최영석 BSI매니지먼트시스템즈코리아 선임심사원

2007년 11월 BS 25999 표준이 완결돼 발표된 지가 1년 반이 채 안된 시점이지만 전세계적으로 그 반응은 너무나 폭발적이다. 특히 BS 25999를 제정한 영국표준협회의 본사가 있는 영국의 경우 2009년 2월 현재 전세계 22개국에서 140개 이상의 기관 및 기업들이 BS 25999의 인증을 획득했거나 인증 진행 중이다. 국가별로 인증획득 기관 및 기업의 개수를 보면 영국이 82개로 단연 압도적으로 많으며 그 뒤를 일본(10개), 인도(10개), 미국(5) 및 폴란드(5) 등이 뒤따르고 있다. 한국은 현재 2개 기업이 인증을 취득했다. 산업군으로 인증획득 기관 및 기업의 개수를 분류해보면 서비스분야와 IT분야가 단연 압도적이다. 이번 호를 통해 BS 25999를 최근에 도입한 글로벌 기업들의 도입 사례를 소개해 보겠다.

< 재난포커스  www.di-focus.com >

보다폰 영국(Vodafone UK)은 전세계 5개 대륙의 27개 국가에서 2억8000만 명의 가입자에게 통신서비스를 제공하고 있는 글로벌 1위의 모바일 통신 회사이다. 이번에 BS 25999인증을 획득한 보다폰 영국은 영국 내에서 통신서비스를 제공하고 1만500명의 임직원과 1850만 가입자를 보유하고 있으며 하루 평균 6000만 건의 통화 콜과 2000만 건의 문자를 처리하고 있다.

보다폰, 고객들의 요구에 주목
보다폰 영국의 비즈니스 연속성 매니저인 로저 맥로린(Roger McLoughlin)에 따르면 BS 25999의 파트1은 특별한 비용 없이 보다폰 영국의 비즈니스 연속성 체계에 도움을 주는 가이드로 활용하면 되지만 파트2는 인증을 위한 규격이어서 파트2의 도입에 대한 비용 정당성을 임원진들에게 설득하는 것이 힘들었다고 한다. 그러나 보다폰 영국의 주요 기업 고객들과 영국의 ‘시민 비상사태 법(Civil Contingencies Act 2004)’에 적용을 받는 카테고리1과 2에 속하는 공공기관들이 보다폰 영국의 통신 서비스에 대한 비즈니스연속성의 보증을 요구하고 있다는 점에 주목했다고 한다.

또 이들을 제외하더라도 개별 회사나 기관에서 이미 마련하고 있는 인시던트 관리계획(IMP:Incident Managent Plan)과 비즈니스 연속성 계획(BCP:Business Continuity Plan)내의 시작과 진행에 있어서 필수 도구가 보다폰 영국이 제공하고 있는 통신 서비스다. 즉 핸드폰이라는 사실은 결국 보다폰 영국의 서비스 중단이 영국내의 모든 회사나 기관의 비즈니스 연속성의 정상적인 작동에 중대한 피해를 미친다는 것을 강조했다고 한다.

따라서 BS 25999 인증 획득의 필요성은 내부 조직보다는 외부 고객과의 관계에 있어 필수적인 사항이라는 점에 임원진들의 공감과 승인을 얻게 됐다고 회고했다. 이와 같은 비즈니스 연속성 매니저의 설명은 보다폰 영국이 단순히 BS 25999의 요구를 따르는 것이 아니라 비즈니스연속성 관리 체계의 도입이 보다폰 영국에게 실질적인 비즈니스 가치를 제공한다는 점을 더 중요한 인증 추진 배경으로 삼았다는 점을 강조하고 싶은 것으로 이해할 수 있다.

중요 고려 사항 ‘고객관점’
보다폰 영국이 인증 범위의 대상을 선정할 때 가장 중요하게 고려한 것은 ‘고객 관점’이라고 한다. BS 25999 인증을 획득함으로써 보다폰 영국의 서비스를 사용하는 고객들에게 직접적인 비즈니스 연속성 혜택을 주기 위해서는 고객이 주로 사용하는 서비스가 BS 25999의 인증 범위가 돼야 한다고 생각한 것이다. 그래서 보다폰 영국은 BS 25999 인증 범위로 내부 사용자를 위한 서비스를 제외한 고객이 사용하고 있는 표준 모바일 서비스를 결정하게 됐다.

도입 중 발견된 몇 가지 문제점들
보다폰 영국은 내부적인 비즈니스 연속성 체계의 현황과 BS 25999 요구사항과의 차이를 확인하기 위해 갭 분석(Gap analysis)을 시행했다. 갭 분석의 시행 결과로 다양한 문제점들이 발견됐으나 보다폰 영국이 언급한 두 가지 문제점에 대해서 예를 들어 보겠다. 첫 번째로 발견된 문제점은 필요한 문서들이 없었다는 점이다. 여기서 ‘없었다’라는 것은 엄밀하게 말해 존재하지 않는다는 것이 아니라 BS 25999에서 요구하는 문서 이름에 맞지 않는다는 것이다.

