월요일 아침 9시, 사무실에 출근한 IT 담당자가 마주한 화면은 'Your files have been encrypted'라는 랜섬웨어 메시지였습니다. 메일 서버, ERP, 공유 폴더 — 업무에 필요한 모든 시스템이 멈춰 있습니다. 직원 80명은 할 수 있는 일이 없고, 거래처에서는 발주 확인 전화가 쏟아집니다. 대표이사는 묻습니다. "복구 계획 같은 건 없었어?"
이것은 가상의 시나리오가 아닙니다. 한국인터넷진흥원(KISA)의 침해사고 동향을 보면, 랜섬웨어 신고 건수는 해마다 증가 추세이며 특히 보안 인력이 부족한 중소기업이 주요 타깃이 되고 있습니다. 서버 장애, 화재, 정전, 자연재해까지 포함하면 '업무 중단'은 언제든 찾아올 수 있는 현실적 위협입니다. 이때 기업의 생존을 좌우하는 것이 바로 BCP — Business Continuity Plan(사업연속성계획)입니다.
이 글에서는 BCP의 정의부터 핵심 구성 요소, DR(재해복구)과의 차이, 그리고 중소기업 IT 담당자가 당장 실행할 수 있는 구축 단계까지 빠짐없이 다루겠습니다.
BCP란 무엇인가: 단순 백업을 넘어선 '비즈니스 생존 전략'
BCP(Business Continuity Plan)는 예상치 못한 재해·사고·장애 상황에서도 핵심 업무를 지속하거나 허용 가능한 시간 내에 복구하기 위한 종합 계획입니다. 흔히 "백업만 잘 하면 되는 거 아닌가?"라고 생각하기 쉽지만, BCP는 IT 인프라뿐 아니라 인력, 프로세스, 커뮤니케이션, 법적 대응까지 포괄하는 상위 개념입니다.
예를 들어, 데이터를 완벽하게 백업해 두었더라도 복구 절차를 아는 사람이 한 명뿐이고 그 사람이 연락이 안 된다면 어떻게 될까요? 또는 서버는 복구됐는데 고객·거래처에 상황을 알리는 프로세스가 없어 신뢰를 잃는다면? BCP는 이런 "만약에"를 미리 시뮬레이션하고 대응 시나리오를 문서화하는 작업입니다.
BCP는 'IT 복구 계획'이 아니라 '비즈니스 생존 계획'입니다. 기술적 복구(DR)는 BCP의 하위 요소 중 하나일 뿐, 조직 전체의 연속성을 보장하는 경영 전략으로 이해해야 합니다.
BCP와 DR(재해복구)의 차이: IT 담당자가 가장 많이 혼동하는 개념
BCP를 이야기할 때 빠지지 않는 것이 DR(Disaster Recovery, 재해복구)입니다. 두 개념은 밀접하게 연결되어 있지만 범위와 목적이 다릅니다. IT 담당자 입장에서는 DR이 더 익숙하겠지만, 경영진을 설득하려면 BCP 전체 프레임 안에서 DR의 위치를 명확히 이해해야 합니다.
| 구분 | BCP (사업연속성계획) | DR (재해복구) |
|---|---|---|
| 범위 | 비즈니스 전체 (인력, 프로세스, IT, 커뮤니케이션, 법무 등) | IT 인프라 및 데이터 복구에 집중 |
| 목적 | 핵심 업무의 연속성 보장 | 시스템·데이터를 장애 이전 상태로 복원 |
| 주요 지표 | MTPD(최대허용중단시간), 핵심업무 우선순위 | RTO(복구목표시간), RPO(복구목표시점) |
| 담당 조직 | 경영진 + 전 부서 협업 | IT 부서 중심 |
| 산출물 | BCP 문서, BIA(업무영향분석), 위기 커뮤니케이션 계획 등 | DR 플랜, 백업 정책, 복구 절차서 |
| 훈련 주기 | 연 1~2회 전사 모의훈련 권장 | 분기별 복구 테스트 권장 |
위 표에서 볼 수 있듯, DR은 BCP의 기술적 하위 구성 요소입니다. 중소기업에서는 인력과 예산 제약상 BCP와 DR을 하나의 문서로 통합 관리하는 경우가 많지만, 최소한 개념적으로는 "DR만 하면 BCP를 한 것"이 아니라는 점을 경영진과 공유해야 합니다.
