정보시스템이 도입되지 않았던 이전 시기의 수작업(manual processes)을 통한 업무수행이 이제는 극히 제한적인 수준에서 가능할 정도로, 컴퓨터시스템 장애가 일어났을 때 이를 복구하지 않고 전면 수작업으로 업무를 진행한다는 것은 상상도 할 수 없다. 이러한 이유로 재해복구(DR, disaster recovery) 서비스와 산업이 생겨났으며, 아직까지도 DR은 정보시스템 즉 기술적 환경(technology environment)의 복구로 일반적으로 이해되고 있다.
It all started in the data center. Once computers became part of the business landscape, even before the introduction of personal computers on individual desks, it became pretty clear we could not return to our manual processes if our computers failed. The business model changed. The work people did with manual general ledgers in ledger books or with their hands in a manufacturing environment were now done more consistently, with fewer errors and many times faster by computers and if those computer systems failed, there were not enough people nor did the people in the business still have the skill to do it manually anymore. The disaster recovery industry was born! Still today, the term “disaster recovery” (DR) commonly means recovery of the technology environment.

데이터센터(재해복구센터를 포함해)가 존재하는 이유는 단 하나이다. 회사, 조직의 주요업무가 중단없이 수행될 수 있는 연속성을 확보해주기 위한 것이다.
It took some time, and for many industries not ‘til after the events of Sept. 11, 2001, to realize that it really did not matter if we brought back the data center if they were not business people to use it. The people who run data centers sometimes forget that the only reason we have data centers is for the business to run and that if it were not for the business, the people who make the money, we would not need the data center.

재해 발생 시 실행 가능한(viable) BCP체계가 없어 회사가 감내해야 하는 비용과 리스크에 대해서 명확히 해야 하는 것이 중요하다. 회사가 직면하는 리스크는 보통 전통적인 리스크 영역인 재무(financial)리스크와 평판(reputational)리스크, 규제/준거(regulatory)리스크 등을 들 수 있다.
To convince leadership of the need to build a viable business continuity plan you need to help them understand the risk they are accepting by not having one and the cost to the corporation if a disaster were to occur. The risks to the corporation are financial (how much money the corporation stands to lose), reputational (how badly the corporation will be perceived by its customers and its shareholders) and regulatory (fines or penalties incurred, lawsuits).

재무리스크는 정량화, 계량화하기가 용이한 만큼 리스크관리를 위해 필요한 예산, 비용산정이 상대적으로 명확하다. 일반적으로 발생가능성(Probability of Harm (P))에 발생규모(Magnitude of Harm (M))를 곱한 것을 리스크발생으로 인한 영향, 충격을 막기 위한 일련의 예방, 대응에 드는 비용(Cost of Prevention (C)) 수준으로 본다.
Financial risks can be quantified in many cases and are generally used to help determine how much money should be spent on the recovery program. You are most likely only to be able to defend spending the amount of money that is actually at risk from an event. One of the ways financial risk can be calculated is using the formula (p*m=c). Probability of Harm (P): the chance that a damaging event will occur times the Magnitude of Harm (M): the amount of financial damage that would occur should a disaster happen equals Cost of Prevention (C): the price of putting in place a means of preventing the disaster’s effects.

평판리스크는 상대적으로 정량화하기 어렵지만 뉴스미디어 등을 통해 매우 친숙하며 회사 최고경영진이 가장 우려하는 리스크 중 하나이다. 엔론(Enron)의 회계장부 조작사건과 이와 연루돼 미국 최대 회계법인 중 하나인 아더엔더슨(Authur Anderson)이 문을 닫았고, 미국인들에게 친숙한 이미지를 가졌던 마사 스튜어트(Martha Stewart)가 아임클론 주식을 내부 거래한 혐의로 신인도에 치명적인 영향을 받은 사례 등을 떠올리면 이해가 쉬울 것이다. 여기서는 미디어 대응 등의 효과적인 위기관리커뮤니케이션의 중요성도 강조된다.
Reputational risk is harder to quantify but it is clear in many industries that your competitor is a click away. If you cannot meet my need when I want, it is not hard to find someone else who will. There are also many examples of impact to stock price in the wake of a disaster that is not managed properly. Ask the leadership what they think of when you give them these examples: 쪾 Martha Stewart Industries 쪾Enron 쪾Arthur Anderson Effective crisis management can be the difference between a company surviving an event and a company ceasing to exist.

규제리스크는 관련 법이나 감독당국의 규제내용을 제대로 준수하지 못해 해당 회사나 조직에 실질적인 손실을 초래하는 리스크로 이해된다.
Regulatory risk is clearly defined by the industry the organization is a part of; however, no matter what industry you are in, what is commonly referred to as the prudent man law applies: exercise same care in managing company affairs as in managing own affairs.

