업무 영향 분석 및 복구 목표 정의

업무 영향 분석(Business Impact Analysis)

재해 복구를 위한 전략 수립을 위해서는 업무 영향 분석(Business Impact Analysis, BIA)을 수행해야 합니다. BIA를 통해 주요 업무 프로세스의 중요도와 중단 시 발생할 수 있는 손실을 평가하여, 복구의 우선순위와 대상 범위를 설정합니다.

• 업무 구조화
  각각의 단위 업무를 그룹으로 묶어 전체 업무를 구조화하여 분석합니다. 상•하위 업무 구조 분석을 통해, 아래 그림처럼 조직 전체의 업무 구조를 파악할 수 있습니다.

• 주요 업무 식별
  업무 구조화 및 분석 후, 도출된 업무 프로세스 중 자주 사용되는 업무를 업무 영향 분석의 대상으로 선정합니다. 업무 영향 분석은 고객을 대상으로 하는 핵심 서비스와 직접 연결되어 있는 업무인지, 조직의 전략적 관점에서 중요한 업무인지, 이 두 가지 측면을 고려하여 수행합니다.

• 업무 연관성 분석
  업무의 중요도는 해당 업무 자체의 중요성뿐만 아니라, 다른 업무와의 연관성에 의해서도 결정됩니다.
  업무 간 연관성은 한 업무가 다른 업무 처리에 앞서 수행되거나, 이후에 수행되는 선후 관계, 혹은 단순히 참조만 하는 관계로 구분할 수 있습니다.
  아래 표는 선후 관계와 참조 관계에 따라 업무 간 연관성을 분석한 도표입니다.

• 재해 영향 평가
  구현된 서비스에 대해 예상 가능한 재해 유형, 재해 유형별 손실, 파급 영향 기간을 측정합니다.
  재해 유형에는 하드웨어 오류, 소프트웨어 오류, 사람의 실수, 자연적 재난, 화재, 네트워크 중단 등이 있습니다.
  아래의 표는 재해로 인한 손실을 정량적/정성적으로 분석한 결과입니다.

• 업무 중요도 우선순위 및 복구 대상 업무 범위 설정
  정량적/정성적 분석과 업무 연관성 분석 결과를 토대로 업무 중요성 우선순위를 도출합니다.
  업무 우선순위 정의의 예시는 다음과 같습니다.

하지만 영향을 추정하여 우선순위를 정했다고 해도, 그 우선순위대로 정상적인 복구가 이루어지는 것은 아닙니다. 정상적인 복구를 위해서는 앞서 수행한 업무 연관성 분석의 결과를 반드시 반영해야 합니다.
예를 들어, 위 표의 업무 연관성 분석 예시에서 A1을 복구하려면 B1, B2, C1이 먼저 복구되어야 합니다. 이러한 연관성을 복구 우선순위에 반영하면 아래의 표와 같이 복구 순서가 조정됩니다.

복구 목표 수립

업무 영향 분석(BIA)을 수행한 후, 장애 및 재해 복구 대상 업무 그룹을 선정하고 재해 복구 목표를 설정해야 합니다.
대상 업무의 재해 복구에 대해서는, 중단 허용 시간과 손실 허용 시점, 두 가지 지표가 사용됩니다.

• 업무 중단 허용 시간
  복구 목표 시간(Recovery Time Objective, RTO)으로 정의되며, 재해로 인해 서비스가 중단된 경우, 서비스 복구까지 허용 가능한 최대 시간을 의미합니다.

• 업무 손실 허용 시점
  복구 목표 시점(Recovery Point Objective, RPO)을 지표로 하며, 재해로 인해 중단된 서비스를 복구했을 때, 허용 가능한 데이터 손실 범위를 의미합니다.

RTO와 RPO 목표를 설정할 때는 조직이 수용할 수 있는 운영 중단 시간과 데이터 손실의 범위를 검토해야 합니다. RTO의 최상위 목표는 장애·재해 시, 무중단 복구이며, 이때 허용 가능한 장애 시간은 0에 가까운 수준(Near Zero)이어야 합니다.
그러나 이러한 목표를 달성하기 위해서는 상당한 비용 투자와 운영 부담이 수반됩니다.
정보 시스템이 조직 내에서 매우 중요한 역할을 하거나, 복구를 위한 투자가 조직에 재정적으로 큰 부담이 되지 않는 경우, 보다 높은 수준의 복구 목표를 설정할 수 있습니다.
또한, 아래 표와 같이 조직이 감당할 수 있는 재정적 부담의 한계가 높을수록 RTO는 짧아질 수 있습니다.

RPO는 어느 시점까지 데이터 손실을 허용할 수 있는지를 기준으로 목표 수준이 정해집니다.
장애나 재해가 발생하면 어느 정도의 데이터 손실은 불가피합니다.
업무 중요도에 따른 데이터 사본 저장 주기와 데이터 복제 구성 여부에 따라 특정 시점의 데이터에 대한 복구 여부를 정할 수 있습니다.

정보 시스템은 다양한 IT 자원과 인터페이스로 구성되며, 대개 여러 업무를 동시에 수행합니다.
이와 연관된 다른 정보 시스템과의 관계를 파악합니다.
또한, 해당 정보 시스템의 운영 조직과 그 시스템에서 운영되는 서비스를 이용하는 조직도 함께 분석합니다.

아래 표는 업무와 정보 시스템과의 관계를 통해 RTO와 RPO를 정의하는 예시입니다.
예를 들어, A2 업무를 처리하는 F 시스템의 경우, RTO는 8시간이고, A2 업무는 1일입니다.
이 중 최소값인 8시간을 해당 시스템과 업무의 RTO로 도출합니다.
같은 방식으로 RPO도 최소값인 1시간으로 정합니다.