재해 복구 사이트
더 많은 작업
- Recovery Site Strategies; 재해 복구 사이트(대체 사이트, 복구 사이트 전략)
- 주 사이트가 재해로 쓸 수 없게 되었을 때 정보시스템과 업무를 옮겨 운영할 대체 시설을 미리 확보하는 전략과 그 유형
어떤 사이트를 준비할지는 업무 영향 분석(BIA)에서 나온 RTO(복구 시간 목표)와 RPO(복구 시점 목표), 그리고 비용의 균형으로 정한다. 준비가 많이 된 사이트일수록 빨리 복구할 수 있지만 평소 유지 비용이 크다. NIST SP 800-34 Rev.1은 대체 사이트를 운영 준비 수준에 따라 콜드·웜·핫 사이트로 나누고, 변형으로 모바일 사이트와 미러 사이트를 든다. 확보 방식으로는 조직이 소유·운영하는 전용 사이트, 내외부 기관과의 상호 협약(양해각서 포함), 상업 임대 시설의 세 가지를 제시한다. 사이트 유형의 기본 설명과 국내에서 흔히 쓰는 RTO 참고치는 재해 복구 문서에 있다.
시스템 요구에 맞는 규모로, 필요한 하드웨어, 지원 인프라, 지원 인력까지 갖춘 시설이다(NIST SP 800-34 Rev.1). 데이터를 주기적 또는 실시간으로 복제해 두면 몇 시간 안에 전환할 수 있다. 비용이 크고, 상업 사이트는 다른 고객과 공유할 수 있다.
시스템 하드웨어, 소프트웨어, 통신, 전원의 일부 또는 전부를 갖춘 부분 장비 시설이다. 운영에 앞서 최신 데이터 복원과 일부 장비 설치·구성이 필요해 핫 사이트보다 느리고 싸다.
전력, 통신 연결, 냉난방·항온항습 같은 기반 시설과 공간만 갖춘 시설이다. 유지 비용이 가장 낮지만 장비를 조달·설치해야 하므로 복구에 오랜 시간이 걸린다. 장비 조달 계약이 함께 없으면 사실상 쓸모가 없을 수 있다.
미러 사이트(mirrored site)는 실시간 자동 정보 미러링을 갖춘 완전 이중화 시설로, 기술적으로 주 사이트와 동일하다. NIST SP 800-34 Rev.1은 가장 비싼 선택이지만 사실상 100%에 가까운 가용성을 보장한다고 설명한다. 두 사이트가 동시에 실제 업무를 나눠 처리하면 액티브-액티브 구성이 된다.
특정 통신·시스템 장비를 갖춘 이동식 독립형 시설(트레일러, 컨테이너 등)이다. NIST SP 800-34 Rev.1은 많은 경우 원하는 장소까지 24시간 안에 도착할 수 있지만 장비 설치·구성 시간이 더해진다고 설명한다. 주 사이트 근처에 임시로 세울 수 있어 인력 이동 부담이 작다.
상호 지원 협약(reciprocal agreement)은 비슷하거나 같은 시스템 구성을 가진 두 조직 이상이 재해 시 서로의 대체 사이트가 되기로 약정하는 것이다. 비용은 거의 들지 않지만 NIST SP 800-34 Rev.1의 지적처럼 각 사이트가 자기 업무에 더해 상대 업무까지 감당할 수 있어야 하며, 처리 용량, 시스템·백업 구성 호환성, 통신 연결, 보안 통제, 상대 조직의 특권 사용자에게 데이터가 노출될 가능성을 시험으로 확인해야 한다. 실제로는 강제력이 약하고, 같은 지역 재해로 두 조직이 함께 피해를 입거나 상대 조직이 자기 업무를 우선할 수 있어 주된 복구 수단으로 삼기 어렵다.
서비스 사무국(service bureau)은 정보 처리 서비스를 제공하는 외부 사업자와 계약해 재해 시 그 사업자의 시설과 시스템으로 처리를 이어 가는 방식이다. 즉시 처리 능력을 확보할 수 있지만, 여러 고객이 같은 재해를 당하면 용량이 부족할 수 있어 우선순위 조항을 확인해야 한다.
DRaaS(Disaster Recovery as a Service)는 클라우드 공급자나 DR 서비스 사업자의 인프라에 서버 이미지와 데이터를 복제해 두고, 재해 시 그 환경에서 시스템을 기동하는 방식이다. 평소에는 저장 비용 위주로 내고 재해 때만 계산 자원을 쓰므로 웜·핫 사이트 수준의 복구를 낮은 고정비로 얻을 수 있다. 대신 대량 데이터 복원과 원 사이트로 되돌리는 페일백(failback)의 시간·비용, 공급자 의존, 데이터 저장 위치(국외 이전), 공동 책임 범위를 따져야 한다.
