국가정보관리원 화재, 무엇을 남겼나

지난 주말 국가정보관리원 화재로 인해 무려 647개의 행정정보시스템이 중단되는 초유의 사태가 발생했습니다. 나의 일상생활 속에서는 크게 불편함을 느끼지 못했지만, IT와 보안 업계에 종사하는 사람들 사이에서는 다양한 논의가 이어지고 있습니다. 저 역시 이번 사건을 바라보며 몇 가지 생각을 정리해 보았습니다.

1. 재해복구체계의 미흡

중요 정보시스템이라면 기본적으로 재해·재난 상황에 대비한 이중화 구성이 전제되어야 합니다. 이를 위해 통상적으로 다른 지역, 일정 거리 이상 떨어진 곳에 데이터센터를 두고 운영합니다. 하지만 이번 사건에서는 분원 센터가 있었음에도 불구하고 중요 정보시스템에 대한 이중화가 충분히 고려되지 않았던 것으로 보입니다.

또한, 관련 법규상 연 1회 이상 재해복구 모의훈련을 수행해야 하는데, 실제 훈련이 제대로 진행되었는지, 그리고 실질적인 효과를 발휘할 수 있었는지 의문이 남습니다.

2. 재해복구 목표 수립 미흡

재해복구체계 구성에서 핵심은 복구 목표입니다.

RTO(Recovery Time Objective) : 어느 정도 시간 안에 서비스를 복구할 것인가

RPO(Recovery Point Objective) : 어느 시점까지의 데이터를 보존할 것인가

MTBF, MTTR, MTTF 등의 지표 또한 체계 수립의 근간이 됩니다.

하지만 이번 사태에서는 이러한 목표가 현실적으로 고려되지 못한 채 운영되었던 것으로 추측됩니다. 결국 복구에 상당한 시간이 소요될 수밖에 없는 구조였다고 볼 수 있습니다.

3. 예산의 한계

IT 실무 부서라면 누구나 공감할 부분이 바로 예산 문제입니다.

모든 위험에 완벽히 대비하고 싶지만, 실제로는 한정된 자원 속에서 '몸빵' 을 해야 하는 경우가 많습니다. 특히 DR센터 구축은 막대한 비용이 수반되는데, 이번 사태의 이면에도 예산 부족이라는 현실적인 장벽이 있었던 것은 아닐까 생각됩니다.

국가 차원의 행정정보시스템이 멈춘 이번 사건은 단순한 화재 사고가 아니라, 재해복구체계와 예산 운용, 거버넌스의 문제를 다시금 환기시킨 계기라고 봅니다.

재해복구체계는 평상시엔 '돈먹는 하마'처럼 보이지만, 위기 상황이 발생하면 서비스를 제공하는 정부와 기업의 신뢰를 지켜내는 마지막 방패가 됩니다. 이번 사건을 통해 보다 근본적인 재검토와 개선이 이뤄지기를 기대합니다.