장애·침해·재해 통합 회복성

장애·침해·재해 통합 회복성

서버를 되살리면 사고도 끝나는가

새봄시의 강좌 신청 서비스가 멈췄다. 담당자가 다른 서버로 전환하자 첫 화면은 열린다. 그러나 일부 신청이 없고, 사고 직전 사용한 관리자 계정의 오용 가능성도 남아 있다. 창구에서 대신 받은 신청은 아직 입력되지 않았으며 이미 배정된 사람에게 다시 신청하라는 안내가 나가고 있다.

이때 ‘복구 완료’라고 쓰면 무엇이 틀릴까? 서비스 화면, 침해의 확산, 데이터 정합성, 밀린 업무와 이용자 안내는 서로 다른 완료 조건이다. 한 팀의 기술 복구가 다른 팀의 사건 종결을 자동으로 대신하지 않는다.

업무연속성·재해복구, 인프라 복구목표, 개인정보 사건 대응, 신청·통지의 상태를 함께 적용한다. 아래 RC-1·T1·Q1·G1과 추가 반례 RC-R1은 자체 교육 상황이며 실제 공공기관 사고나 복구 능력의 증거가 아니다.

읽는 순서: RC-T1의 시각과 복구점에서 조건을 확인하고 잃어버린 요청 기록의 반례의 이유를 따라간다. 자체 문제는 먼저 답한 뒤 풀이를 펼친다. 조건 변경에서는 결과와 유지되는 원리를 함께 적고 오답 교정으로 돌아간다.

앞선 통합 판단과 연결

앞 두 절은 업무 원장·권한·외부 효과와 데이터·AI 변경을 서로 다른 완료조건으로 관리했다. 여기서는 같은 원칙을 장애·침해·데이터 공백·대체 업무·이용자 권리의 동시 복구에 적용한다.

1. 같은 사건을 서로 다른 관점에서 본다

통합 회복성 판단은 서비스 복구·보안 침해·데이터 정합성·업무연속성·권리와 소통의 완료조건을 분리한 뒤, 같은 사건의 시각·책임·증거로 다시 연결해 재개·제한·보정을 결정하는 방법이다.

장애는 필요한 기능을 수행하지 못하는 상황이고, 침해는 허용되지 않은 접근·변경·유출 등의 보안 문제다. 재해는 장소·설비·인력·공급 등 광범위한 운영 기반을 훼손할 수 있다. 이 구분은 모든 사건을 서로 배타적인 칸에 넣으라는 뜻이 아니다. 하나의 사고가 서비스 장애와 침해·업무 중단을 함께 일으킬 수 있다.

정보가 부족할 때는 확인된 사실과 의심·미확인을 나눈다. 화면이 멈춘 사실만으로 개인정보 유출이 확정되는 것은 아니며, 실제 유출을 아직 특정하지 못했다는 이유로 보호 조치를 하지 않아도 되는 것도 아니다. 필요한 통지·신고의 적용은 앞 법규 절의 실제 요건·인지 시점·예외와 대조한다.

2. 복구 목표는 업무 수준과 측정 경계를 가진다

RTO는 정한 서비스 수준을 회복하기까지의 시간 목표이고, RPO는 장애 후 되살려야 할 자료의 시점에 관한 목표다. 하나는 복구에 허용한 시간, 다른 하나는 어느 시점의 자료까지 회복해야 하는지의 경계다. 두 값을 더해 총중단시간을 계산하지 않는다.¹

RC-1에서는 중단 시각부터 60분 안에, 승인된 사용자가 접수·상태조회·취소를 올바른 권한과 검증된 원장으로 수행할 수 있는 최소 업무를 RTO 목표로 정한다. 데이터 목표는 중단 전 5분 이내의 일관된 기록을 복원하는 것이다. 이는 이 사례의 내부 목표이며 모든 공공서비스의 법정 기준이 아니다.

최소 업무의 정의에는 데이터 공백 구간의 신청을 어떻게 취급할지도 포함한다. 이 사례는 대사 전의 과거 요청·충돌 가능한 자원은 확인 대기로 분리하고, 검증된 범위의 거래와 미확인 표시를 제공하는 수준을 사전에 정했다고 가정한다. 일부 항목을 제한한 사실을 숨긴 ‘전체 과거 거래 완전 복구’가 아니다. 실제 사업이 모든 과거 거래의 완전성을 재개 조건으로 정했다면 그 조건이 충족되기 전에는 같은 완료 판정을 내릴 수 없다.

로그인 화면만 먼저 열린 경우, 읽기 전용 안내만 가능한 경우, 정한 범위의 신청·취소까지 가능한 경우를 구별한다. 낮은 수준의 제한 서비스를 제공하는 것은 피해를 줄일 수 있지만, 미리 정한 RTO의 완료 수준을 사건 뒤에 바꾸어 성공으로 만들지 않는다. 제한 서비스의 시작은 별도로 기록한다.

업무영향과 의존자원을 먼저 확인한다. 신청 서비스에는 원장·애플리케이션 외에 인증·키·통신·이름해석·직원·외부 조회가 필요할 수 있다. 복구용 키가 장애 지역의 관리 서비스에만 있으면 다른 지역의 저장 사본만으로 해결되지 않는다. 실제로 필요한 최소 경로와 검증할 거래를 정한다.

