최영석 BSI매니지먼트시스템즈코리아 선임심사원

이번 호에는 인시던트(Incident)사례를 통해 그 해결을 위해서는 BS25999가 얼마나 중요한지 알아본다. 과거에 발생한 인시던트의 사례는 BCM(Business Continuity Management, 비즈니스 연속성 관리)을 고민하고 있는 기업이나 기관에게 많은 교훈을 전해준다. 인시던트의 역사는 BCM 발전의 역사와 궤를 같이 한다고 할 수 있다.

< 재난포커스 - www.di-focus.com >

알려진 인시던트가 우리 조직에 현실화되는 경우 우리가 예측한 최상의 상황이 연출될 수 있도록 하기 위해서 어떤 대비책이 필요할까? 과거 발생한 인시던트 사례와 이와 대응하기 위한 해결방안의 일환으로 BS25999 표준을 살펴보면 BS25999의 중요성과 필요성을 한층 더 잘 이해할 수 있으리라고 본다.

협력업체 의존도와 BCM수준 확인
핸드폰의 핵심 칩을 공급하는 필립스는 노키아와 에릭슨의 주요 협력업체(key supplier)다. ‘핵심 칩의 공급’이 중단되면 노키아와 에릭슨의 ‘핸드폰 생산’이 중단될 수 있다. 필립스가 핵심 칩을 유일하게 공급할 수 있는 협력업체인 경우 핸드폰 생산은 필립스라는 협력업체에 100% 의존도를 가진다고 볼 수 있다. BS 25999에서는 고객에게 제품이나 서비스를 제공하는 데 관련된 주요 프로세스들을 핵심 업무활동(critical activity)이라고 정의하고 있다.

핵심업무활동에 대해서는 의존항목을 파악하도록 규정하고 있고 특히 의존항목 중에 ‘협력업체’ 또는 ‘아웃소싱 파트너’가 존재한다면 이들의 비즈니스 연속성의 준비상태를 확인토록 요구하고 있다. 만약 에릭슨이 BS 25999의 표준을 기반으로 BCM을 구축했다고 가정해보자. BS 25999의 요구사항에 따라 에릭슨은 구축과정에서 핵심 칩을 공급하는 필립스 공장의 BCM 준비체계를 확인하게 된다. 이 과정에서 필립스가 에릭슨에게 ‘핵심 칩을 공급’하는 업무활동들이 어느 수준의 탄력성(Resilience)을 가지고 있는지를 에릭슨은 검증할 수 있게 된다.

검증 결과 만약 화재 등 특정 인시던트가 현실화되는 경우 에릭슨에 대한 ‘핵심 칩 공급’이 에릭슨이 ‘수용하지 못하는’ 수준으로 ‘장기화’되거나 핵심 칩 물량이 심각하게 줄어드는 수준으로 필립스의 BCM 준비체계가 마련돼 있다면 에릭슨은 고객 권리사항의 하나로 이에 대한 대안을 필립스에게 요구할 수 있다. 필요한 경우 계약 조건의 갱신까지도 검토할 수 있다. BS25999 기반의 비즈니스 연속성 체계를 구축한다면 협력회사들이 준비하고 있는 비즈니스 연속성 체계의 수준에 대해서 지속적인 확인과 모니터링 활동을 수행할 수 있다.

이 활동을 통해 ‘우리’ 조직의 BCM 요구사항이 협력회사의 BCM 준비체계의 입력 값으로 전달되고 역으로 협력회사의 확정된 BCM 준비체계가 우리 조직의 BCM 준비체계의 입력 값으로 피드백 되는 구조를 갖출 수 있다. 협력업체의 BCM 모니터링은 단순히 협력업체를 통제하는 차원이 아니라 협력업체와의 공생을 위한 커뮤니케이션 채널이 개설됐다는 긍정적인 활동으로 이해할 필요가 있으며 우리 조직은 협력업체로 인한 불확실성의 위험을 가시적인 통제 상황 하에 위치시키는 이득을 얻을 수 있다.

공급 수준/중단 최대허용시간 제시
이번에는 필립스가 BS 25999를 도입한다고 가정해보자. BS25999에서는 고객을 포함한 주요 이해당사자의 이해관계(interest)를 파악토록 요구하고 있다. 필립스의 주요 고객인 에릭슨과 노키아는 필립스가 공급하는 핵심 칩을 이용해서 핸드폰 제품을 생산하고 있다. 필립스가 BS 25999의 요구사항에 맞게 비즈니스연속성 체계를 갖추기 위해서는 주요 고객들의 이해관계를 분석하게 된다.

