사고 대응 계획은 사이버 공격을 식별하고 영향을 줄이며 대응·복구를 조정하는 데 초점을 둡니다. 시스템 비상계획은 중단된 정보시스템이나 업무 기능을 복구하고 다시 운영할 절차를 준비합니다. 두 계획은 연결될 수 있지만 질문과 실행 범위가 같지는 않습니다.
NIST 문서의 명칭은 미국 연방 시스템을 위한 안내서의 문맥입니다. 실제 조직에서는 계획의 이름·담당 부서가 다를 수 있으므로 문서 제목보다 목표와 실제 행동을 확인합니다. 아래 사례는 학습을 위해 만든 가상 상황입니다.
한 계획은 공격 대응을, 다른 계획은 서비스 복구를 중심에 둡니다
2025년에 발행된 NIST 사고 대응 지침은 사이버사고 대응을 조직의 사이버위험 관리 전반에 포함하고, Detect·Respond·Recover 기능을 통해 사고를 찾아 관리하고 우선순위를 정하며 억제·제거·복구하는 활동을 설명합니다. 반면 2010년에 갱신된 NIST 정보시스템 비상계획 안내서는 cyber incident response plan과 information system contingency plan을 별도 유형으로 열거합니다. 사고 대응 계획은 공격을 식별하고 완화하며 복구하도록 보안 담당자가 따를 절차를 세웁니다. 정보시스템 비상계획은 장애나 중단 뒤 시스템을 복구하고 업무를 재개하는 데 필요한 기술·운영 절차를 정합니다. 두 문서는 관련된 계획을 상황에 따라 함께 쓰거나 조정할 수 있다고 설명합니다. 그러므로 ‘보안 사고가 났다’는 사실만으로 어느 한 계획만 작동한다고 가정할 수 없습니다.
가상 랜섬웨어 상황에서 담당 행동을 나눠 봅니다
| 관찰·필요 | 우선 질문 | 계획이 다룰 행동의 예 |
|---|---|---|
| 파일 암호화 경보와 감염 의심 단말이 확인됨 | 공격 범위와 계정·네트워크 영향은 무엇인가? | 사고 대응: 조사 담당 호출, 영향을 받은 자산 확인, 격리·통신·증거 보존 조정 |
| 주문 시스템이 업무에 쓰이지 못함 | 복구 우선순위와 대체 운영 방법은 무엇인가? | 비상복구: 승인된 백업·대체 환경, 복구 절차와 복귀 조건 확인 |
| 백업 저장소의 무결성도 의심됨 | 안전한 복구 원본과 복원 이후 확인자는 누구인가? | 두 계획을 함께 조정: 원인·범위 확인과 복구 안전성 확인을 연결 |
첫 줄에서 사고 대응 담당자는 침해 여부와 확산 가능성, 어떤 시스템이 영향을 받았는지 확인하고 격리·보고를 조정합니다. 동시에 업무 담당자는 어느 기능을 먼저 복구해야 하는지 비상계획의 우선순위를 확인할 수 있습니다. 백업이 감염됐을 가능성이 있으면 단순히 복사본을 불러오는 것만으로 안전한 복구라고 할 수 없습니다. 복구 원본의 상태와 복원된 시스템의 검증을 사고 대응·비상복구 담당자가 함께 조율해야 합니다. 이 예시는 실제 조직의 호출 순서나 모든 환경에 적용되는 체크리스트가 아니라, 두 계획이 서로 다른 질문을 하면서 연계되는 모습을 보여 줍니다.
문서 제목보다 목표·대상·완료 조건을 확인합니다
- 계획이 다루는 촉발 사건을 적습니다. 사이버 공격·정책 위반 대응인지, 시스템·업무 중단 복구인지 구별합니다.
- 대상 범위를 확인합니다. 하나의 정보시스템 복구인지, 조직의 사고 처리와 여러 자산 조정인지 살핍니다.
- 담당 행동을 표시합니다. 탐지·분석·격리·보고와 대체환경·백업·복원·업무 재개를 분리합니다.
- 계획 사이의 연결점을 찾습니다. 복구 승인, 원인 제거, 증거 보존, 서비스 우선순위가 어디에서 만나는지 확인합니다.
- 문서명만 주어져 역할을 확정할 수 없다면 실제 목적·절차와 조직 책임을 추가 확인합니다.
NIST의 2010년 정보시스템 비상계획 안내서는 조직이 대응·연속성·복구·업무 재개를 위해 여러 계획을 갖출 수 있고, 각 계획에는 특정 목적과 범위가 있다고 설명합니다. 이 자료는 미국 연방 정보시스템을 위한 안내이므로 한국 조직에 같은 계획서 명칭이나 의무가 그대로 적용된다는 뜻은 아닙니다. 조직의 실제 계획과 계약·법적 요구는 별도로 확인해야 합니다. 여기서 연습하는 것은 계획서 제목 암기가 아니라, 문제에 나온 행동이 공격의 식별·억제인지 시스템 서비스의 복원인지 읽어 내는 방법입니다.
복구라는 단어가 있다고 사고 대응을 대신한다고 보지 않습니다
흔한 실수는 두 계획에 모두 복구가 들어간다는 이유로 같은 문서라고 결론 내리는 것입니다. 사고 대응 과정에도 복구 활동이 있고, 비상계획에도 복구 전의 통지나 조정이 포함될 수 있습니다. 하지만 사고 대응은 사이버 공격의 탐지·분석·억제·영향 관리라는 질문을 놓지 않고, 시스템 비상계획은 중단된 자원과 업무를 어떤 순서와 방법으로 복원할지 묻습니다. 반대로 계획을 서로 무관하다고 생각해 별도 팀만으로 복구를 진행하면 감염된 환경이나 신뢰할 수 없는 백업으로 복귀할 위험을 놓칠 수 있습니다. 두 계획의 개념상 차이와 조직에서 함께 작동하는 방식을 나눠 쓰세요.
문제의 동사에서 계획의 초점을 회상합니다
짧게 답해 보세요. ‘의심 단말을 조사하고 공격 범위와 침해 계정을 확인한다’는 행동은 어떤 계획의 중심에 가까운가요? 사고 대응 계획입니다. ‘업무 우선순위에 따라 대체 환경에서 정보시스템을 복원한다’는 행동은 무엇인가요? 시스템 비상계획의 복구 절차에 가깝습니다. ‘백업을 복원하기 전에 감염 여부를 확인하고 서비스 재개를 조정한다’면 둘 중 하나만 고르기보다 연계 지점을 설명합니다. 정답 문장에는 계획 명칭뿐 아니라 목적과 행동을 함께 적어야 합니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 조직에서 랜섬웨어 의심 단말을 격리하고 침해 범위를 확인한 뒤, 주문 시스템을 대체 환경에서 복원하려 한다. 두 행동의 계획 초점을 구별하고 연결할 조건을 말하세요.
정답과 해설 확인
의심 단말 격리와 침해 범위 확인은 사고 대응 계획의 초점입니다. 주문 시스템을 대체 환경에서 복원하는 절차는 정보시스템 비상계획의 초점입니다. 백업의 신뢰성·원인 제거·복원 후 검증을 두 계획 담당자가 조정해야 합니다.NIST의 2025년 사고 대응 지침은 탐지·대응·복구 활동을 설명합니다. 2010년 정보시스템 비상계획 안내서는 사고대응계획과 시스템 비상계획을 다른 목적의 유형으로 구분합니다. 실제 조직의 명칭이나 역할 배치는 별도 확인 대상입니다.