김승주 교수 강조 "사이버복원력은 DR 아닌 비즈니스 연속성...IT 중심 사고 탈피해야"

핵심 요약

- 김승주 고려대 교수, 2026년 AI×RMF 워크숍에서 사이버복원력과 DR의 본질적 차이 강조 - 사이버복원력은 IT 시스템 복구가 아닌 조직의 핵심 기능 유지·지속이 목표 - RMF·제로트러스트와 연계한 통합적 복원력 확보 전략 필요성 제기

주요 내용

고려대학교 김승주 교수는 2026년 개최된 'AI×RMF 워크숍'에서 사이버복원력(Cyber Resilience)에 대한 근본적인 인식 전환을 촉구했다. 김 교수는 사이버복원력을 단순한 재해복구(DR, Disaster Recovery)와 혼동해서는 안 된다고 명확히 선을 그었다.

김 교수에 따르면, 전통적인 재해복구는 장애로 인해 중단되거나 손상된 IT 시스템을 정상화하는 데 초점을 맞춘다. 반면 사이버복원력은 반드시 정보기술(IT)을 이용해 시스템을 정상화하는 것만이 목표가 아니다. 어떤 수단을 활용하더라도 조직의 핵심 기능과 서비스를 지속할 수 있는 능력을 의미한다는 것이 핵심이다.

이는 ISO 22301(비즈니스연속성관리) 관점에서 보면 더욱 명확해진다. DR이 기술 중심의 복구 전략이라면, 사이버복원력은 비즈니스 영향 분석(BIA)을 바탕으로 핵심 업무 프로세스의 연속성을 보장하는 경영 전략이다. 김 교수는 RMF(위험관리프레임워크)와 제로트러스트 아키텍처를 사이버복원력 확보의 핵심 요소로 제시하며, 통합적 접근의 필요성을 강조했다.

특히 AI 시대를 맞아 사이버 위협이 고도화되는 상황에서, 단순히 시스템을 복구하는 것을 넘어 공격 중에도 핵심 기능을 유지하고 신속하게 적응할 수 있는 복원력이 조직 생존의 필수 요건이 되고 있다는 점을 강조했다.

전문가 시각

필자가 LH공사 재해경감우수기업 인증심사를 수행하며 경험한 바에 따르면, 국내 대다수 기업들이 여전히 DR을 백업·복구 수준으로만 인식하고 있다. 기업재난관리학 관점에서 볼 때, 김승주 교수의 지적은 매우 시의적절하다. 재해경감 인증 과정에서도 '기술 복구'와 '업무 연속성'을 구분하지 못하는 사례가 빈번하게 발견된다. 실제로 재해경감우수기업인증 심사 시 BCP(비즈니스연속성계획)와 DR 계획을 동일시하는 오류가 반복되고 있다.

ISO 22301과 기업재난관리사 자격 체계에서 강조하는 것처럼, 조직의 복원력은 IT 시스템 가용성을 넘어 인력·시설·공급망·재무 등 다차원적 요소를 포괄해야 한다. 특히 안전한국훈련이나 위기대응 모의훈련 시나리오 설계 시, '시스템 복구 완료'가 아닌 '핵심 서비스 제공 재개'를 최종 목표로 설정해야 한다. 2026년 현재 ISMS-P 인증 심사 현장에서도 사이버복원력을 DR 솔루션 도입으로만 충족하려는 시도가 많은데, 이는 근본적인 인식 전환이 필요한 부분이다.

CPPG·ISMS-P 연계 포인트

비즈니스연속성관리(BCM) vs 재해복구(DR): ISMS-P 인증기준 2.9.1(비상계획 수립)에서 요구하는 것은 단순 시스템 복구가 아닌 핵심 업무 프로세스의 연속성이다. BIA(비즈니스영향분석)를 통해 핵심 자산과 서비스를 식별하고, RTO(목표복구시간)·RPO(목표복구시점)를 업무 중요도에 따라 차등 설정해야 한다.

사이버복원력의 4단계: NIST 사이버복원력 프레임워크는 ①예측(Anticipate) ②견딤(Withstand) ③복구(Recover) ④적응(Adapt) 단계로 구성된다. CPPG 시험 출제 범위에서 '복구'만 강조되던 기존 관점을 넘어, 공격을 견디며 핵심 기능을 유지하는 '견딤' 능력과 학습을 통한 '적응' 능력이 포함된다는 점을 이해해야 한다.