3. RC-T1: 기술 복구와 승인된 업무 재개의 시각

모든 시각은 2026년 9월 20일 한국 표준시다. 원장과 시계의 의미는 확인됐고 예제에 명시하지 않은 자동 복구·추가 로그는 없다고 가정한다. 아래는 실행 기록이 아니라 계산 문제의 주어진 상황이다.

중단부터 기동까지는 40분, 기본 점검까지는 55분, 정한 업무 재개까지는 70분이다. RTO 60분과 비교할 실제 경과는 70분이므로 목표보다 10분 늦다. 09:05의 선언부터 재어 65분으로 줄이거나 서버가 켜진 40분으로 성공 처리하지 않는다.

복원 자료의 공백은 09:00−08:52=8분으로 목표 5분보다 3분 넓다. 8분을 복원 작업시간으로 읽으면 안 된다. 또한 8분의 공백이 정확히 몇 건의 신청·취소 손실인지 이 표만으로는 모른다. 그 구간의 실제 업무량·커밋·외부 결과·남아 있는 증거를 대사해야 한다. RPO 목표는 5분이고 관찰된 공백은 8분이므로 ‘RPO가 8분으로 바뀌었다’고 보고하지 않는다.

나중에 추가 기록을 검증해 08:58까지 일관되게 복원할 수 있게 됐다면 회복 가능한 공백은 2분으로 바뀐다. 이는 원래 표와 다른 추가 조건이다. 어떤 결과를 언제 확인했는지 기록하며, 처음 8분이었던 판단을 지우거나 단순히 로그 파일이 있다는 사실만으로 08:58 복원 성공을 앞당겨 쓰지 않는다. 이미 10:10에 정한 최소 업무를 재개했다는 가정이라면 그 70분 기록은 그대로다. 추가 복원이 처음부터 재개의 필수 조건이었다면 실제 충족 시각으로 다시 재야 한다.

4. 복제·백업·깨끗한 복구는 서로 다르다

복제는 변경을 다른 사본에 전달하여 장애 대응을 돕는다. 잘못된 삭제나 손상도 전달될 수 있다. 따라서 가장 최신 복제본이 언제나 사용할 수 있는 복구점은 아니다. 백업도 실제 데이터·설정·키와 일관성, 복원 가능성을 확인해야 한다.

보안 침해가 의심되면 복구 환경에 같은 오용 계정·취약 설정·악성 변경이 남아 있는지 확인한다. 서버만 바꾸고 침해 경로를 그대로 열면 문제가 반복될 수 있다. 반대로 모든 원인을 완벽히 규명할 때까지 아무 업무도 못 하게 하는 것만이 유일한 대응은 아니다. 확인된 위험과 격리된 범위, 제한된 서비스 수준·관찰·승인 조건을 근거로 결정한다.

RC-G1은 복구 환경을 준비하면서 필요한 증거와 관리자 계정의 사용 이력을 보존하고, 원장과 권한이 확인된 범위부터 재개한다. 과거 자료가 미확인인 항목을 별도 검토로 보내는 것이지 이미 확인한 권한 위반이나 원장 오류를 정상으로 승인하는 것은 아니다. 실제 계정·키 조치는 승인된 대응 절차와 담당자가 수행한다. 모든 계정을 무조건 삭제하거나 검증 없이 전체 망을 연결하는 방식은 제시하지 않는다.

NIST SP 800-61 Rev. 3은 사건 대응을 CSF 2.0의 조직 위험관리 활동과 연결하며 Rev. 2를 대체한 2025년 문서다. 따라서 과거의 단계 그림만을 현재 문서 전체의 구조라고 쓰지 않는다. CSF 2.0의 Govern·Identify·Protect·Detect·Respond·Recover는 동시적·지속적 활동을 다루는 틀이며, 여섯 단계가 한 번씩 끝나면 대응이 자동 완료되는 절차가 아니다.²³

5. 재개 뒤에는 중복·누락·보정이 남는다

08:52 뒤에 신청은 확정됐는데 그 기록이 복구점에 없을 수 있다. 외부 통지는 이미 갔거나, 사용자는 취소 성공을 확인했는데 원장에는 옛 배정이 남을 수도 있다. 화면에서 다시 신청하게 하는 방식은 좌석·순서·권리를 바꿀 수 있다.

사건 ID·요청 ID·외부 결과와 보존된 접수 증거를 대조한다. 회복할 수 있는 사실, 충돌하는 사실, 확인할 수 없는 사실을 나누고 업무 책임자가 승인한 보정 절차로 처리한다. 원장을 만들기 위해 기억으로 시각·신청 순서를 임의로 채우지 않는다. 고객의 설명만으로 자동 거절하거나 자동 이중 배정하지도 않는다.

반례 RC-R1: 복원본에 요청이 없으니 처음부터 처리해도 될까

RC-R1은 강좌 신청과 같은 ‘원장 확정과 외부 안내의 분리’를 장비 대여에 적용한 별도의 단일 요청 반례다. 원래 RC-T1의 정확한 손실 건수를 정하려는 자료는 아니다. 08:50에 대여가 확정되어 08:52 복구점에 포함됐다. 08:56에는 취소 요청 R이 DB에서 확정됐고 주민에게 취소 안내도 실제로 전달됐다고 가정한다. 09:00 장애 뒤 08:52로 돌아가면 취소 R의 처리 기록은 없고 옛 확정 대여가 다시 보인다.

