한다”고 강조했다.

기업은 또한 데이터 사본 하나를 프로덕션 환경과 연결되지 않는 환경에 유지하는 ‘에어 갭핑’ 같은 분리된 복구 환경을 조사해야 한다.
 

데이터 재사용을 고려 

버틀랜드는 “비즈니스가 데이터이고, 데이터가 비즈니스이다”고 강조했다. 안전한 백업 환경에 중요한 데이터 사본을 보관한다면, 기업의 디지털 트랜스포메이션 노력을 진전시키기 위해 이를 재사용하는 방법을 고려하는 것은 어떨까?

갖고 있는 것, 그 장소, 이를 보호 및 저장하고, 최적화하는 방법을 파악하자는 이야기이다.  버틀랜드는 조직들이 궁극적으로 규제 준수, 재해 복구/비즈니스 연속성, 데이터 분석을 모두 포괄하는 ‘지능형’ 데이터 전략을 발전시킬 것으로 내다봤다.
 

지속적인 업데이트 

DR/BC 계획을 업데이트하는 CISO는 데브옵스(DevOps)를 참고해야 한다. 일회성이 아니라 지속적으로 개선할 필요가 있다는 의미이다. DR 계획을 복구성에 영향을 줄 수 있는 기업의 변화와 연결시킬 필요가 있다. 영구적으로 재택 근무를 할 직원, 문을 열거나 닫는 매장이나 원격 사무실, SaaS로 대체될 애플리케이션, 엣지로 이동할 데이터, 클라우드로 이동할 데브옵스 등을 예로 들 수 있다. 또한 기술이 지속적으로 개선되고 있기 때문에 DR/BC 프로세스 자동화에 도움을 줄 수 있는 새로운 도구들을 찾는다. 계획을 그냥 방치해서는 안 된다. 정기적으로 업데이트해야 한다는 이야기이다.
 

장기적인 계획 

지난 12개월 동안 일어났던 일을 감안하면, DR/BC에 대해 반응적으로 생각하는 대신 선행적으로 생각하는 것이 좋다. 불행히도 공중 보건 비상 사태, 기후 변화, 사이버 공격의 증가 속에 재해나 재난이 더 자주 발생하고 있고, 더 큰 피해를 초래하고 있다. DR/BC 계획은 여기에 대응하는 것을 넘어, 위협을 앞서 나갈 필요가 있다.

예를 들어, 회사가 캘리포니아에 있다면, DR/BC 계획에 다음 시즌 산불로 정전 사태가 발생할 것으로 가정해야 한다. 다음 자연재해가 닥칠 때 정전 사태를 걱정하는 기업들은 독자적으로 발전을 하는 방법을 생각하는 것이 좋다.

DR/BC 계획이 성공적이려면, 기업은 기본적인 것들을 지켜야 한다. 그러나 이와 동시에 이는 재해가 닥칠 때 비즈니스를 계속 유지시키는 창의적이고 혁신적인 방법을 찾을 기회이기도 하다. editor@itworld.co.kr
 

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.