RTO와 RPO — 복구 계획의 두 가지 핵심 지표
DR 영역에서 가장 중요한 두 지표를 간단히 짚겠습니다. BCP를 설계할 때도 이 지표가 출발점이 됩니다.
- RTO (Recovery Time Objective, 복구목표시간): 시스템 장애 발생 후 얼마나 빨리 복구해야 비즈니스 피해를 허용 범위 내로 유지할 수 있는가. 예: "ERP는 4시간 이내 복구"
- RPO (Recovery Point Objective, 복구목표시점): 장애 발생 시 얼마 전 시점의 데이터까지 복구할 수 있어야 하는가. 예: "최대 1시간 전 데이터까지 손실 허용"
RTO가 짧을수록, RPO가 0에 가까울수록 더 높은 수준의 인프라 투자가 필요합니다. 따라서 모든 시스템에 동일한 기준을 적용하는 것은 비현실적이며, 업무 중요도에 따라 등급을 나누어 차등 적용하는 것이 핵심입니다.
중소기업을 위한 BCP 구축 5단계 실전 가이드
"BCP가 중요한 건 알겠는데, 대기업처럼 전담팀이 없는 우리 회사에서 어떻게 시작하죠?" — 이 질문이 가장 현실적인 고민일 것입니다. 아래는 직원 10~200명 규모의 중소기업 IT 담당자가 단계별로 실행할 수 있는 BCP 구축 프레임워크입니다.
-
1단계: BIA(업무영향분석) 실시
회사의 모든 업무를 나열하고, 각 업무가 중단되었을 때 시간 경과에 따른 피해 규모를 평가합니다. 매출 손실, 계약 위반 가능성, 고객 이탈, 법적 제재 등 다양한 관점에서 영향도를 측정합니다. 이 과정에서 핵심 업무(Mission-Critical)와 지원 업무(Supporting)를 구분하고 우선순위를 정합니다. BIA 없이 만든 복구 계획은 "무엇을 먼저 살릴 것인가"라는 질문에 답할 수 없습니다. -
2단계: 위험 평가 및 시나리오 도출
우리 회사에 실제로 발생할 수 있는 위협을 식별합니다. 랜섬웨어 감염, 서버 하드웨어 장애, 정전, 화재, 수해, 핵심 인력 이탈, 클라우드 서비스 장애 등 발생 가능성 × 영향도 매트릭스를 만들어 우선 대응 시나리오를 선정합니다. -
3단계: 복구 전략 수립 (RTO/RPO 설정)
1단계에서 도출한 핵심 업무별로 RTO와 RPO를 설정하고, 이를 달성하기 위한 기술적 전략을 결정합니다. 예를 들어 이미지 기반 백업, 클라우드 복제, 이중화 구성, 오프사이트 백업 등을 업무 등급에 맞게 조합합니다. Acronis Cyber Protect와 같은 통합 솔루션을 활용하면 백업·복구와 보안을 단일 플랫폼에서 관리할 수 있어 중소기업의 운영 부담을 크게 줄일 수 있습니다. -
4단계: BCP 문서화 및 역할 지정
복구 절차, 비상 연락망, 의사결정 체계, 외부 업체 연락처, 대체 업무 장소 등을 누구나 이해할 수 있는 수준으로 문서화합니다. 핵심은 "IT 담당자가 없어도 다른 사람이 초기 대응을 시작할 수 있는가"입니다. 역할별 책임자를 지정하고 대리인까지 명시해야 합니다. -
5단계: 모의훈련 및 지속적 업데이트
문서만 만들고 서랍에 넣어두면 BCP가 아닙니다. 최소 연 1회 모의훈련을 실시하여 실제 복구 시간을 측정하고, 절차의 허점을 발견해야 합니다. 또한 서버 추가, 조직 변경, 새로운 서비스 도입 시마다 BCP를 갱신해야 합니다.