주민이 같은 R을 재전송했을 때 복원 DB에 기록이 없다는 사실은 이전에 처리한 적이 없다는 증거가 아니다. 복구 전에는 요청 고유성으로 중복 효과를 막았어도 그 고유성 기록 자체를 잃으면 원래의 재시도 판단 조건이 무너진다. 외부 안내 기록이나 다른 시스템의 효과는 같은 복구 시점으로 되감기지 않았을 수 있다.

이 사례에서는 영향 구간의 R과 관련 자원을 대사 대상으로 분리한다. 검증할 수 있는 취소 기록·접수 증거·통지 식별자·당사자 확인을 모으되, 외부 메시지 한 건만으로 전체 DB 거래와 다른 모든 효과까지 자동 확정하지 않는다. 담당자가 승인한 보정에서 현재 대여를 올바르게 정리하고 보정 근거·실제 효과·이미 보낸 안내를 연결한다. 확인할 근거가 없으면 미확인으로 남겨 추가 배정·재전송에 의한 충돌을 통제한다.

복구된 원장의 ‘보낼 작업’도 그대로 모두 재생하지 않는다. 이미 전달한 작업이 다시 미전송처럼 보일 수 있으므로 외부 요청 ID·결정판본·실제 처리 결과를 대사한다. 제공자의 중복방지 범위·기록 보존기간·현재 조회 기능도 확인해야 한다. 이 원고는 복원만으로 외부 발송까지 정확히 한 번이 보장된다고 주장하지 않는다.

대체 접수와 총 대기량

대체 접수는 식별자·원래 접수시각·상태를 기록하고 정식 처리 여부를 분리한다. 단말이 임시로 붙인 ID와 서버가 접수 후 발급한 번호를 구별한다. 창구에 접수됐다는 사실은 배정 확정이 아니다. 같은 사람이 온라인으로 제출한 요청과 실제로 같은 업무인지 내용·회차·대리 여부를 확인한다. 이름이 같다는 이유만으로 서로 다른 합법적인 신청을 삭제하지 않는다.

RC-Q1의 밀린 업무 계산은 RC-T1의 시간 공백과 별도 상태를 다룬다. 10:10 재개 때 처리 가능한 유효 대기 600건이 있고, 이후 신규 유입은 분당 20건, 전체 실제 처리율은 분당 50건으로 일정하다고 가정한다. 모두 같은 업무 단위이며 추가 중단·재작업·중복 처리는 없다. 조사 중이라 즉시 처리할 수 없는 사건은 이 산술에 몰래 포함하지 않는다.

총 대기량의 순감소율은 50−20= 30건/분이므로 600/30=20분이 걸린다. 10:30에 해당 대기량이 해소된다. 여기의 정상화는 같은 단위의 대기량 계산이며 모든 이의·사고 조사가 그 시각에 끝난다는 뜻은 아니다.

600/50=12분은 새 유입이 없을 때의 총 대기 해소 시간이다. 새 유입이 있더라도 초기 600건을 먼저 처리하는 엄격한 선입선출·균일한 작업이라는 별도 가정에서는 초기 집단의 완료시간으로 사용할 수 있다. 그때 새로 들어온 240건은 남아 전체 대기는 끝나지 않는다. 따라서 총 대기량이 0이 되는 시각과 처음 기다리던 개별 요청들의 완료시각은 다르다. 신규 유입이 처리율과 같으면 총 대기량은 줄지 않지만 기존 요청이 전혀 처리되지 않는다는 뜻도 아니다.

6. 안내·법정 통지·기관 신고는 같은 메시지가 아니다

서비스 안내는 중단된 기능·대체 경로·다음 상태 확인 방법을 설명한다. 사고의 정보주체 통지와 기관 신고는 적용 법령의 사실·대상·내용·기한을 확인하여 따로 수행한다. 기관 내부 보고나 홈페이지 장애 공지가 그 의무를 자동으로 대신하지 않는다.

RTO의 60분과 사고 통지의 법정 시계도 다르다. 전자는 정한 업무 복구 목표이고 후자는 해당 규범의 인지·사실·예외에 연결된다. 이 사례는 새 법정 기한을 정하지 않는다. 기존 개인정보 장에서 확인한 실제 유출·법정 가능성·신고의 조건을 사실에 대입한다.

소통 담당자는 ‘현재 확인된 기능과 자료 범위’, ‘아직 확인 중인 영향’, ‘이용자가 할 수 있는 행동’, ‘문의·이의·추가 안내’를 분리한다. 확인되지 않은 유출을 확정 사실로 말하거나 미확인을 유출 없음으로 발표하지 않는다. 변경된 사실은 추가 안내하고, 누구에게 무엇이 실제로 전달됐는지도 추적한다. 옛 확정·취소 메시지가 뒤늦게 도착할 수 있으므로 해당 판본의 이력과 최신 상태 조회·정정 안내를 연결한다.

