일본BCP
컴퓨터 바이러스, 정보누설, 시스템장애, 지진 등의 자연재해 등 시스템부문은 여러 가지 리스크를 상정해, 사업을 안전하게 지속시킬 수 있는 체제를 정비할 필요가 있다. 안전대책과 BCP(사업연속성계획)에 초점을 두고, 유저기업이 2012년도에 취해야할 IT전략을 알아본다. 사업을 지탱하기위해서는 시스템을 안전하고 안정적으로 움직여야 한다. 이것은 시스템부문의 중요한 미션중 하나다. 경영과 IT가 점점 밀접해지면서 작은 시스템 문제가 사업에 악영향을 끼치게 된다. 그렇기 때문에 IT전략에서 리스크대책의 중요성은 점점 커지고 있다. 유저기업들은 IT전략 중에서 어떤 리스크대책을 세우고 있는가. 일본정보시스템·유저협회가 실시한 「기업 IT동향조사 2012」중에서 안전대책과 BCP(사업연속성계획)에 대해서 소개하고자 한다.
<위기관리경영 - 이교진 기자(marketing@di-focus.com)>

늦은 소셜미디어 대책
안전대책에 100점 만점은 없다. 어떤 대책을 실시하더라도 새로운 리스크는 계속해서 나타나기 때문이다. 유저기업의 시스템부문은 어떤 점에 불안해 하고 있는가. 16종류의 안전대책에 대해, 어떤 것이 불안한지 질문했다. 그 결과 「그다지 대책이 진행되고 있지 않아 매우 불안」이라고 답한 비율이 높았다.소셜미디어 정책에 관한 불안은 다른 대책에 비해 현저히 높았다. 그 중에 가장 많이 불안을 느끼고 있는 부분은, 「소셜미디어정책의 작성」이다. 질문에 답변한 기업의 3분의 2가 (64.5%) 「그다지 대책이 진행되지 않아 매우 불안」이라고 답변했다. 두 번째로 「데이터 암호화 등의 보호」(매우 불안하다는 답변 32.8%)와 세 번째 「정보자산의 레벨에 따른 적절한 관리」(매우 불안하다는 답변 32.5%)와 비교해 불안의 크기는 거의 2배였다.

여기서 말하는 소셜미디어 정책이란, Twitter와 Facebook이라는 소셜미디어를 직원 개인이 이용할 때 회사로써 갖추어야 할 가이드라인과 룰이다. 예를 들면 “사업에 관련된 정보는 쓰지 않는다”, “프로필에 회사명을 기입할 경우는 발언은 개인이 하는 것이며 회사와는 관계없음을 명기한다”, “룰에 위반될 경우는 사내규정을 적용하여 처벌 대상이 된다”라는 내용이다. 소셜미디어에 관련된 리스크대책은 바이러스대책과 데이터 유출대책이라는 기존의 안전대책과 다르게 “이렇게 하면 괜찮다”라는 모델이 존재하고 있지 않다. 아직 모색 중인 상태인 것이다. 그렇다고 해서 소셜미디어의 이용을 전면적으로 금지하는 것은 현실적이지 않고, 그대로 내버려둘 수도 없다. 리스크를 줄이기 위해서는 이후 유저기업이 정보를 공유하면서 대책방법을 확립시켜갈 필요가 있다.

증가하는 안전비용
안전 리스크가 사업에 주는 임팩트가 커지고 있기 때문인지, 안전 대책에 투자하는 비용이 증가하는 경향을 보이고 있다.  2012년도는 35.4%의 기업이 안전대책비용을 전년도보다 증가시켰다. 2012년도의 안전대책비용은 설문참여 기업의 35.4%가 「증가」라고 답변했다. 「감소」하고 있는 것은 겨우 6.7%에 미쳤고, 나머지 57.9%는 「변화없음」이었다. 증가하는 비율에서 감소한 비율의 차이를 구한 DI(경기동향지수) 전망은 2012년도 28.7포인트. 2010년 20.0포인트, 2011년 31.0포인트로 DI가 대폭 증가하는 상태가 계속되고 있다.기업규모별로 보면 종업원이 1000명이상인 기업의 안전비용 증가가 크다.

2012년도는 43.4%가 안전대책비용이 증가했다고 답변했다. 2010년도부터 계속해서 증가하고 있다. DI도 상승했다. 22.0포인트(2010년도), 36.3포인트(2011년도), 37.0포인트(2012년도)로 상승하는 경향이다.계속 증가하는 안전대책비용은 어떤 분야에 맞춘것인가. USB메모리 등 외부 미디어경유의 정보누출대책을 강화하는 기업이 가장 많다. 1위는 「USB메모리/CD-ROM 등의 쓰기·읽기 제한」으로 44.8%가 대책을 강화한다고 답변했다. 「개인데이터의 접속 가부 및 관여 레벨관리강화」(42.3%), 「ID의 적절한 관리과 이용자 인증」(42.1%)이 뒤를 이었다. 위에서 언급한 “소셜미디어정책의 작성”을 선택한 기업은 35.9%로 7번째였다. 우선은 눈앞의 정보누출대책을 강화하는 것을 유저기업은 중시하고 있다.
 