에릭슨이라는 고객이 필립스가 제공하는 핵심 칩에 대해 갖게 되는 이해관계는 필립스에 ‘어떠한 사건이 발생하더라도 약속한 시간 내에 정해진 수량만큼의 핵심 칩을 안정적으로 공급해 달라는 것’이다. 이 이해관계를 수치화해서 파악해본다면 매달 몇 개의 물량을 몇일 내에 공급해야 하는지를 알 수 있다. 이러한 물량 공급 조건은 에릭슨의 핸드폰 출시 전략과 깊은 관련이 있다. 만약 에릭슨이 하반기에 출시할 목표로 야심차게 신기종의 핸드폰을 준비하고 있다면 이 핸드폰의 핵심 칩 생산은 상반기에 집중될 수 밖에 없다.

이 경우 필립스의 핵심 칩 공급에 대한 에릭슨의 이해관계는 상반기에 유별나게 첨예해진다. 필립스가 BS 25999를 성공적으로 적용하기 위해서는 이처럼 에릭슨의 이해관계가 시기별로 또는 고객의 비즈니스 전략에 따라서도 달라질 수 있다는 것을 이해해야 하고 이를 바탕으로 에릭슨에 대한 ‘핵심 칩 공급’ 중단의 최대 허용시간을 파악해야 한다. BS 25999에서는 제품 및 서비스를 실질적으로 수행하는 업무 활동들에 대한 최대중단허용시간을 결정토록 요구하고 있다.

고객-협력업체, BCM 갖추고 ‘공조’
필립스의 경우 ‘핵심 칩 공급’이라는 비즈니스가 실질적으로 ‘오더접수·생산계획·생산·출하·배송’과 같은 업무활동들에 의해 실행된다. 필립스는 자체적으로 파악한 에릭슨의 물량 공급 조건을 바탕으로 업무활동들의 개별 최대 중단 허용시간과 재개 수준을 결정하게 된다. 업무활동으로 쪼개서 최대 중단 허용시간과 재개 수준을 결정하는 이유는 개별 업무활동마다 서로의 특성과 자원이 다르고 중단됐을 경우 비즈니스에 주는 피해가 상이하기 때문이다.

	번스필드 기름저장소 화재 사고 현장

또 업무활동들이 중단되었을 경우 업무활동 별로 구체적인 재개활동을 도출하고자 하는 의도가 포함돼 있다. 필립스가 에릭슨의 이해관계를 바탕으로 최대중단허용시간과 재개수준을 파악한다면 필립스는 그 결과를 에릭슨에게 알리고 이에 대한 검토를 요청하게 된다. 만약 최대중단허용시간이 에릭슨이 생각한 것보다 길다고 판단하는 경우, 예를 들면 배송의 최대중단허용시간을 필립스가 1주일로 결정했고 에릭슨이 판단하기에는 4일 내에는 핵심 칩을 공급받아야 한다면 최대중단허용시간을 줄여달라고 요구하게 된다.

에릭슨이 4일이라고 판단한 근거는 에릭슨의 핵심 칩 부품 재고 전략에 근거한 것이다. 재고의 보유분을 최소한으로 가져가려고 하는 기업들이 늘어나고 있다. 비즈니스연속성의 입장에서 본다면 재고 최소화는 업무활동들의 최대 중단 허용시간을 줄이게 만드는 결과를 초래하게 된다. 필립스의 ‘생산’이 중단되는 경우도 동일한 접근으로 분석해 볼 수 있다. 생산의 최대중단허용시간은 필립스가 평소 유지하고 있는 핵심 칩의 재고 물량에 달려있다. 필립스가 에릭슨의 핵심 칩 재고 물량을 1주일 치 확보하고 있다면 핵심 칩 ‘생산’이라는 업무활동이 중단 가능한 기간은 1주일이 된다.

BS25999를 구축하는 과정에서 고객의 이해관계를 바탕으로 업무활동의 중단시간과 재개 수준을 구체적으로 도출하여 이를 고객에게 알려준다면 고객은 어떤 반응을 보일까? 평소 비즈니스 연속성에 대한 고민을 해오던 기업은 협력회사가 알려준 이 정보를 바탕으로 자신들의 비즈니스 연속성 전략을 수립하게 될 것이다. 협력업체로 인한 위험을 늘 걱정하고 있던 기업은 이러한 위험의 불확실성을 해결해주는 협력업체가 당연히 고마울 수 밖에 없다. 지난 2000년에 발생한 필립스 공장의 화재는 고객과 협력업체 모두가 비즈니스 연속성 체계를 갖추고 ‘공조’해야 한다는 시사점을 던지고 있다.

