한국의 IT 업계에서도 중요한 개념이지만 일본의 특수한 환경 때문인지 그 중요도와 언급 빈도가 훨씬 높습니다. 일본 기업에 IT 솔루션, 특히 데이터 백업이나 보안 서비스를 제안하러 가면 담당자 입에서 숨 쉬듯 나오는 단어가 하나 있습니다.
“그래서, 이 솔루션은 당사의 BCP 대책에 어떻게 기여할 수 있습니까?”
BCP(Business Continuity Plan, 업무 연속성 계획). 한국에서는 재난 훈련할 때나 가끔 듣는 딱딱한 용어지만, 일본 비즈니스 생태계에서는 이 단어를 빼놓고는 IT 시스템을 논할 수 없습니다.
오늘은 일본 기업들이 왜 이토록 BCP에 강박에 가까운 집착을 보이는지, 그리고 최근 ‘랜섬웨어’라는 새로운 재난을 맞이하여 한국 보안 기업들이 어떤 기회를 잡을 수 있는지 알아보겠습니다.
BCP의 DNA: “지진은 반드시 일어난다”
일본 기업의 BCP DNA는 철저하게 ‘자연재해’, 특히 지진에 뿌리를 두고 있습니다.
2011년 동일본 대지진 당시, 도쿄나 동북 지방에만 서버를 두고 있던 수많은 기업의 데이터가 물리적으로 파괴되며 회사가 도산하는 끔찍한 경험을 했습니다.
이후 일본 IT 업계의 불문율이 생겼습니다.
“데이터는 반드시 물리적으로 멀리 떨어진 두 곳 이상에 보관한다.” 도쿄에 메인 서버가 있다면, 백업 서버는 수백 킬로미터 떨어진 오사카나 홋카이도, 혹은 아예 해외(AWS, Azure 등) 클라우드에 두는 ‘DR(Disaster Recovery, 재해 복구)’ 구축이 기업의 기본 소양이 되었습니다. 그들에게 재난은 ‘만약(If)’이 아니라 ‘언제(When)’의 문제이기 때문입니다.
다음은 당시 회사가 도산한 사례입니다.
1) 동북 지방 금융기관 및 중소기업들의 ‘원장 상실’
가장 비극적이면서도 강력한 교훈을 남긴 사례는 해안가에 위치했던 중소 금융기관과 기업들입니다.
- 상황: 당시 미야기현, 이와테현 등의 해안가 마을을 쓰나미가 덮치면서 수많은 기업의 본사와 공장이 완전히 침수되었습니다.
- 실제 피해: 당시 많은 중소기업이 ‘종이 서류’는 물론, ‘사내 서버(On-premise)’에 모든 고객 데이터와 회계 장부를 보관하고 있었습니다. 쓰나미로 인해 서버가 물리적으로 파괴되거나 유실되자, 누가 누구에게 얼마를 빌려줬는지, 재고가 어디에 얼마나 있는지 확인할 방법이 완전히 사라졌습니다.
- 결과: 건물을 다시 지으려 해도 자금 흐름을 증빙할 데이터가 없고, 거래처와의 계약 관계를 입증할 수 없어 비즈니스 자체가 ‘증발’해 버렸습니다. 이 과정에서 수많은 지역 기업이 복구 의지가 있음에도 불구하고 데이터 부재로 인해 폐업이나 도산을 선택할 수밖에 없었습니다.
2) 실제 사례: 열도를 마비시킨 ‘카도카와(KADOKAWA)’ 랜섬웨어 사태
최근 일본에서 BCP의 중요성을 뼈저리게 느끼게 해준 초대형 사건이 있었습니다.
2024년 여름, 일본 최대의 출판·미디어 그룹이자 동영상 플랫폼 ‘니코니코 동화’의 모회사인 ‘카도카와(KADOKAWA)’가 대규모 랜섬웨어 공격을 받았습니다.
- 피해 규모:** 그룹 전체의 사내 네트워크, 결제 시스템, 출판 물류 시스템이 완전히 마비되었습니다. 수백만 명의 유저가 이용하는 동영상 서비스는 한 달 넘게 접속 불가 상태가 되었고, 임직원들의 PC는 깡통이 되었습니다.
- 무엇이 문제였나?:** 카도카와 역시 백업 서버를 가지고 있었습니다. 하지만 메인 시스템과 백업 시스템이 동일한 네트워크망에 연결되어 있던 것이 치명타였습니다. 해커가 메인 서버를 감염시키면서 네트워크를 타고 백업 데이터까지 동시에 암호화해 버린 것이죠. 지진(물리적 파괴)에는 대비했지만, 랜섬웨어(논리적 파괴)에 대한 BCP 시나리오는 부족했던 것입니다.