7. 완성 통합안 RC-G1

RC-G1은 업무영향과 의존관계를 사전에 정하고, 서로 다른 장소·계정·복구점을 고려한 복구 전략을 선택한다. 장애 시 동일 위험이 두 환경에 동시에 영향을 주는지 확인한다. 다른 지역이라는 이름만으로 인증·관리·공급자 의존까지 분리됐다고 가정하지 않는다.

시험은 첫 화면이 아니라 사용자 역할로 접수·조회·취소와 권한 거부, 외부 응답 소실, 누락 자료 보정, 대체접수 병합을 확인한다. 특히 복구점 뒤의 취소·요청 결과가 사라진 경우와 이미 전달된 외부 작업이 다시 보낼 대상으로 복원된 경우를 넣는다. 복구 접근·키·구성·연락망이 실제 사건 조건에서 사용 가능한지도 포함한다. 통제된 훈련에서 얻은 결과와 책상 위 절차 점검을 같은 성능 증거로 쓰지 않는다.

RC-T1은 RTO·RPO 두 목표를 모두 미달했다고 기록하고 원인을 단계별로 조사한다. 선언 지연, 환경 준비, 자료 복원, 검증·승인 중 어느 시간을 줄일 수 있는지 본다. RPO를 줄일 복제·로그 전략도 침해·정합성·비용과 함께 선택한다. 검증을 없애 40분에 재개하는 방식은 목표 달성을 위한 해결책으로 인정하지 않는다.

사건을 닫을 때는 정상화·권리·정정·보존·원인 개선·책임의 남은 항목을 확인한다. 이후 훈련과 설계를 고쳐 같은 조건에서 변화가 실제로 효과가 있는지 확인한다. 보고서 작성은 학습의 시작 자료이지 재발 방지의 완료 자체가 아니다.

8. 자체 10점 문제와 완성 답안

RC-T1과 RC-Q1의 복구목표와 실제 결과를 계산하고 서버 복구·업무 재개·정상화를 구별하시오.

10점 문제의 작성 과정과 완성 답안 보기

목차: RTO/RPO 목표 → 실제 시각·자료점 → 대기량 정상화 → 완료수준 구분

위 세로 그림과 아래 상세를 함께 읽습니다. 가로 원본 그림 안에 표시한 px 배율은 가로 그림 기준입니다.

자료 공백 8분과 RPO 목표 5분

시간순으로 읽는 상세입니다. 목록 간격은 시간 비율을 나타내지 않습니다. 가로 원본의 배율은 1분 = 80px입니다.

1. 08:52

   같은 날의 일관된 복구점

2. 09:00

   중단

목표

5분 · 중단 직전 범위

관찰된 공백

09:00 − 08:52 = 8분. 목표 5분보다 3분 넓습니다.

판정 경계

자료 손실 건수와 복원 작업시간은 이 차이만으로 정하지 않습니다.

위 세로 그림과 아래 상세를 함께 읽습니다. 가로 원본 그림 안에 표시한 px 배율은 가로 그림 기준입니다.

서버 기동·기본 점검·승인된 업무 재개

시간순으로 읽는 상세입니다. 목록 간격은 시간 비율을 나타내지 않습니다. 가로 원본의 배율은 1분 = 12px입니다.

1. 09:00

   중단

2. 09:40

   기동 · 중단 뒤 40분

3. 09:55

   기본 점검 · 중단 뒤 55분

4. 10:10

   사전 정의한 최소 업무 재개 승인 · 중단 뒤 70분

RTO 목표

60분

정한 업무 재개

70분. 목표 60분보다 10분 늦습니다.

완료 수준

기동·점검으로 완료 수준을 낮추지 않습니다.

별도 RC-Q1 가정의 총 대기량 정상화 · 상태 따라가기

별도 RC-Q1 가정에서 유효 총 대기 600건이다. 모든 단계에서 RC-Q1 총 대기·일정 유입·처리의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

위 세로 그림과 아래 상세를 함께 읽습니다. 가로 원본 그림 안에 표시한 px 배율은 가로 그림 기준입니다.

별도 RC-Q1 가정의 총 대기량 정상화

시간순으로 읽는 상세입니다. 목록 간격은 시간 비율을 나타내지 않습니다. 가로 원본의 배율은 1분 = 40px입니다.

1. 10:10

   재개 · 유효 대기 600건

2. 10:30

   총 대기량 0

별도 가정

신규 20건/분과 전체 처리 50건/분이 일정합니다.

순감소

50 − 20 = 30건/분

정상화까지

600 ÷ (50 − 20) = 20분. 10:10부터 20분 뒤인 10:30에 총 대기가 0입니다.

판정 경계

초기 집단과 총 대기를 구별합니다. 개별 과거 요청의 완료와 사고 조사·권리·정정 종결은 별도로 판단합니다.