사후 인시던트 검토 활동 수행
번스필드의 기름저장소 화재 사고는 영국이 사고에 대해서 어떠한 접근법을 가지고 있는지를 알려준다. 이 사건의 피해 내역에서 볼 수 있듯이 사망자가 단 한 명도 없음에도 불구하고 사건 조사를 위한 위원회를 결성해서 무려 3년여에 걸쳐서 조사 활동을 시행했고 그 내용을 홈페이지를 통해 공개하고 있다. BS 25999에서는 이러한 위원회의 활동을 ‘사후 인시던트 검토(Post Incident Review)’ 활동이라고 부르고 있다. 기업이나 기관이 경험하게 되는 모든 인시던트들에 대해서는 MIIB의 활동과 같은 사후 인시던트 검토 활동을 수행토록 BS 25999 표준에서 요구하고 있다.

사후 인시던트 검토 활동은 인시던트가 종료된 이후 수행되는 활동이다. 국내에서는 간혹 사후 인시던트 검토활동의 결과로 인시던트 보고서(또는 사고 보고서)를 제시하는 경우가 있는데 그 내용은 인시던트 대응에 대한 단편적인 결과만을 담고 있는 경우가 대부분이다. 인시던트가 막상 닥치는 그 상황에서는 대응에 집중하느라 객관적이고 비판적인 시각에서 인시던트 대응의 적절성을 파악할 수가 없다. 사후 인시던트 검토 활동은 이러한 문제점을 극복하고자 선진 기업이나 기관에서 채택해 온 인시던트 관리의 최고 실행사례(Best practice)이다.

MIIB가 홈페이지를 통해 공개하고 있는 사후 인시던트 검토 활동의 보고서를 검토해보면 BS25999에서 요구하고 있는 사후 인시던트 검토의 내용과 정확하게 일치한다는 사실을 알 수 있다. 지난 2006년 초에 발행한 초기 보고서에서는 주로 인시던트의 특성과 원인파악에 주력했고 인시던트에 대한 지역 대응팀의 대응이 사전에 정의된 계획과 일치하고 의사결정이 신속하고 적절하게 이뤄졌는지의 여부가 담겨있다.

지난 2008년의 말기 보고서에는 유사한 인시던트가 재발할 경우 더 잘 대응하기 위해 지역 긴급 구호 팀의 준비 체계를 어떻게 개선할 것인지에 대해 초점이 맞춰져 있다. BS25999를 도입한 기업이나 기관은 ‘조직 내’에서 발생한 인시던트에 대해서는 반드시 사후 인시던트 검토활동을 수행해야 한다. 만약 좀 더 적극적인 BCM활동의 노력을 기울이고자 하는 조직이 있다면 ‘조직 외부’에서 발생한 인시던트에 대해서도 사후 인시던트 검토 활동 또는 유사한 형태의 인시던트 사례 연구 활동을 확장해서 수행해야 한다.

BCP, IMP에 ‘기록’ 유지 방법 정의해야
사후 인시던트 검토 활동이 성공적으로 수행되기 위해서는 전제해야 할 것이 있다. 인시던트가 진행되는 동안에 어떠한 일들이 언제 일어났는지, 어떤 사람이 어떤 의사결정을 내렸는지, 또는 추가로 발생한 이슈 사항들이 어떻게 처리되었는지를 기록하는 것이다. 이러한 기록이 없다면 사후 인시던트 검토 활동을 수행하는 인력들이 검토할 인시던트의 내용이 부족하게 되고 이것은 결국 부실한 검토 결과로 이어지게 된다. 경험에 의하면 국내 조직이 보유하고 있는 인시던트 관련 기록들은 대부분 기대 이하였다.

이것은 국내 조직의 대부분이 인시던트가 진행되는 동안 기록을 어떻게 남길 것인지에 대한 방법과 인력이 지정되어 있지 않기 때문이다. 인시던트를 대응하느라 뛰어다니기만 했지 그 상황을 차분하게 기록하는 방법이나 사람이 없었다는 얘기다. BS25999에서는 인시던트가 진행되는 동안 기록을 유지하는 방법을 비즈니스 연속성 계획(BCP, Business Continuity Plan)이나 인시던트관리계획(IMP, Incident Managent Plan)에 정의할 것을 요구하고 있다.