[논문 리뷰] Criticality estimation of IT business functions with the Business Continuity Testing Points method for implementing effective recovery exercises of crisis scenarios

Αθανάσιος Ποδάρας, Zizka, Tomas|arXiv (Cornell University)|2013. 11. 22.

Information Technology Governance and Strategy참고 문헌 25인용 수 4

한 줄 요약

이 논문은 복구 시간을 다수의 위험 요인을 기반으로 평가하기 위해 Use Case Points 기법을 응용하여 IT 비즈니스 기능의 중요도를 정량적으로 평가하는 Business Continuity Testing Points (BCTP) 방법을 제안한다. 이 방법은 복구에 영향을 주는 요소들을 체계적으로 평가함으로써 주관적 판단에 의존하는 것을 줄여, 보다 효과적이고 표적화된 위기 복구 훈련을 가능하게 한다.

ABSTRACT

The primary goal of the present paper is the introduction of a new approach of defining IT unit business functions exact criticality levels and respectively categorize them to the appropriate recovery tests, prior to their thorough documentation which includes actual desired recovery time frames. The method is entitled as Business Continuity Testing Points and it is based on the concept of Use Case Points, a fundamental project estimation tool utilized for sizing of object-oriented system development. The aim of the contribution is to ameliorate the existing manual way of determining recovery time of IT business functions that is based exclusively on experience of IT personnel, by introducing a calculation method of multiple factors that can negatively affect the recovery process. The elimination of damage as a result of tested immediate response action in a crisis situation that disrupts core IT operations constitutes the aimed advantage of the proposed contribution

연구 동기 및 목표

• 재해 복구 계획에서 IT 비즈니스 기능의 중요도를 결정하는 표준화되고 객관적인 방법의 부족을 해결하기 위해.
• IT 전문가의 경험 기반 추정에 의존하는 복구 시간 평가를 줄이기 위해.
• IT 기능의 복구 시간에 영향을 주는 요소들을 정량화하는 반복 가능하고 계산 기반의 프레임워크를 개발하기 위해.
• 기능 중요도 수준에 따라 적절한 복구 테스트를 위한 기능 분류를 향상시키기 위해.
• 실제 기능 중요도에 맞춰 테스트 강도를 조정함으로써 위기 복구 훈련의 효과를 향상시키기 위해.

제안 방법

• 소프트웨어 개발 분야에서 사용되는 Use Case Points (UCP) 추정 기법을 응용하여 IT 비즈니스 기능 중요도를 평가한다.
• 데이터 볼륨, 시스템 종속성, 복잡성과 같은 복구 시간에 부정적 영향을 줄 수 있는 다수의 요인을 식별하고 정량화한다.
• 각 요인이 복구 기간에 미치는 영향에 따라 가중치를 부여한 점수를 할당한다.
• 개별 요인 점수를 조합하여 각 IT 기능에 대한 종합적인 중요도 점수를 산출한다.
• 도출된 점수를 바탕으로 기능을 복구 테스트 카테고리(예: RTO 기반 테스트 수준)로 분류한다.
• 복구 시간 범위 정의를 안내하기 위해 비즈니스 연속성 계획의 사전 문서화 단계에 이 방법을 통합한다.

실험 결과

연구 질문

• RQ1 경험 기반 판단보다 더 객관적으로 IT 비즈니스 기능 중요도를 어떻게 평가할 수 있는가?
• RQ2 위기 상황에서 IT 기능의 복구 시간에 크게 영향을 주는 측정 가능한 요인은 무엇인가?
• RQ3 표준화되고 계산 기반의 방법이 복구 훈련의 선택 및 설계를 향상시킬 수 있는가?
• RQ4 일관성과 신뢰성 측면에서 BCTP 방법은 전통적인 수동 접근 방식과 어떻게 비교되는가?
• RQ5 이 방법을 통해 기능 중요도에 기반한 복구 테스트 우선순위 설정에 어느 정도 기여할 수 있는가?

주요 결과

• BCTP 방법은 측정 가능한 위험 요인을 활용하여 IT 기능 중요도를 체계적이고 반복 가능한 프레임워크로 제공한다.
• 복구에 영향을 주는 요소들에 가중치 점수를 적용함으로써 중요도 평가의 변동성과 주관성을 감소시킨다.
• 이 방법은 더 정확한 기능 분류를 가능하게 하여 적절한 복구 테스트에 대한 훈련의 관련성을 향상시킨다.
• 전체 비즈니스 연속성 계획 문서화 이전에 현실적인 복구 시간 목표(RTO)를 정의하는 데 도움을 준다.
• 계산 기반 모델의 사용은 위기 대비 결정의 투명성과 감사 가능성을 향상시킨다.
• 이 방법은 IT 부서 간 비즈니스 연속성 계획의 표준화 및 간소화 잠재력을 보여준다.