이 예의 조건

• 10:10의 유효 대기 600건, 신규 20건/분과 전체 처리 50건/분이 일정하다는 별도 가정에서 순감소는 30건/분이다. 600/30=20분 뒤 10:30에 총 대기가 0이다. 개별 과거 요청의 완료와 사고 조사·권리·정정 종결은 별도로 판단한다.
• 별도로 가정한 일정한 신규 유입 20건/분·전체 처리 50건/분에서 순감소는 30건/분이다. 10:10의 600건이 20분 뒤 10:30에 총 대기 0이 된다. 1분에 4px의 비례 세로 시간축이다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
10:10 재개 별도 RC-Q1 가정에서 유효 총 대기 600건이다.	값·보충 정보 RC-Q1 총 대기: 10:10·600건 일정 유입·처리: 유입 20/min·처리 50/min	변화·이유 이 계산은 개별 과거 요청 완료와 다른 질문이다.
순감소 30 유입률과 처리율이 일정하면 분당 50−20=30건씩 줄어든다.	값·보충 정보 RC-Q1 총 대기: 총대기 감소 일정 유입·처리: 순감소 30/min	변화·이유 신규 20을 빼지 않고 600/50으로 계산하지 않는다.
10분 뒤 300 같은 일정률 가정의 중간 계산은 600−30×10=300이다.	값·보충 정보 RC-Q1 총 대기: 10:20·300건 일정 유입·처리: 동일 비율 유지	변화·이유 계산한 상태이며 실측 처리량으로 주장하지 않는다.
20분 뒤 0 600/30=20분이므로 10:30에 총 대기 0이다.	값·보충 정보 RC-Q1 총 대기: 10:30·총 대기 0 일정 유입·처리: 순감소 30/min	변화·이유 조사·권리·정정 종결이나 모든 초기 요청 완료를 뜻하지 않는다.

별도 RC-Q1 가정의 총 대기량 정상화 · 상태 따라가기

별도 RC-Q1 가정에서 유효 총 대기 600건이다. 모든 단계에서 RC-Q1 총 대기·일정 유입·처리의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

위 세로 그림과 아래 상세를 함께 읽습니다. 가로 원본 그림 안에 표시한 px 배율은 가로 그림 기준입니다.

별도 RC-Q1 가정의 총 대기량 정상화

시간순으로 읽는 상세입니다. 목록 간격은 시간 비율을 나타내지 않습니다. 가로 원본의 배율은 1분 = 40px입니다.

1. 10:10

   재개 · 유효 대기 600건

2. 10:30

   총 대기량 0

별도 가정

신규 20건/분과 전체 처리 50건/분이 일정합니다.

순감소

50 − 20 = 30건/분

정상화까지

600 ÷ (50 − 20) = 20분. 10:10부터 20분 뒤인 10:30에 총 대기가 0입니다.

판정 경계

초기 집단과 총 대기를 구별합니다. 개별 과거 요청의 완료와 사고 조사·권리·정정 종결은 별도로 판단합니다.

이 예의 조건

• 10:10의 유효 대기 600건, 신규 20건/분과 전체 처리 50건/분이 일정하다는 별도 가정에서 순감소는 30건/분이다. 600/30=20분 뒤 10:30에 총 대기가 0이다. 개별 과거 요청의 완료와 사고 조사·권리·정정 종결은 별도로 판단한다.
• 별도로 가정한 일정한 신규 유입 20건/분·전체 처리 50건/분에서 순감소는 30건/분이다. 10:10의 600건이 20분 뒤 10:30에 총 대기 0이 된다. 1분에 4px의 비례 세로 시간축이다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
10:10 재개 별도 RC-Q1 가정에서 유효 총 대기 600건이다.	값·보충 정보 RC-Q1 총 대기: 10:10·600건 일정 유입·처리: 유입 20/min·처리 50/min	변화·이유 이 계산은 개별 과거 요청 완료와 다른 질문이다.
순감소 30 유입률과 처리율이 일정하면 분당 50−20=30건씩 줄어든다.	값·보충 정보 RC-Q1 총 대기: 총대기 감소 일정 유입·처리: 순감소 30/min	변화·이유 신규 20을 빼지 않고 600/50으로 계산하지 않는다.
10분 뒤 300 같은 일정률 가정의 중간 계산은 600−30×10=300이다.	값·보충 정보 RC-Q1 총 대기: 10:20·300건 일정 유입·처리: 동일 비율 유지	변화·이유 계산한 상태이며 실측 처리량으로 주장하지 않는다.
20분 뒤 0 600/30=20분이므로 10:30에 총 대기 0이다.	값·보충 정보 RC-Q1 총 대기: 10:30·총 대기 0 일정 유입·처리: 순감소 30/min	변화·이유 조사·권리·정정 종결이나 모든 초기 요청 완료를 뜻하지 않는다.

완성 답안

RC-T1의 RTO는 09:00 중단부터 사전에 정한 최소 업무 재개까지 60분이다. 서버 기동 09:40은 40분, 기본점검 09:55는 55분이지만 승인된 재개 10:10은 70분이므로 목표보다 10분 늦다. 사고 선언시각을 새 시작점으로 삼거나 완료 수준을 낮춰 성공 처리하지 않는다. 미확인 구간을 별도로 제한한다는 최소 서비스의 범위도 함께 밝힌다.

마지막 일관된 복구점 08:52와 중단 09:00의 차이는 8분이므로 RPO 목표 5분보다 3분 넓다. 이 공백은 복원 작업시간이나 확정된 손실 건수가 아니다. 실제 요청·커밋·외부 결과를 대사하고 추가로 확인한 복구 범위를 기록한다.

