- 자연재해, 해킹, 통신장애 등 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형 식별

    ※ IT 서비스 중단을 초래할 수 있는 IT재해 유형(예시)

      - 자연재해 : 화재, 홍수, 지진, 태풍 등

      - 외부요인 : 해킹, 통신장애, 정전 등

      - 내부요인 : 시스템 결함, 기계적 오류, 사용자 실수, 의도적· 악의적 운영, 핵심 운영자 근무 이탈(사망, 병가, 휴가, 이직 등), 환경설정 오류 등

  - 다음 사항을 고려하여 재해 유형별 조직의 핵심 서비스(업무) 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별

    : 매출감소, 계약위약금 지급 등 재무적 측면

    : 손해배상 소송 등 법적 측면

    : 대외 이미지 하락, 경쟁력 손상 등 정성적 측면

  - IT 서비스 및 시스템 중단시점부터 복구되어 정상가동될 때까지의 복구 목표시간(RTO : Recovery Time Objective)과 데이터가 복구되어야 하는 복구 목표시점(RPO : Recovery Point Objective)을 정의

  - IT 재해 발생 시 사전 정의한 서비스 및 시스템 복구 목표시간 및 복구 목표시점을 달성할 수 있도록 비용효과적인 복구전략 및 대책을 수립

  - IT 재해 발생 시 신속한 복구가 가능하도록 다음 내용을 포함한 IT 재해 복구 체계 구축

    : 재해 시 복구조직 및 역할 정의 : IT 재해 발생 시 복구를 위한 관련부서 및 담당자 역할과 책임 부여

    : 비상연락체계 : 조직 내 관련 부서 담당자, 유지보수 업체 등 복구 조직상 연락체계 구축

    : 복구 전략 및 대책 수립방법론 : 업무영향분석, 복구 목표시간 및 복구 목표시점 정의, 핵심 IT 서비스 및 시스템 식별 등

    : 복구 순서 정의 : 복구 목표 시간별로 정보시스템의 복구 순서 정의

    : 복구 절차 : 재해 발생, 복구 완료, 사후관리 단계 포함

  - 개인정보처리자의 경우 화재, 홍수, 단전 등의 재해· 재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 함(개인정보의 안전성 확보조치 기준 제12조)

    ※ 개인정보처리시스템 위기대응 매뉴얼 및 백업· 복구 계획(예시)

      - 개인정보처리시스템 구성 요소(개인정보 보유량, 종류· 중요도, 시스템 연계 장비· 설비 등)

      - 재해· 재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안

      - 개인정보처리시스템 백업 및 복구 우선순위,  복구 목표시점,  복구 목표시간

      - 개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)

      - 업무분장, 책임 및 역할

      - 실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등

  ※ IT 재해 복구 시험계획에 포함되어야 할 사항(예시)

    - 재해 복구 시험 일정(일시 및 장소)

    - 참여인원

    - 범위

    - 방법 및 시나리오

    - 절차 등

 -   시험계획에 따라 정기적인 시험을 실시하여 복구 전략 및 대책이 효과적인지, 비상시 복구 조직 구성원이 복구절차에 따라 신속하게 대응하는지 등을 점검

  - IT 재해 복구 계획에 대한 공식적인 변화관리 절차 마련

  - 재해 복구 시험 결과와 정보시스템 환경변화 등을 고려하여 복구 계획을 정기적으로 검토· 보완