이 사건 이후, 일본의 모든 대기업과 SIer들은 발등에 불이 떨어졌습니다. “우리 회사의 백업 시스템은 랜섬웨어로부터 진짜 안전한가?”를 원점에서 재검토하기 시작했죠.
한국 IT/보안 기업을 위한 비즈니스 기회: “방패보다 ‘부활의 주문’을 팔아라”
이러한 상황은 뛰어난 기술력을 가진 한국 보안 및 클라우드 인프라 기업들에게 엄청난 기회입니다. 단, 제안의 ‘워딩(Wording)’을 완전히 바꿔야 합니다.
1)”절대 안 뚫립니다” (X) ➔ “뚫려도 2시간 안에 복구됩니다” (O)
일본 바이어들에게 “우리 백신은 100% 방어합니다”라고 하면 오히려 신뢰를 잃습니다. 대신 “랜섬웨어에 감염되더라도, 오프라인으로 격리된 불변(Immutable) 백업을 통해 RTO(목표 복구 시간) 2시간 이내에 업무를 정상화할 수 있습니다”라고 제안하세요. 그들이 듣고 싶은 건 BCP의 완성입니다.
2)’제로 트러스트(Zero Trust)’와 ‘망 분리’ 솔루션의 수요 폭발
카도카와 사태처럼 내부망이 통째로 털리는 것을 막기 위해, 일본 내에서는 사용자의 접속 위치나 기기를 믿지 않고 매번 검증하는 ‘제로 트러스트’ 보안 아키텍처 도입이 급물살을 타고 있습니다.
3)매니지드 서비스(MSP/MSSP) 결합
앞선 기사에서 다루었듯 일본은 자체 IT 인력이 부족합니다. 솔루션만 덜렁 주면 운영을 못 합니다. 24시간 보안 관제(SOC)나 원격 백업 관리 서비스를 세트로 묶어서 제안하면 수주 확률이 비약적으로 올라갑니다.
“해커보다 무서운 건, 우리 회사가 멈추는 겁니다.”
최근 전 세계적으로 기승을 부리는 ‘랜섬웨어(Ransomware)’. 해커가 기업의 데이터를 암호화해 버리고 돈을 요구하는 악랄한 공격이죠.
재미있는 점은, 랜섬웨어 사태를 바라보는 일본 경영진의 시각입니다. 한국은 보통 “어떻게 감히 우리 시스템을 뚫었어? 당장 방화벽 높이고 해커 잡아!”라며 ‘방어(Defense)’에 초점을 맞춥니다.
반면, 재해에 익숙한 일본 기업들은 랜섬웨어를 일종의 ‘디지털 지진’으로 취급합니다. “아, 방파제(방화벽)를 높게 쌓아도 결국 쓰나미(해커)는 넘어오는구나. 그렇다면 뚫렸을 때 얼마나 빨리 피해를 복구하고 비즈니스를 재개할 수 있는가(Resilience)“에 집중합니다. 철저한 BCP 관점에서의 접근입니다.
“창(공격)이 강해지면, 방패가 아닌 ‘되감기 버튼’을 준비하라”
최근 일본 시장에서 한국산 솔루션인 JSecurity사의 ‘AppCheck(앱체크) ‘ 같은 안티랜섬웨어 제품이 주목받는 이유는 명확합니다. 단순히 공격을 막는 것에 그치지 않고, 공격이 시작되는 찰나의 순간에 원본 파일을 안전한 곳으로 즉시 대피시키는 ‘실시간 백업 및 롤백’ 기능을 갖추고 있기 때문입니다.
이는 지진 대비용 비상식량을 챙기듯, 데이터가 오염되는 즉시 ‘오염 전 상태’로 시간을 되돌리는 일종의 디지털 타임머신 역할을 합니다. “완벽한 방어는 없다”고 가정하는 일본식 BCP 전략에서, 이러한 즉각적인 복구 능력은 기업의 생사여탈권을 쥐고 있는 SIer와 보안 담당자들에게 가장 강력한 안심 마크가 됩니다.
[3줄 요약]
1) 일본 기업은 자연재해(지진)의 경험으로 인해 비즈니스 연속성을 보장하는 BCP(업무 연속성 계획)가 기업 문화에 깊이 뿌리내려 있다.
2) 최근 랜섬웨어 공격을 단순한 해킹이 아닌 ‘디지털 재난’으로 인식하며, 얼마나 빨리 복구할 수 있는가(Resilience)에 보안 투자를 집중하고 있다.
3) 한국 기업은 100% 방어를 주장하기보다, 랜섬웨어 감염 시에도 안전한 망 분리 백업과 빠른 RTO(목표 복구 시간)를 보장하는 솔루션으로 접근해야 한다.
#일본IT #BCP #일본진출 #보안 #랜섬웨어 #AppCheck
Written by J브릿져