RC-Q1의 대기 600건은 처리 50−신규 20= 30건/분으로 감소하므로 20분 뒤 10:30에 해소된다. 이 값은 일정한 유효 업무 처리라는 가정의 총 대기량 정상화 시각이다. 개별 과거 요청의 완료와 조사·정정의 종료는 따로 판단한다. 업무 재개·침해 대응·권리 조치의 목표와 실제 시각·미확인을 함께 보고한다.

9. 자체 25점 문제와 완성 설계 답안

새봄시의 장애·침해 의심·데이터 공백이 겹친 상황에 RC-G1을 설계하시오. 복구·보안·정합성·소통·훈련을 포함하시오.

구성 과정: 시간 순서와 책임을 함께 그린다. 단순 재해복구 장비 비교가 아니라 무엇을 언제 어떤 증거로 다시 허용할지 결정한다.

25점 문제의 도식·선택 이유·완성 답안 보기

목차: 영향·우선업무 → 복구점·보안 → 거래 대사 → 소통·권리 → 훈련·개선

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

주 경로는 검증된 원장·권한과 승인된 제한 범위의 재개를 연결한다. 증거 보존, 이미 수행된 외부 효과의 대사, 통지·정정·훈련은 같은 사건의 별도 수행·완료 조건이다. 아래 연결은 책임·증거의 관계이며 모든 조사·권리 조치가 끝날 때까지 재개를 항상 기다린다는 뜻이 아니다.

완성 설계 답안

RC-G1은 신청·상태조회·취소의 정한 최소 업무를 검증된 원장과 올바른 권한으로 회복하고, 보안 영향·대체접수·이용자 정정을 함께 관리한다. 총괄은 우선순위와 재개를 승인하고 보안·인프라/데이터·애플리케이션·지원/법규 담당을 연결한다. 확인된 중단, 계정 오용 의심, 실제 자료 손실과 미확인을 구별한다. 대사 전의 과거 요청과 충돌 가능한 자원은 제한·확인 대기로 표시한다.

업무영향과 의존관계로 인증·키·통신·원장·응용·담당자를 복구 범위에 넣는다. 최신 복제본에 손상이나 오용 결과가 전파됐는지 확인하고 사용할 수 있는 복구점·환경·설정을 검증한다. 침해 경로를 유지한 채 서버만 옮기지 않으며 증거와 필요한 접근 이력을 보존한다. 제한 서비스는 사전에 정한 목표·위험·기능수준에 맞춰 승인하고 운영 감시를 유지한다.

RC-T1은 09:00부터 10:10까지 70분으로 RTO 60분을 10분 초과했고, 08:52 복구점의 8분 공백으로 RPO 5분도 미달했다. 서버 40분 기동을 업무 성공으로 표시하지 않는다. 신청·배정·취소·외부 통지의 식별자와 결과를 대사하여 추가 복원·보정·확인 필요를 분리한다. 실제 손실 건수는 시간 공백만으로 확정하지 않는다.

RC-R1처럼 취소 처리 기록을 잃으면 같은 요청 ID를 다시 받았어도 처음 처리하는 요청이라고 단정하지 않는다. 관련 자원을 제한하고 검증 가능한 기록·외부 결과를 모아 보정한다. 복원된 미전송 작업도 이미 발송됐을 수 있으므로 통지 ID·결정판본·제공자 결과를 대사한다. 요청 고유성 검사가 사라진 과거 기록과 외부 효과까지 되살리는 만능 복구는 아니다.

대체 접수에는 원래 사건·시각·미처리 상태를 유지하고 재개 후 온라인 요청과 실제 업무의 중복·순서를 대사한다. RC-Q1은 총 대기 600건을 순감소 30건/분으로 20분에 해소하므로 최소 재개 10:10과 대기 정상화 10:30을 따로 보고한다. 이용자에게는 현재 기능·자료 범위·대체 행동·문의 경로를 알리고 옛 안내와 현재 상태의 차이를 정정한다. 법정 통지·신고는 앞 법규의 사실·인지·대상·예외에 따라 별도 관리한다.

시험에는 역할별 거래·권한 거부·복구키·원장 일관성·요청 이력 소실·외부응답 소실·이미 수행된 작업 재생·대체접수 병합과 실제 부하를 포함한다. 검증과 승인 시간을 없애 목표를 맞추지 않고 각 지연과 자료 공백의 원인을 고친다. 사건 종료는 서비스·침해·정정·권리·보존과 개선의 실제 결과를 확인한 상태로 정한다. 훈련·계획·실제 복구 성능의 증거를 구별하고 변경 후 다시 확인한다.

10. 자기교정·조건 변경·면접

조건 1 — 08:58까지의 일관된 추가 복원이 확인되면: 자료 공백과 업무 재개 시간을 따로 판정하고 확인 시점의 의미를 설명한다.

조건 1의 풀이와 판단 이유 보기

자료 공백은 2분으로 RPO 5분 안에 든다. 10:10에 사전 정의한 최소 업무를 재개했다는 가정에서는 RTO 결과 70분은 그대로이며, 추가 복원의 확인 시점과 범위는 별도로 남긴다. 재개 정의 자체를 사후에 바꾸지 않는다.

