ITinfra

재해복구, 숫자로 말해야 한다

장애가 발생했을 때 "최대한 빨리 복구하겠습니다"라는 말은 운영 계획이 아닙니다. 얼마나 빨리, 어느 시점까지라는 구체적인 수치가 있어야 비로소 복구 계획이 됩니다. 재해복구(DR, Disaster Recovery) 센터 구축의 출발점은 바로 두 가지 지표, RPO(Recovery Point Objective, 목표 복구 시점)와 RTO(Recovery Time Objective, 목표 복구 시간)를 정의하는 것입니다.

이 두 숫자는 DR 인프라의 규모, 비용, 기술 선택 전부를 결정하는 기준이 됩니다. 개념을 정확히 이해하고 자사 환경에 맞게 설정하는 방법을 정리합니다.

RPO란 무엇인가 — 데이터 손실을 얼마나 허용할 것인가

RPO는 재해 발생 시 어느 시점까지의 데이터를 복원할 수 있어야 하는가를 정의하는 지표입니다. 쉽게 말해, "데이터를 최대 몇 시간치까지 잃어도 괜찮은가"입니다.

• RPO = 0: 데이터 손실 제로. 재해 발생 직전까지의 모든 데이터가 복원돼야 함. 실시간 동기 복제(Synchronous Replication) 필수.
• RPO = 1시간: 최대 1시간치 데이터 손실 허용. 1시간 주기 비동기 복제 또는 스냅샷으로 대응 가능.
• RPO = 24시간: 하루치 데이터 손실 허용. 일 1회 백업으로도 충족 가능.

RPO가 짧을수록 복제 주기가 짧아지고, 그만큼 네트워크 대역폭과 스토리지 비용이 증가합니다. 특히 RPO = 0을 목표로 하는 동기 복제는 DR 사이트와의 거리가 멀어질수록 네트워크 지연(Latency)으로 인해 운영계 성능에 직접 영향을 줄 수 있습니다.

RTO란 무엇인가 — 서비스를 얼마나 빨리 재개해야 하는가

RTO는 재해 발생 이후 서비스가 정상 운영으로 복구되기까지 허용되는 최대 시간입니다. "장애 발생부터 서비스 재개까지 몇 시간 안에 완료해야 하는가"로 이해하면 됩니다.

• RTO = 수 분: Hot Standby 구성. DR 서버가 항상 가동 중이며 즉시 절체 가능. 가장 높은 비용.
• RTO = 수 시간: Warm Standby 구성. DR 서버는 기동 상태지만 트래픽을 받지 않다가 장애 시 전환.
• RTO = 수십 시간 이상: Cold Standby 구성. DR 서버는 꺼져 있으며 장애 시 부팅부터 시작. 비용은 낮지만 복구 시간이 김.

RTO가 짧을수록 DR 인프라를 운영계와 유사한 수준으로 상시 유지해야 하므로 비용이 급격히 올라갑니다. RTO 목표 설정 시에는 기술적 가능성뿐 아니라 서비스 중단으로 인한 비즈니스 손실 비용과 DR 구축·운영 비용을 함께 비교해야 합니다.

RPO·RTO와 DR 구성 방식의 관계

RPO와 RTO 목표값에 따라 적합한 DR 구성 방식이 달라집니다.

Active-Passive (Warm/Cold Standby)

운영 사이트가 장애 시 DR 사이트로 전환하는 구성입니다. DR 사이트는 평상시 트래픽을 처리하지 않습니다.

• RPO: 복제 주기에 따라 수 분 ~ 수 시간
• RTO: 수십 분 ~ 수 시간 (Warm), 수 시간 이상 (Cold)
• 비용: 중간 ~ 낮음

Active-Active (Hot Standby)

운영 사이트와 DR 사이트가 동시에 트래픽을 처리하며, 한쪽이 장애 나도 나머지가 즉시 전체 부하를 수용합니다.

• RPO: 0 (동기 복제 기반)
• RTO: 수 분 이내 (자동 절체 구성 시 수 초)
• 비용: 가장 높음 (운영계 동일 수준의 DR 인프라 필요)

백업 기반 DR (Backup & Restore)

정기 백업 데이터를 DR 사이트로 전송하고, 장애 시 복원하는 가장 기본적인 방식입니다.

• RPO: 백업 주기에 따라 수 시간 ~ 24시간 이상
• RTO: 수 시간 ~ 수십 시간 (데이터 규모에 따라 상이)
• 비용: 가장 낮음

RPO·RTO 설정 시 고려해야 할 사항

시스템 등급 분류부터 시작하라

모든 시스템에 동일한 RPO·RTO를 적용하는 것은 과잉 투자입니다. 시스템을 비즈니스 중요도에 따라 등급으로 분류하고, 등급별로 다른 목표값을 설정하는 것이 현실적입니다.

• 1등급 (Critical): 결제, 핵심 거래 시스템 — RPO 0~15분, RTO 15분~1시간
• 2등급 (Essential): 내부 업무 시스템 — RPO 1~4시간, RTO 4~8시간
• 3등급 (Normal): 개발·테스트 환경 — RPO 24시간, RTO 24~48시간

목표값은 반드시 실제 훈련으로 검증하라

문서상의 RTO와 실제 복구에 걸리는 시간은 다를 수 있습니다. 정기적인 DR 훈련(DRT, Disaster Recovery Test)을 통해 목표값이 실제로 달성 가능한지 검증하고, 미달 시 구성을 보완해야 합니다. 연 1회 이상 실전 절체 훈련을 수행하는 것을 권장합니다.

마무리

RPO와 RTO는 DR 구축의 시작이자 끝입니다. 이 두 숫자가 명확하지 않으면 DR 인프라에 얼마를 투자해야 하는지, 어떤 기술을 선택해야 하는지 결정할 수 없습니다. 비즈니스 요구사항을 기반으로 RPO·RTO를 먼저 정의하고, 그에 맞는 기술과 인프라를 역순으로 설계하는 접근법이 성공적인 DR 구축의 핵심입니다.