국정원 화재 300일, 공공기관 DR·클라우드 확보 여전히 난항…재해복구 체계 점검 시급

핵심 요약

- 2025년 9월 대전 국정원 센터 화재 발생 300일 경과, 다수 공공기관 시스템 소실 후 복구 지연 - 정부는 대구 PPP존에 DR 및 이중화 공간 확보 추진 중이나 실질적 진척 미흡 - 공공기관의 재해복구 체계 및 백업·복구 전략 전면 재점검 필요성 대두

주요 내용

2026년 7월 22일 IT업계에 따르면, 2025년 9월 발생한 대전 국정원 센터 화재로부터 약 300일이 경과했음에도 불구하고 피해 공공기관들의 재해복구(DR, Disaster Recovery) 체계 구축이 여전히 난항을 겪고 있는 것으로 나타났다. 당시 화재로 다수 기관의 핵심 시스템이 소실되면서 공공서비스 중단 사태가 발생했으며, 이는 국가 재난관리 체계의 근본적인 취약점을 드러냈다.

정부는 화재 이후 대구 센터를 중심으로 소실된 시스템의 재해복구 및 이중화 공간을 확보하기 위해 대구 PPP(Public-Private Partnership)존에 여유 공간을 마련하는 작업을 진행 중이다. 그러나 클라우드 자원 확보, 예산 배정, 기관 간 조율 등 복합적인 문제로 인해 실질적인 DR 환경 구축은 여전히 지연되고 있는 실정이다.

특히 공공기관들의 경우 민간 클라우드 도입에 대한 보안성 검토, 데이터 주권 문제, 그리고 기존 레거시 시스템과의 호환성 등 다층적 과제를 동시에 해결해야 하는 상황이다. 이번 사태는 단순한 백업 체계를 넘어서, ISO 22301 기반의 사업연속성관리(BCM) 체계가 공공부문에서 얼마나 실효성 있게 운영되고 있는지에 대한 근본적인 의문을 제기하고 있다.

재해경감우수기업 인증 심사 과정에서도 확인되듯이, 효과적인 재해복구 체계는 물리적 백업 인프라뿐만 아니라 복구시간목표(RTO), 복구시점목표(RPO) 설정, 정기적 훈련 및 테스트, 그리고 전사적 재난관리 거버넌스가 통합적으로 작동해야 한다.

전문가 시각

재해경감 인증심사원으로서 LH공사를 포함한 다수 공공기관의 재난관리 체계를 심사한 경험에 비추어 볼 때, 이번 국정원 화재 사태의 장기화는 예견된 결과였다. 대부분의 공공기관이 DR 체계를 '규정 준수'의 관점에서만 접근하고, 실제 재난 발생 시 즉각 가동 가능한 '실전형 복구 체계'로 구축하지 못했기 때문이다. 특히 클라우드 DR 환경의 경우, 단순히 공간 확보만으로는 불충분하며, 네트워크 지연시간(latency), 데이터 동기화 주기, 장애 전환(failover) 자동화 등이 사전에 철저히 설계·검증되어야 한다.

기업재난관리학 관점에서 보면, 조직은 ISO 22301 인증 취득 그 자체보다는 실질적인 재해복구 역량 확보에 집중해야 한다. 최소 연 2회 이상의 DR 훈련(안전한국훈련 등과 연계), RTO/RPO 목표의 현실화, 그리고 경영진의 BCM 의사결정 참여가 필수적이다. 또한 재해경감우수기업인증과 같은 제3자 검증을 통해 자체 복구 체계의 실효성을 객관적으로 점검하는 것이 권장된다. 특히 클라우드 기반 DR의 경우, 개인정보보호 관점에서 ISMS-P 인증 범위에 클라우드 환경을 명시적으로 포함시켜 백업 데이터의 암호화, 접근통제, 재해복구 시 개인정보 처리 절차 등을 통합 관리해야 한다.

CPPG·ISMS-P 연계 포인트

재해복구 목표 설정 (RTO/RPO): 복구시간목표(RTO, Recovery Time Objective)는 재해 발생 후 시스템을 복구해야 하는 목표 시간을, 복구시점목표(RPO, Recovery Point Objective)는 데이터 손실을 허용할 수 있는 시간 범위를 의미한다. ISMS-P 인증심사 시 조직의 중요 자산별로 RTO/RPO가 명확히 정의되고, 이를 달성할 수 있는 백업 주기 및 복구 절차가 문서화·실행되고 있는지를 중점 점검한다.

사업연속성관리 체계 (ISO 22301): ISO 22301은 조직이 예기치 않은 사고나 재난 발생 시에도 핵심 사업을 지속할 수 있도록 하는 국제 표준이다. 사업영향분석(BIA), 리스크 평가, 사업연속성 전략 수립, 훈련 및 테스트, 지속적 개선을 포함하는 PDCA 사이클 기반으로 운영되며, ISMS-P의 물리적·기술적 통제와 통합 운영될 때 실효성이 극대화된다. 재해경감우수기업 인증 역시 유사한 프레임워크를 채택하고 있다.