JLabs

2.12.1 재해·재난 대비 안전조치

인증 기준

자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고, 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.

주요 확인사항

  • 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?
  • 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?
  • 재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립· 이행하고 있는가?

결함 사례

  • IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 중요한 내용이 누락되어 있는 경우
  • 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나, 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되지 않아 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우
  • 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되지 않으며, 이에 대한 적절한 복구 대책을 마련하지 않은 경우
  • 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구 목표시점 등이 정의되지 않은 경우
  • 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우

업종 특화

이 항목이 업종에 따라 달라지는 지점

가상자산사업자

가상자산 특화

  • (금융회사 및 전자금융업자) 핵심업무의 복구목표시간은 3시간 이내(보험회사는 24시간 이내)

함께 보는 항목

이 기준과 맞물려 나오는 개념

재해·재난 대비 안전조치

개념

  • 화재·홍수·단전 등 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 수립 및 백업·복구 계획을 말한다.

법령 참조

  • 개인정보의 안전성 확보조치 기준 제11조 (시행 2023.09.22.)

주요내용

  • 의무 적용 대상: 10만 명 이상 (대기업·중견기업·공공기관)과 100만 명 이상 (중소기업·단체)
  • 필수 조치: 위기대응 매뉴얼 등 대응 절차 마련 + 정기 점검, 개인정보처리시스템 백업 및 복구 계획 수립
  • 복구 계획 포함 항목: RPO(목표 복구 시점) + RTO(목표 복구 시간) + 백업 우선순위

결함 사례

  • 백업센터는 운영 중이나, 이를 활용한 재해 복구 절차를 수립하지 않은 경우
  • RTO·RPO 내부 지침에 정의되지 않은 경우
  • 복구 훈련을 형식적으로만 수행, 내부 절차·서식이 이행되지 않아 실효성이 부족한 경우

참고

  • 전체 백업(Full): 매번 전체 데이터 백업
  • 증분 백업(Incremental): 풀 백업 이후 변경·추가분만 백업 (용량↓, 복구 시 여러 백업 필요)
  • 차등 백업(Differential): 풀 백업 이후 누적 변경분 모두 백업 (후반부 용량↑)

정리

  • RPO: 장애 발생 시점으로부터 복구 가능한 데이터의 시점 (과거 어느 시점까지 복구)
  • RTO: 장애 발생 후 서비스 정상화까지 걸리는 최대 시간

핵심 키워드

  • RTO·RPO
  • 재해 유형 식별
  • 영향 분석
  • 재해복구 계획
  • 비상연락체계

헷갈리는 항목

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개