조건 2 — 처리율이 35건/분으로 낮아지면: 총 대기량의 순감소율·해소시간·해소시각을 계산한다.

조건 2의 풀이와 판단 이유 보기

신규 20을 뺀 15건/분으로 총 대기 600건을 없애는 데 40분이 필요하다. 같은 10:10 재개라면 10:50이 해소 시각이다. 신규 유입과 실제 처리가 같아지면 총 대기는 줄지 않지만, 기존 요청의 개별 완료가 불가능하다는 뜻은 아니다.

조건 3 — 09:50에 읽기 전용 안내만 가능해지면: 제한 기능 시작과 사전 정의한 최소 업무 재개를 구별한다.

조건 3의 풀이와 판단 이유 보기

제한 기능 시작은 50분으로 기록할 수 있다. 이 사례에서 정한 접수·조회·취소의 최소 업무 재개 목표가 자동 충족되지는 않으며, 업무수준과 허용 경계를 명시한다.

면접 질문: “속도를 위해 복구 검증 일부를 빼겠습니까?”

면접 응답 예와 근거 보기

응답 예: “목표에 포함된 최소 업무와 권한·정합성 확인을 없애 성공으로 표시하지 않겠습니다. 필요한 검증을 자동화하거나 복구 의존성을 사전에 준비해 시간을 줄이고, 더 낮은 제한 서비스는 범위와 위험을 명확히 승인받겠습니다. 복원본에서 요청 기록이 없어졌을 수 있으므로 과거 요청을 새 요청으로 재실행하지 않는 검토도 필요합니다.”

후속 질문과 대응: “완벽한 원인 규명 전에는 계속 중단합니까?” — “항상 그렇지는 않습니다. 확인된 영향과 격리·권한·관찰 조건을 근거로 허용 가능한 범위를 책임자가 판단합니다. 제한 재개, 원인 규명, 권리 조치의 완료를 따로 관리하겠습니다.”

근거와 범위

RC-1/T1/Q1/G1/R1의 시각·수량·역할·문제·답안·면접은 자체 교육용이다. RC-R1은 앞 거래와 외부 효과 및 뒤 실전 절에서 다시 다룰 요청·통지 동시성을 복원 상황에 적용한 반례이며 특정 시스템에서 실행한 사고 재현이 아니다. 실제 사고·복원·침해 조사·통지·신고·훈련·독립 검토를 수행한 기록은 아니다. 기존 법규 전문·권리·표준의 미완료 범위는 별도로 남는다.

회독의 핵심

회복은 기계의 재가동보다 넓다. 업무수준·데이터 시점·침해 영향·대기 업무·권리·승인을 같은 사건에서 분리하고 연결한다. 잃은 요청 기록을 과거 효과가 없었다는 증거로 쓰지 않으며, 목표를 사후에 바꾸지 말고 실제 결과·미확인·후속 조치로 판단한다.

독립 연습 — 의존성·재작업·중복 접수의 회복 경계를 계산하기

다음은 RC-1의 원리를 다른 명시 조건에 적용한 자체 문제다. 시간 계산과 실제 복구·침해·통지의 완료를 구별하며, 계획된 일정표를 실행 성능으로 부르지 않는다.

문제 1 — 동시에 준비한 세 경로를 모두 기다려야 한다

같은 날 09:00에 업무가 중단됐고 사전 RTO는 60분·RPO는 5분이다. 서로 다른 담당과 자원으로 독립 준비한 데이터·환경은 09:35, 인증·키는 09:50, 최소 재개의 보안 조건은 09:45에 사용 가능하다고 확인된다. 세 경로가 모두 준비돼야 10분의 거래·권한 검증을 시작하며 그 뒤 승인에 5분이 든다. 준비한 자료는 중단 전 08:58까지 일관되게 복원됐고, 추가 의존·실패·대기는 없다고 가정한다. 최초 승인 재개 시각과 두 목표의 충족 여부를 구하라. 인증·키가 09:40에 준비되는 별도 변경도 계산하라. 처음부터 정한 검증·업무 수준은 유지한다.

병렬 준비와 직렬 검증·승인의 풀이 보기

첫 조건의 검증 시작은 가장 늦은 준비 시각 09:50이다. 10분 검증과 5분 승인을 차례로 더하면 10:05, 중단 뒤 65분이므로 RTO 목표보다 5분 늦다. 준비 경과 35+50+45=130분을 모두 더하면 병렬로 진행했다는 조건을 무시한다. 반대로 가장 빠른 09:35나 데이터 기동만으로 승인 재개를 대신할 수도 없다.

자료 공백은 09:00−08:58=2분으로 RPO 5분 이내지만 RTO 충족으로 바뀌지는 않는다. 인증·키가 09:40이면 마지막 준비는 보안 조건의 09:45가 된다. 검증·승인 15분 뒤 10:00, 정확히 60분에 재개하므로 그 별도 조건의 RTO도 충족한다. 복구점·검증·제한 업무 수준·확인 시각을 함께 기록하며 원래 RC-T1의 70분 관측을 이 새 가정으로 지우지 않는다.