전사적 비즈니스연속성(관리)프로그램 도입을 최고경영진으로부터 승인 받고 나서 가장 먼저 해야 하는 일은 이를 맡아서 수행하는 팀, 즉 조직을 만들어야 한다. 실행력 있는 계획을 만들려면 회사의 주요 기능/부서 별로 적어도 한 명 이상의 참여와 역할할당이 필수적이다. 다음은 각 개별 BCP 담당자가 해야 할 일과 얼마나 자주 전사적인 비상계획을 보고해야 하고, 갱신시켜야 하는지를 보여주고 있다.
Once you have leadership buy into build an enterprise wide program, the first step to getting there is defining your team. To build a plan that actually works, you must have at least one person from each functional area of the company to assist in building a plan. These individuals will be given as series of tasks to complete in support of the program. The following list outlines what each business contingency planner needs to have done and how often it needs to be submitted to corporate contingency planning. Business contingency planners may have additional responsibilities and deliverables specific to the individual company.

BCP 담당자는 가장 먼저 비즈니스 중단 시 복구업무를 수행할 인력과 커뮤니케이션 할 수 있는 비상연락망(emergency notification list (ENL))을 확보해야 한다. 다음 할 일은 업무복구에 필요한 중요정보 및 기록(vital records)을 안전한 원격지에 백업해 비상시에 접근 가능할 수 있도록 해야 한다. 중요정보 및 기록에는 시스템 백업을 통해 보관되는 전자문서, 파일형태뿐 아니라 종이문서, 그리고 업무절차서, 문서양식, 계약서, 증서 등을 들 수 있다.
The business continuity planner should focus first on identifying the people in their functional areas that they would need to contact to assist in the management of an event that impacted their ability to do business as usual. This will result in an emergency notification list (ENL) for each team. The next step is to make certain that all the records needed to rebuild the business are stored in a secure offsite location that would survive an event and be accessible immediately following an event. These records include both traditional records like server backup and paper files and other non-traditional records like procedures manuals, forms and letterhead.

조직과 비상연락망, 그리고 중요정보와 기록을 갖추고 난 후 해야 할 일은 비즈니스영향분석(BIA, Business Impact Analysis)을 수행하는 것이다. 이를 통해 회사는 비즈니스연속성 확보를 위해 어떤 업무를 얼마나 빠른 시간 내에 (복구목표수준, RTO, Recovery Time Objectives) 복구해야 하는지를 결정할 수 있게 해준다. ‘중요한(critical)’, ‘필수적인(essential)’이란 말보다는 ‘시급성을 요하는(time-sensitive)’라는 용어가 보다 정확하다. 즉 회사 전체적으로 보았을 때 재해, 위기상황에서 전면적 업무중단이 왔을 경우 복구에 필요한 자원과 시간은 분명 제한돼 있고, 이러한 상황에서 여러 업무 중 분명 우선적으로 복구돼야 하는, 즉 시급성 관점에서 더 중요한 업무가 분명 존재한다. 이는 업무 자체의 중요성과는 다른 차원이다.
Once you have your team and your records (your people and your stuff), the next most important step is to have each business continuity planner perform a business impact analysis or BIA. The BIA is what is going to help the company decide what needs to be recovered and how quickly it needs to be recovered. I dislike the term “critical” or “essential” in the process because no one honestly wants to be considered “non-essential.” I prefer the term “time sensitive.” Generally speaking, organizations do not hire staff to perform non-essential tasks. Every function has a purpose but some are more time sensitive than others when there is limited time or resources available to perform them. Think about it this way, if your bank had a fire that made it impossible for them to continue to work at their primary location, as a customer, you probably could not care when they resumed their marketing campaign or ran their general ledger system but you would be very upset if they could not process your checks or deposits for several weeks.

회사의 모든 기능/업무에 대해서 만약 내외부 충격으로 인해 중단됐다고 가정하였을 때 얼마의 시간 내에 복구된다면 중대한 재무적, 비재무적 손실 영향을 받지 않을 수 있는지 라는 관점에서의 분석이 필요하다. 이를 통해 제한된 복구자원과 역량이 반드시 필요한 업무의 복구에 투입되고 할당될 수 있다. 복구자원과 역량(resources)에는 전산시스템, 복구인력, 통신장비, 컴퓨터, 대내외 협력/의존성 등을 들 수 있다. 전산시스템 특히 응용프로그램(application systems)에 대한 복구우선순위 역시 파악돼야 하는데, 이때에는 이를 사용하는 회사 현업(business functions, 전산부서와 대응되는 의미)의 필요(needs) 의해 어떤 응용프로그램이 어떤 복구목표시점을 가져야 하는지가 결정된다.
Your organization needs to look at every function in this same light. How long can we not perform this function without causing significant financial losses, significant customer unhappiness or losses or significant penalties or fines from the regulators or courts. All business functions need to be classified based on their recovery priority and once done, your planning team then needs to identify all the resources necessary to perform the functions. Resources include applications systems, minimum staff requirements, phone requirements, desktop requirements, internal and external interdependencies etc. The recovery priority for application systems is also identified during this process. It is the business that decides what application systems need to come back and when based on the needs of the business functions those applications support.