한국의 개인정보보호법과 정보통신망법은 개인정보를 처리하는 기업에게 안전성 확보 조치를 의무화하고 있습니다. 개인정보 유출 사고 시 복구 계획 부재가 확인되면 과징금 및 형사 처벌의 가중 사유가 될 수 있습니다. BCP는 선택이 아니라 법적 의무에 가깝다는 점을 경영진에게 반드시 전달하세요.
BCP 없이 랜섬웨어를 맞닥뜨린 시나리오: 48시간의 기록
"복구 계획이 없었던 제조 중소기업의 48시간"
[시나리오] 직원 약 60명 규모의 부품 제조업체를 가정합니다. 금요일 밤, 원격 데스크톱 포트(RDP)를 통해 침투한 공격자가 랜섬웨어를 배포합니다. 토요일 아침 야간 근무자가 이상을 발견했지만, IT 담당자는 주말이라 연락이 지연됩니다. 일요일이 되어서야 상황이 파악되지만, 백업은 외장하드에 주 1회 수동으로 진행하고 있었고 마지막 백업은 5일 전입니다. 복구 절차서는 존재하지 않습니다.
월요일, 영업팀은 주문을 처리할 수 없고, 생산라인은 작업지시서를 출력할 수 없습니다. 거래처에 납기 지연을 통보해야 하지만, 누가 어떤 내용으로 연락할지 정해진 것이 없어 각자 알아서 전화합니다. 메시지가 제각각이라 거래처의 불안은 오히려 커집니다. 결국 외부 복구 업체에 긴급 의뢰하여 화요일 저녁에야 일부 시스템이 복구됩니다. 5일 치 데이터는 영구 손실, 총 업무 중단 시간은 약 72시간.
이 시나리오는 특정 기업의 실화가 아니라, KISA 침해사고 상담 사례에서 반복적으로 나타나는 패턴을 종합한 것입니다. 여기서 BCP가 있었다면 달라졌을 부분을 짚어보겠습니다.
- 비상 연락망 + 초기 대응 절차가 있었다면 → 토요일 아침에 즉시 IT 담당자와 경영진에게 연락, 네트워크 격리 등 초기 대응이 수 시간 앞당겨졌을 것
- 자동화된 백업 + 오프사이트/클라우드 복제가 있었다면 → RPO를 수 시간 이내로 줄여 5일 치 데이터 손실을 방지
- 복구 절차서 + 역할 지정이 있었다면 → 외부 업체 의뢰 없이도 내부에서 시스템별 우선순위에 따라 순차 복구 가능
- 위기 커뮤니케이션 계획이 있었다면 → 거래처에 일관된 메시지를 전달하여 신뢰 손상 최소화
BCP를 지탱하는 IT 인프라: 백업·보안·복구의 삼각 구조
BCP의 기술적 근간은 결국 "데이터를 안전하게 보관하고, 위협을 탐지·차단하며, 빠르게 복구하는 것"으로 요약됩니다. 이 세 가지가 유기적으로 연결되지 않으면 BCP는 종이 위의 계획에 불과합니다.
| 영역 | 핵심 요건 | BCP에서의 역할 |
|---|---|---|
| 백업 | 이미지 기반 전체 백업, 증분 백업, 3-2-1 규칙 준수 | RPO 달성을 위한 데이터 보전 기반 |
| 보안 | 엔드포인트 보호, AI 기반 행동 탐지, 취약점 패치 관리 | 위협 사전 차단으로 BCP 발동 자체를 최소화 |
| 복구 | 베어메탈 복구, 이기종 하드웨어 복원, 클라우드 DR | RTO 달성을 위한 신속한 시스템 복원 |
전통적으로 이 세 영역은 각각 다른 솔루션으로 운영되어 왔습니다. 백업 소프트웨어, 안티바이러스, 별도의 DR 서비스를 따로 구매하고 관리하면 비용과 복잡도가 증가합니다. 최근에는 Acronis Cyber Protect처럼 백업·보안·복구를 단일 에이전트와 콘솔에서 통합 관리하는 접근 방식이 중소기업 환경에서 주목받고 있습니다. 관리 포인트를 줄이면 적은 인력으로도 BCP의 기술적 요건을 유지할 수 있기 때문입니다.