문제 2 — 처리 시도 50건 중 10건은 같은 업무의 재작업이다

10:10의 유효 대기 600건과 신규 유입 20건/분은 RC-Q1과 같다. 그러나 처리 수치 50은 고유 완료가 아니라 분당 시도 슬롯 50개다. 이 교육용 연속 흐름 모형에서는 그중 정확히 40개가 고유 업무를 완료하고 10개는 실패해 같은 업무가 즉시 대기에 남는다. 시도 슬롯은 같고 재작업을 신규 업무로 다시 세지 않으며 비율·유입은 일정하다. 총 대기가 0이 되는 시각, 그때까지의 고유 완료와 시도·실패 수를 구하라. 신규 유입이 45건/분으로 바뀌면 대기가 유한 시간 안에 해소되는지도 설명하라.

시도율과 고유 완료율의 풀이 보기

고유 완료율은 40건/분, 대기의 순감소는 40−20=20건/분이다. 600/20=30분 뒤 10:40에 해당 총 대기가 0이 된다. 시도율 50에서 신규 20만 빼면 재작업의 소모를 놓쳐 원래 20분 해소를 잘못 재사용한다.

30분 동안 고유 업무는 초기 600건과 새 20×30=600건, 합계 1,200건이다. 완료도 40×30=1,200건으로 대사된다. 시도는 50×30=1,500회, 실패한 시도는 10×30=300회다. 실패 300회를 새 주민 요청 300건으로 추가하지 않는다. 이 모형은 정확히 일정한 집계율을 주었으며, 개별 업무의 실패 확률이나 완료 순서·최대 지연을 보장하지 않는다.

신규가 45건/분이면 45−40=5건/분씩 총 대기가 늘어 이 조건에서 유한한 해소 시각은 없다. 그래도 기존 요청 일부가 완료될 수 있다. 처리 가능한 유효 대기와 조사 중인 사건, 총 대기량 해소와 침해·권리·정정 종결은 계속 별도로 관리한다.

문제 3 — 온라인 원장과 창구 접수에서 무엇을 합치는가

현재 검증된 온라인 원장에 요청 ID R1, R2, R3, R4의 업무 결과가 확정돼 있다. 창구 증거에는 R3, R4, R5, R6이 있다. ID는 계정·강좌·회차·요청 내용까지 대사해 같은 업무를 뜻하며, 서로 다른 ID는 이 문제에서 서로 다른 고유 요청이다. 창구의 R3·R4는 원장의 이미 확정된 동일 요청이고 R5는 미처리, R6은 과거 처리 여부가 미확인이다. 모든 관계는 주어진 사실이며 다른 사본·추가 요청은 없다고 가정한다. 고유 요청·중복 접수·확정·미처리·미확인 수를 구하고 R5·R6을 모두 신규 확정으로 넣는 안을 평가하라. 외부 통지의 전달은 이 목록에 제시되지 않았다.

접수 증거와 확정 원장의 풀이 보기

목록에는 8개 항목이 있으나 R3·R4가 겹치므로 합집합의 고유 요청은 6개다. 중복 접수 증거는 2개이고 확정 4개·미처리 1개·미확인 1개로 대사된다. 같은 이름의 이용자를 합친 것이 아니라 문제에서 확인한 업무 ID·내용 관계로 묶은 것이다. 실제로 그 관계를 확인하지 못했다면 이 중복 계산을 그대로 적용할 수 없다.

R5는 승인된 검증·처리 절차의 대상이며 접수됐다는 사실만으로 확정하지 않는다. R6은 복원·누락된 이력과 과거 효과를 대사하고 현재 충돌 범위를 제한한다. 원장에 없다는 이유로 최초 처리로 단정하거나 두 요청을 무조건 다시 실행하지 않는다. R3·R4의 창구 증거도 필요한 보존·대사 근거까지 임의 삭제하지 않는다.

확정 결과 4개는 외부 통지 전달 완료 4개를 뜻하지 않는다. 통지 ID·결정판본·제공자 결과가 없으므로 별도 미확인으로 남긴다. 고유 접수 수, 원장 결과, 외부 효과와 증거 보존을 한 숫자의 ‘모두 완료’로 합치지 않는다.

Footnotes

1. NIST CSRC Glossary, Recovery Point Objective 및 Recovery Time Objective, NIST SP 800-34 Rev. 1의 정의 연결. https://csrc.nist.gov/glossary/term/recovery_point_objective ; https://csrc.nist.gov/glossary/term/recovery_time_objective . 2026-09-20 내용 통합 시 관련 정의를 다시 대조했다. 앞의 시스템 설계와 정보보안 분야에서 배운 정의를 적용하며 사례의 60분·5분과 제한 서비스 범위를 NIST의 권장값으로 사용하지 않는다. ↩

2. NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, April 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final . 공식 발행·대체관계·초록 범위에서 위험관리와 대응의 연결을 확인했다. 전문의 모든 세부 통제를 감수했다고 표시하지 않는다. ↩

3. NIST, CSF 2.0 Frequently Asked Questions, Framework Components 및 cyber resilience. https://www.nist.gov/cyberframework/faqs . 여섯 기능의 동시적·지속적 성격과 결과 중심의 틀을 확인했다. CSF 1.1의 다섯 기능 안내와 구별했으며 원문 그림·목록 전체를 복제하지 않았다. 이 사례에 대한 NIST 인증·국내 법정 준수 승인은 아니다. ↩