BIA가 수행된 후에야 비로소 다양한 회사 내의 기능에 적합한 복구전략들을 파악하고 수립하는 작업을 시작할 수 있다. 왜냐하면 복구목표시간(recovery timeframe)에 전적으로 의존하기 때문이다. 또한 복구전략에는 아래의 사항들이 포함될 수 있다. 대체업무장소를 교육장이나 구내식당, 회의실 등을 이용할 수도 있고(internal arrangement), 다른 회사와 협약을 통해 비상시 일정 장소와 시설을 공유하는 방법(reciprocal agreements), 전용 대체사업장 구축(dedicated alternate sites), 협력업체의 시설 활용(external suppliers) 그리고 우선순위에 밀리거나 중요도가 떨어지는 대상에 대해서는 복구에 드는 비용을 정당화하기 어렵기 때문에 아예 복구전략을 세우지 않는(no arrangements) 것도 전략으로 볼 수 있다.
Once the BIA is complete, you can then begin the process of identifying different recovery strategies for the various functions. Recovery strategies are entirely dependent on the the recovery timeframe associated with the function but may include one of more of the following: 쪾Self-service - A business unit can transfer work to another of its own locations which have available facilities 쪾Internal arrangement - Training rooms, cafeterias, conference rooms, etc… may be equipped to support business functions. 쪾Reciprocal agreements - Other business units may be able to accommodate those affected. This could involve the temporary suspension of non-critical functions at the business units not affected by the outage. 쪾Dedicated alternate sites - Built by your company to accommodate critical function recovery. 쪾External suppliers - A number of external companies offer facilities covering a wide range of business recovery needs. 쪾No arrangement - for low priority business functions it may not be cost justified to plan to a detailed level. The minimum requirement would be to record a description of the functions, the maximum allowable lapse time for recovery, and a list of the resources required.

복구전략이 수립되고 나면 그 다음 단계는 상세계획을 작성하는 것이다. 계획에는 경영진 참여뿐 아니라 인명보호를 포함하는 인사(HR) 이슈가 어떻게 다뤄져야 하는지 기술돼야 하고 대내외 채널, 이해관계자와의 커뮤니케이션 방법, 그리고 관련 각 부서와 팀이 수행해야 하는 상세수행절차(action plans)가 포함되고 이 계획서는 역할을 갖는 관계된 모든 직원에게 배포, 공유돼야 한다.
Once recovery strategies have been developed an implemented for each area, the next step is to document the plan itself. The plan includes plan activation procedures, the recovery strategies, it documents management of the recovery efforts, how human resource issues will be handled, how recovery costs will be documented and paid for, document recovery communications to internal and external stakeholders and have detailed actions plans for each team and each team member. The plan then needs to be distributed to everyone who has a role.

다음 단계는 계획/프로그램에 대한 지속적인 테스트이다. 여기서 말하는 테스트는 실제로 작동되지 않는 부분, 기능, 계획을 발견해 시정, 보완하는 중요하고, 합격/불합격(pass/fail)을 평가하기 위한 것이 아니다. 비상연락망을 가동해보는 것부터 시나리오를 상정해 진행하는 테이블 탑 테스트, 그리고 실제 대체사업장으로 이동해 업무를 복구하는 등 여러 형태로 진행이 가능하다. 그리고 테스트 후에 결과를 문서화하고 계획서에 반영하는 것이 중요하고, 항상 강조되는 것이지만 주기적(적어도 연 1회)으로 계획서는 최신 내용으로 수정, 보완돼야 하고 만약 회사 환경, 조직의 중대 변화가 있는 경우에는 즉시 갱신돼야 한다.
The next step is to test, test and test again. When people say test they commonly think “pass or fail”. There is no way to fail a contingency test. If we knew it all worked, we would not bother to test it. The point of a contingency test is to find out what does not work so we can fix it before it happens for real. You should test you notification process using your ENL, your event management process using table top exercise with your teams and test your alternate sites to validate that they have everything you need to do your business for real there. After each test it is important to document your results and update the plan where appropriate. Plans should be updated at least annually and more frequently if significant changes occur in a business area.

마지막으로 강조돼야 하는 부분은 회사 모든 구성원이 계획을 숙지하는 것이다. 신입사원교육에서도 이러한 비상계획, BCP에 대한 교육이 필요하며, 앞서 언급한 테스트를 이용해 인식재고를 할 수 있다. 전 임직원의 BCP에 대한 관심과 인지수준을 높여 책임을 공유하고 중요성을 인식시키는 것이 핵심이다.
Make sure all employees are aware of the plan and its contents. Incorporate contingency planning awareness in to your new hire orientation. Conduct test with different groups. Awareness by all is the key. “Share the responsibility”

기고자 : 켈리 오콜리타, MBCP
번역 : 유종기, 영국 BCI(Business Continuity Institute) 한국대표, Deloitte 안진회계법인 기업리스크자문본부 매니저,
BS 25999 Technical Expert (registered by BSI) 번역 : Kelley Okolita, MBCP, is the business continuity/disaster recovery program manager for The Hanover Insurance Company. She has more than 20 years experience in BCP, from data center and business-wide perspective. Okolita has served as a chairperson of the DRI International Certification Commission, International Affairs Committee and the DRI International Board of Directors. She is a well known speaker in the industry and author of various articles.