BCP책정기업은 절반미만
기업시스템이 가지고 있는 리스크는 안전뿐만이 아니다. 시스템장애와 자연재해, 질병 등도 리스크다. 이런 리스크에 대비해 BCP책정이 불가결하다. 그러나 동일본대지진을 겪어도 유저기업의 반수이상이 BCP를 책정하지 않고 있는 것이 현실이다. 10종류의 리스크에 대해 BCP의 책정상황을 물었는데 책정이 끝난 비율이 가장 많았던 것은 「시스템장애」였다. 그러나 「책정완료」의 비율은 46.2%로 반수에도 미치지 않았다. 「책정중」이15.0%, 「검토중」이 15.7%였다. 나머지 23.1%는 「책정예정없음」이었다. 책정완료 비율이 가장 높은 「시스템장애」라고 해도, BCP를 책정한 비율은 반수에 미치지 않았다. 지진을 상정한 BCP의 「책정완료」의 비율은 더욱 적다. 「자연재해(직하형지진에 의한 국소피해)」는 37.1%, 「자연재해(대규모지진에 의한 광역피해)」는 33.6%였다. BCP를 「책정중」이라는 답변과 더해야 겨우 절반에 달하는 상황이다. 최근에는 표적형공격이라는 「테러, 사이버테러」의 문제도 심각해지고 있다. 그러나 이를 상정한 BCP를 「책정완료」한 기업은 13.1%밖에 안된다. 반수를 넘은 51.8%는 「책정예정없음」이라고 답변했다.
 
경영자의 관심이 낮다
BCP책정이 진행되지 않는 이유의 하나로 경영자의 관심이 낮은 것을 들 수 있다. 동일본대지진이후 경영자로부터 BCP 재검토에 관한 지시가 있었던 기업은 약 절반정도(구체적인 지시가 있었던 곳이 12.4%, 지시가 있었던 곳이 40.7%)에 머물렀다. 남은 46.9%는 경영가로부터 「지시 없음」이라고 답했다.경영자로부터 BCP 재검토 지시에 대해, 동일본대지진의 피해상황마다 크로스집계를 하면 경영자의 무관심이 더욱 두드러진다.피해를 입은 기업의 경영자는 BCP를 재검토하라고 지시한 경우가 많았다. 다만 직접 피해를 입은 기업이라고 해도 재검토지시가 있었던 곳은 66.1%였다. 남은 33.9%는 동일본대지진에서 직접 피해를 입어도 경영자가 BCP를 재검토하라고 지시를 내리지 않았다. 물론 경영자가 지시를 내리지 않은 기업중에서는 시스템부문 등 현장에 권한을 위임하고 있는 기업과, 지진피해는 입었지만 BCP가 기능해 중요한 곳까지 피해를 입지 않은 기업 등도 포함되어 있다.
 
훈련·연습을 소홀히하다
BCP에 관련된 과제는 더 있다. BCP를 책정하고 있다고 해도 훈련을 실시하지 않은 기업이 많다는 점이다. 훈련·연습의 실시율이 가장 높은 「시스템장애」를 상정한 훈련이라고 해도 과거 1년간 실시율은 60.7%였다. 나머지는 훈련·연습을 실시하지 않았다고 답변했다. 시스템장애를 상정하여 BCP를 책정한 기업은 조사에 답변한 기업의 약 절반. 즉 시스템장애를 상정하여 BCP를 책정하고, 훈련·연습을 실시하고 있는 기업은 전체의 약 3할밖에 되지 않는다.

자연재해(직하형지진에 의한 국소피해)를 상정한 훈련·연습의 실시율은 52.0%, 자연재해(대규모 지진에 의한 광역피해)에서는 46.4%였다. BCP의 책정상황을 기초로 계산하면 지진을 상정한 BCP를 책정한 훈련·연습을 실시하고 있는 기업은 전체의 2할 정도이다. “목구멍을 넘기면 뜨거움을 잊는다”라는 속담이 나타내는 대로, 리스크에 대한 대처는 시간이 지날수록 사라지기 쉽다. 안전대책과 BCP 조사결과를 보면 유저기업은 좀 더 적극적인 리스크매니지먼트에 힘을 쏟을 필요가 있다고 말할 수 있다.
출처 : 닛케이 ITpro