중요 데이터는 최소 3개의 사본을, 2가지 이상의 서로 다른 매체(예: 로컬 NAS + 클라우드)에, 1개는 오프사이트(원격지)에 보관합니다. 랜섬웨어가 로컬 네트워크를 모두 암호화하더라도 오프사이트 백업이 있으면 복구가 가능합니다.
BCP 구축 체크리스트: 지금 바로 점검하세요
아래 체크리스트를 활용하여 현재 우리 회사의 BCP 수준을 점검해 보세요. 하나라도 "아니오"에 해당하면 해당 영역부터 보완을 시작하는 것을 권장합니다.
- ☐ 핵심 업무 목록과 우선순위가 문서화되어 있는가? (BIA 완료 여부)
- ☐ 각 핵심 업무·시스템별로 RTO와 RPO가 정의되어 있는가?
- ☐ 백업이 자동으로 수행되고 있으며, 3-2-1 규칙을 충족하는가?
- ☐ 백업 데이터의 복구 테스트를 분기 1회 이상 실시하고 있는가?
- ☐ 랜섬웨어·악성코드 대응을 위한 엔드포인트 보호 솔루션이 가동 중인가?
- ☐ 비상 연락망이 최신 상태로 유지되고, IT 담당자 외 대리 복구 담당자가 지정되어 있는가?
- ☐ 복구 절차서가 존재하며, IT 비전문가도 초기 단계를 수행할 수 있도록 작성되어 있는가?
- ☐ 거래처·고객 대상 위기 커뮤니케이션 템플릿이 준비되어 있는가?
- ☐ 전사 모의훈련을 연 1회 이상 실시하고 결과를 기록하고 있는가?
- ☐ 개인정보보호법 등 관련 법규의 안전성 확보 조치 기준을 충족하고 있는가?
마무리: BCP는 '비용'이 아니라 '보험'입니다
BCP를 구축하는 데 시간과 비용이 든다는 이유로 미루는 기업이 여전히 많습니다. 하지만 업무 중단 1시간의 비용을 계산해 보면 — 직원 인건비, 매출 손실, 납기 위약금, 고객 이탈, 브랜드 손상 — BCP 구축 비용은 그에 비해 미미한 수준입니다. 보안 전문가들은 일반적으로 "사고 후 복구 비용은 사전 예방 비용의 수 배에서 수십 배에 달한다"고 강조합니다.
핵심을 정리하면 다음과 같습니다.
- BCP는 IT 복구 계획(DR)을 포함하는 상위 경영 전략입니다.
- BIA → 위험 평가 → 복구 전략 → 문서화 → 훈련의 5단계로 구축합니다.
- RTO/RPO를 업무 중요도별로 차등 설정하여 비용 효율을 높입니다.
- 백업·보안·복구를 통합 관리하면 적은 인력으로도 실효성 있는 BCP를 운영할 수 있습니다.
KDSys는 Acronis 공인 파트너로서, 중소기업 환경에 최적화된 BCP 수립과 Acronis Cyber Protect 도입을 함께 지원합니다. 백업 정책 설계부터 복구 테스트, 보안 모니터링까지 "구축 후 방치"가 아닌 지속적인 운영 지원을 제공합니다. 우리 회사의 BCP 수준이 궁금하시다면, KDSys에 부담 없이 문의하세요. 현황 진단부터 도입 컨설팅까지 전문 엔지니어가 함께합니다.