| 유형 | 준비 수준 | 복구 시간 | 비용 | 비고 |
|---|---|---|---|---|
| 미러(액티브-액티브) | 장비·데이터·인력 모두 실시간 동기 | 거의 즉시 | 가장 높음 | 동시 운영 시 부하 분산 효과 |
| 핫 사이트 | 장비·통신 완비, 데이터 복제 | 짧음(시간 단위) | 높음 | 정기 전환 시험 가능 |
| 웜 사이트 | 일부 장비·통신 | 중간(일 단위) | 중간 | 데이터 복원·장비 보충 필요 |
| 콜드 사이트 | 공간과 기반 시설만 | 김(주 단위 이상) | 낮음 | 장비 조달 계약 필수 |
| 모바일 사이트 | 이동식 장비 탑재 | 운송 + 설치 시간 | 중간~높음 | 위치 유연성 |
| 상호 지원 협약 | 상대 조직 자원에 의존 | 불확실 | 매우 낮음 | 강제력·용량·기밀성 문제 |
| 서비스 사무국 | 사업자 처리 능력 | 짧음~중간 | 계약에 따름 | 동시 재해 시 용량 경쟁 |
| DRaaS | 클라우드에 이미지·데이터 복제 | 짧음~중간 | 사용량 기반 | 페일백 계획, 공급자 의존 |
NIST SP 800-34 Rev.1의 대체 사이트 기준 예시표도 비용(콜드 낮음, 웜 중간, 핫 중간~높음), 하드웨어(없음·일부·전체), 설치 시간(김·중간·짧음)으로 세 유형을 비교한다.
- 사이트 선택은 시스템별 RTO에서 출발한다. NIST SP 800-34 Rev.1은 FIPS 199 가용성 영향 수준이 낮은 시스템에는 이전 또는 콜드 사이트, 중간은 콜드 또는 웜 사이트, 높은 시스템에는 핫 사이트를 전략 예로 든다.
- RTO는 최대 허용 중단 시간(MTD) 안에 들어야 한다. 사이트 전환 시간에 데이터 복원, 애플리케이션 검증, 사용자 연결 전환 시간을 모두 더해 RTO와 비교한다.
- RPO는 사이트보다 데이터 복제 방식(백업 주기, 전자 볼팅, 원격 저널링, 미러링)이 결정한다. 핫 사이트라도 데이터가 하루 전 것이면 RPO는 하루다. 자세한 방식은 백업 방식을 본다.
자원 용량 협약(resource capacity agreement)은 재해 시 필요한 처리 용량, 공간, 장비, 통신 대역을 공급자나 협약 상대가 실제로 제공하도록 계약으로 확보하는 것이다. 상업 사이트는 여러 고객이 같은 시설을 계약하는 경우가 많아, 광역 재해가 나면 모두를 수용하지 못할 수 있다. NIST SP 800-34 Rev.1은 상업 사이트 계약에 시험 시간, 작업 공간, 보안·하드웨어·통신 요구, 지원 서비스, 점유 가능 기간을 명시하고 동시 재해 시 우선순위 정책을 협상하라고 권고한다. 클라우드 DR도 재해 지역의 고객이 한꺼번에 몰리면 특정 인스턴스 유형이 부족할 수 있어, 용량 예약을 검토한다.
다중 처리 사이트(multiple processing sites)는 둘 이상의 사이트가 평소에도 실제 업무를 처리하는 구성이다. 한 사이트가 멈추면 나머지가 부하를 넘겨받으므로 별도의 "전환"이 거의 필요 없고, 대체 사이트가 평소에 검증된다는 장점이 있다. 대신 데이터 동기화, 사이트 간 네트워크 지연, 분할 상황(split-brain) 처리가 어렵고 비용이 크다. 각 사이트는 한 사이트가 빠졌을 때의 부하를 감당할 여유 용량을 가져야 한다.
- 대체 사이트는 주 사이트와 같은 재해(지진대, 침수 지역, 전력망, 통신 국사)의 영향을 받지 않는 곳에 둔다(NIST SP 800-34 Rev.1).
- 너무 멀면 인력 이동이 어렵고, 동기식 복제는 거리에 따른 지연 때문에 제약을 받는다. 동기 복제 사이트와 원거리 비동기 사이트를 함께 두는 3사이트 구성이 쓰이기도 한다.
- 인력과 장비의 이동 시간과 수단, 재해 시 교통 두절 가능성도 고려한다.
- 대체 사이트에도 주 사이트와 같은 수준의 물리·논리 보안 통제를 적용한다.
- 비용과 복구 속도는 반비례한다. 미러 > 핫 > 웜 > 콜드 순으로 빠르고 비싸다.
- 콜드 사이트는 가장 싸지만 가장 느리고, 실제 복구 가능성을 시험하기 어렵다.
- 상호 지원 협약은 가장 싸지만 강제력, 용량, 기밀성 문제가 있어 주된 전략으로는 부적절하다.
- 사이트 선택의 근거는 BIA에서 나온 RTO와 MTD다. 기술 선호가 아니라 업무 요구가 기준이다.
- 핫 사이트를 확보해도 데이터 복제가 따라가지 않으면 RPO를 만족하지 못한다. 사이트(RTO)와 데이터(RPO)를 나눠 본다.
- 상업 사이트·클라우드 DR은 동시 재해 시 용량 경쟁이 있으므로 자원 용량 협약을 확인한다.