	보다폰 영국 본사의 전경

예를 들면 BS 25999에서 요구하는 비즈니스 영향분석(BIA:Business Impact Analysis)는 보다폰 영국 내부에서 우선순위 매트릭(prioritisation matrices)으로 네트워크 비즈니스 연속성 계획서는 트래픽 관리 전략(traffic management strategies)으로 존재하고 있었다. 두 번째로 발견된 문제점은 비즈니스 연속성이 부서별로 산재돼 있다는 점이다. 각 부서별로는 비즈니스 연속성 준비를 잘 갖추고 있으나 전사적으로 볼 때는 일관성이 없다는 것이다. 예를 들면 비즈니스 영향분석의 방법이나 크기 등이 부서별로 다양한 결론을 보이고 있다는 점이다. 발견된 문제점들을 해결하기 위해 적극적인 노력을 기울인 결과 BSI로부터 성공적인 BS 25999 인증 획득의 결과를 이끌어내게 됐다고 한다.

도입과정에 얻은 교훈들
보다폰 영국은 자신들의 판단으로는 비즈니스 연속성 체계가 이전부터 잘 갖춰져 있었다고 자신하고 있었다고 한다. 그러나 갭 분석 과정에서 그렇지 않다는 것을 발견하게 됐고 외부의 객관적인 시각과 도움이 반드시 필요하다는 점을 깨닫게 됐다고 한다. 또 보다폰 영국의 비즈니스 연속성 체계 수립에는 협력회사가 제공하는 서비스가 결정적인 영향을 미치게 된다는 것을 인식하게 됐다. 이러한 점을 감안해 글로벌 협력회사 계약체계에 비즈니스 연속성 요구사항을 확인하는 과정을 추가키로 했다.

글로벌 금융IT회사 보카링크
보카링크(Vocalink)는 은행, 기업고객, 정부기관 등에 자동결제와 ATM 서비스를 제공하는 IT서비스 제공회사다. 피크 타임 때는 하루에 9000만 건 정도의 트랜잭션을 처리하고 있으며 월 단위로 본다면 매월 5억 건 정도의 트랜잭션을 처리하고 있다. 전세계 6만개의 ATM기기를 보카링크가 보유한 ATM 네트워크를 통해 서비스하고 있다.

비즈니스 연속성에 대한 실천의지 전달
보카링크의 비즈니스 연속성 관리자인 유진 테일러(Eugene Taylor)에 따르면 도입배경을 두 가지로 설명하고 있다. 첫 번째는 고객과 동종 업계에 보카링크의 강력한 비즈니스 연속성 실천의지를 보여주는 것이라고 한다. 두 번째는 보카링크의 비즈니스연속성 관리체계가 전세계 최고의 표준인 BS 25999를 반영해 지속적인 개선을 이끌어 내고 있다는 확신을 이해당사자들에게 객관적으로 입증하는 것이라고 했다.

도입범위의 선정
유진 테일러는 비즈니스 연속성 관리자의 역할을 맡으면서 ‘전사적으로’ 비즈니스 연속성 체계를 갖추는 것을 본인의 비전으로 생각하고 있었다고 한다. 다행히 이런 본인의 의견은 경영진으로부터 만장일치의 동의를 얻었고 내부조직뿐만 아니라 고객과 이해당사자들 모두에게 혜택이 돌아가는 전사 범위를 인증 범위로 결정했다고 전했다.

고객만족도증대

	보카링크의 홈페이지

BS 25999 인증 이후 얼마 되지 않은 시점이라 아직 정량적인 고객만족도를 측정치는 못했지만 확연하게 높아지고 성숙하게 된 비즈니스 연속성 관리 체계는 고객이 보카링크를 바라보는 눈높이가 달라질 것이라고 확신하고 있다.

법적인 요구사항의 만족
보카링크가 준수해야 하는 실질적인 법적 요구사항은 없지만 보카링크가 협력회사로 계약을 해야 하는 경우 계약 고객으로부터의 비즈니스 연속성 요구사항에 대해서는 계약상의 문구나 용어상으로도 확신을 심어줄 수가 있다고 한다. 또 보카링크는 비즈니스연속성 능력과 준비(arrangements)에 대해 영국은행(Bank of England)에 보고토록 영국의 금융 서비스 감독기구(FSA:Financial Service Authority) 또는 주요 유럽 금융기구로부터 요구받고 있다. BS 25999 인증을 통해 BCM에 대한 적극적인 실천의지를 보여줌으로써 보카링크는 이러한 요구에 적극적으로 대응하고 있다는 것을 대내외에 입증하게 됐다고 한다.

주요 협력회사와의 관계 개선
보카링크의 주요 협력회사들은 일상적인 업무상황과 비즈니스 중단 상황의 두 가지를 모두 고려해 보카링크의 ‘수익 발생 흐름(revenue creating stream)’과 연관된 협력회사들의 제품과 서비스의 비즈니스연속성 준비상태를 보카링크에게 설명해야 한다. 또 이들 협력회사가 의무사항을 이행치 못해 발생할 수 있는 보카링크의 내부 사용자의 잠재적인 피해를 정의하고 이에 대한 상호 협의를 진행하고 있다.