A.5.30
사업연속성을 위한 ICT 준비
조직적 통제확인사항 6증적 7사례 7
통제 목적
사업연속성을 위한 ICT 준비는 조직이 사전에 정의한 사업연속성 목표를 충족할 수 있도록 ICT 서비스의 연속성/복구 역량을 계획, 구현, 유지, 시험하기 위한 통제입니다. 사업영향분석(BIA)과 위험평가를 근거로 중요 업무를 지원하는 ICT 서비스의 복구 요구사항(목표복구시간, 목표복구시점, 최소 서비스 수준)을 도출하고, 이를 충족하는 복구 전략/구성/절차를 마련하는 것을 요구합니다. 재해/장애 상황에서도 ICT가 합의된 수준으로 신속히 복구되도록 준비 상태를 상시 유지하고 정기적으로 검증하는 것이 목적입니다.
주요 확인사항
- 사업영향분석(BIA)을 통해 중요 업무와 이를 지원하는 ICT 서비스가 식별되고, 각 서비스의 목표복구시간(RTO)/목표복구시점(RPO)이 정의되어 있는가?
- 정의된 RTO/RPO를 충족하기 위한 ICT 연속성/복구 전략(이중화, 백업, 대체 처리 설비, 클라우드 기반 복구 등)이 수립되고 필요한 자원이 확보되어 있는가?
- ICT 복구 절차(장애 감지, 발동 기준, 복구 단계와 우선순위, 역할/책임, 비상 연락체계)가 문서화되어 최신 상태로 유지되는가?
- ICT 연속성/복구 계획의 정기 시험과 중대한 변경 후 시험이 수행되고, 시험 결과가 RTO/RPO 달성 여부로 평가되어 개선에 반영되는가?
- 복구에 필요한 백업, 구성정보, 문서, 라이선스, 접근 수단이 재해 시에도 사용할 수 있도록 보호된 상태로 보관되어 있는가?
- ICT 준비 상태가 조직의 사업연속성관리(BCM) 및 사고대응/위기관리 체계와 정합성 있게 연계되어 있는가?
이행 지침
- 사업영향분석과 위험평가 결과를 바탕으로 각 중요 ICT 서비스에 대해 RTO/RPO/최소 서비스 수준을 정량적으로 정의하고, 경영진 승인을 받아 복구 목표로 확정합니다.
- 목표를 충족하는 복구 전략(시스템 이중화/클러스터링, 지리적으로 분리된 대체 처리 설비, 데이터 백업 및 원격 보관, 클라우드 기반 복구, 수동 대체 절차 등)을 선택하고, 비용/위험을 고려하여 서비스 중요도별로 차등 적용합니다.
- ICT 연속성/복구 계획에 장애/재해 감지 및 발동 기준, 복구 우선순위와 단계별 절차, 역할과 책임, 비상 연락망, 외부 공급자/통신/클라우드 사업자 연계, 복구 후 정상 전환 절차를 포함하여 문서화합니다.
- 복구에 필수적인 백업 데이터, 시스템 구성정보/이미지, 네트워크 도면, 운영 문서, 소프트웨어 라이선스, 인증정보/접근 수단을 별도의 안전한 위치에 보관하고 무결성과 복구 가능성을 주기적으로 검증합니다.
- 검토, 도상훈련, 복구/전환 시험을 조합하여 계획을 정기적으로 검증하고, 중대한 변경 후에도 검증합니다. 도상훈련은 역할과 절차를 확인하는 데 사용하고, RTO/RPO 달성은 대표성 있는 실제 복구/전환 시험에서 경과 시간과 복구된 데이터 시점을 측정하여 확인합니다. 시험 범위의 한계와 개선사항도 기록합니다.
- 복구에 필요한 인력/기술/설비/외부 계약 등 자원의 가용성을 확보하고, 담당 인력을 교육하고 훈련하며 백업 인력을 지정하여 특정 인력이 부재할 때에도 복구할 수 있도록 합니다.
- ICT 준비 계획을 조직의 사업연속성관리 체계 및 사고대응/위기관리 절차와 통합하고, 변경이 생기면 함께 갱신하여 정합성을 유지합니다.
증적자료
- 사업영향분석(BIA) 결과 및 중요 ICT 서비스별 RTO/RPO 정의서
- ICT 연속성/복구 전략서 및 구성도(이중화, 대체 처리 설비, 백업 아키텍처 등)
- ICT 재해복구계획(DRP)/복구 절차서(발동 기준, 복구 단계, 역할/책임, 비상 연락망 포함)
- 복구 시험 계획 및 시험 결과 보고서(RTO/RPO 달성 여부, 도출된 미흡점 및 개선 이행 내역)
- 백업 및 구성정보/문서의 원격 보관 현황과 복구 가능성 검증(복원 시험) 기록
- 복구 관련 교육/훈련 이력 및 담당/백업 인력 지정 현황
- 외부 공급자/통신/클라우드 사업자와의 복구 관련 계약/SLA
부적합 사례
- 사업영향분석을 수행하지 않아 ICT 복구 목표(RTO/RPO)가 정의되지 않고 복구 우선순위와 자원 배분의 근거가 없는 경우
- 재해복구 전략/계획 문서는 있으나 오래되어 현재 인프라/구성과 불일치하고 갱신 이력이 없는 경우
- 백업은 수행하나 복원 시험을 한 적이 없어 실제 재해 시 복구 가능 여부가 검증되지 않는 경우
- 복구 계획 수립 후 정기 시험이나 중대 변경 후 시험을 전혀 수행하지 않는 경우
- 복구에 필요한 구성정보/문서/라이선스/접근 수단이 주 사이트에만 존재하여 재해 시 접근이 불가능한 경우
- 복구 절차가 특정 인력에게만 의존하고 백업 인력/교육이 없어 담당자 부재 시 복구가 불가능한 경우
- 시험에서 RTO/RPO 미달이 확인되었으나 개선 과제로 관리되지 않고 방치된 경우