Salesforce 시스템 다운타임에 대비한 비즈니스 연속성 계획 수립 방법

Salesforce에 접속할 수 없게 될 때, 가장 큰 운영상의 위험은 오류 메시지 자체에 있는 경우가 드뭅니다. 진정한 문제는 영업, 서비스, 주문, 마케팅 또는 백오피스 팀이 업무 기록 위치, 고객 응대 방법, 또는 어떤 결정을 미룰 수 있는지조차 알 수 없게 된다는 점입니다. 따라서 효과적인 비즈니스 연속성 계획은 단순히 "Salesforce Trust를 확인하고 기다리세요"라고 적힌 문서가 아닙니다. 정상적인 서비스가 복구될 때까지 가장 중요한 비즈니스 프로세스가 허용 가능한 수준으로 유지되도록 해야 합니다.

계획의 질은 결과로 판단할 수 있습니다. 시스템 장애 발생 시, 담당자들은 무엇을 해야 하는지, 임시 작업 기록은 어디에 남겨야 하는지, 누가 의사결정을 내릴 수 있는지, 고객에게는 어떻게 알리는지, 그리고 복구 후 임시 기록은 어떻게 대조해야 하는지를 명확히 알아야 합니다. 또한, 계획에는 업무 연속성이 더 이상 안전하지 않은 지점도 명시해야 합니다. 일부 프로세스는 수동으로 몇 시간 동안 실행할 수 있지만, 중복 거래, 규정 위반 또는 데이터 불일치로 인해 대기하는 것보다 더 큰 피해가 발생할 수 있는 프로세스는 일시 중단해야 합니다.

휴식 시간 동안 얻고자 하는 결과부터 시작하세요.

비즈니스 연속성 계획은 기술적 측면이 아닌 비즈니스 영향 측면에서 시작해야 합니다. NIST의 연방 정보 시스템 비상 계획 지침(Contingency Planning Guide for Federal Information Systems)은 비즈니스 영향 분석을 통해 비상 계획 요건과 우선순위를 결정할 것을 권장합니다. 이 지침은 연방 정보 시스템을 대상으로 작성되었지만, 그 기본 원칙은 광범위하게 적용될 수 있습니다. 즉, 필수 기능을 파악하고, 장애의 영향을 이해하고, 복구 우선순위를 정의하고, 검증된 비상 절차를 유지하는 것입니다.

Salesforce의 경우, 이는 플랫폼을 사용할 수 없는 상황에서도 계속되어야 하는 비즈니스 활동이 무엇인지 묻는 것을 의미합니다. 영업팀은 긴급한 잠재 고객과의 계약을 확보해야 할 수 있습니다. 지원 조직은 중요한 고객 문제를 접수하고 우선순위를 정해야 할 수 있습니다. 현장 팀은 소수의 고객 또는 자산 정보에 접근해야 할 수 있습니다. 재무팀은 Salesforce 및 연결된 시스템이 안정될 때까지 일부 거래를 완전히 중단해야 한다고 결정할 수 있습니다.

강력한 비즈니스 연속성 목표는 테스트할 수 있을 만큼 구체적이어야 합니다. 예를 들어, "고객 지원은 계속 운영되어야 한다"는 모호합니다. "4시간 동안 Salesforce 시스템이 중단되더라도 우선순위 1의 고객 문의는 접수, 배정, 확인 및 추적이 가능하며 요청 손실이 없어야 한다"는 목표는 측정 가능합니다.

허용 가능한 성능 저하를 정의하고, 정상 작동이라는 비현실적인 약속을 하지 마십시오.

업무 연속성은 완전한 기능 유지와는 다릅니다. 목표는 일반적으로 기본 시스템이 복구될 때까지 최소한의 실행 가능한 비즈니스 서비스를 유지하는 것입니다. Salesforce에 의존하는 각 핵심 프로세스에 대해 "중단 시 충분히 좋은 상태"가 무엇을 의미하는지 정의하십시오.

중단 조건은 중요합니다. 어떤 상황에서도 계속 작업하라고 지시하는 업무 연속성 계획은 중복 주문, 상충되는 사례 업데이트, 승인 누락 또는 승인되지 않은 도구에 저장된 민감한 정보와 같은 두 번째 문제를 야기할 수 있습니다.

Salesforce가 사고를 알리는 방법을 알아두세요.

계획에는 신뢰할 수 있는 상태 정보 출처를 정의해야 합니다. Salesforce는 서비스 가용성 및 성능 정보의 출처로 신뢰 상태 사이트를 명시하고 있습니다. 또한 Salesforce는 서비스 문제, 유지 관리 및 제품 릴리스에 대한 신뢰 상태 알림을 이메일 또는 SMS로 제공합니다. 현재 개요는 Salesforce 도움말: 신뢰 상태 에서 확인할 수 있습니다 .

Salesforce의 사고 신뢰 커뮤니케이션 문서에서는 회사가 신뢰 사이트, 신뢰 알림, 정보 메시지, 도움말 배너, 사고 알림 이메일 및 실시간 웨비나를 사용하여 중요한 예기치 않은 사고와 해결 진행 상황을 알릴 수 있다고 설명합니다.

효과적인 비상 운영 계획은 모든 직원이 상태 페이지를 개별적으로 해석하도록 요구하지 않습니다. 영향을 받는 인스턴스 또는 서비스를 확인하고, 알려진 내용을 요약하고, 정해진 주기에 따라 내부 업데이트를 게시할 담당자 또는 소규모 사고 대응팀을 지정하십시오.

계획을 인스턴스별로 설정하세요

Salesforce 상태는 단일한 전역 이진 상태가 아닙니다. 조직에서는 어떤 Salesforce 인스턴스 또는 서비스 식별자가 중요한지 알아야 합니다. 2026년 8월 4일에 업데이트된 Salesforce 조직의 인스턴스 정보 보기 지침에서 설정의 회사 정보 또는 Salesforce 상태 사이트를 사용하여 인스턴스를 찾는 방법을 설명합니다.

Salesforce는 또한 Trust 사이트에서 영향을 받는 인스턴스 및 서비스별로 인시던트 및 유지 관리 이벤트를 보고한다고 언급합니다. 진행 중인 인시던트 또는 유지 관리 확인 지침에 따르면 이벤트 레코드에는 영향을 받는 인스턴스 및 서비스와 함께 상태 및 시간 정보가 포함됩니다.

따라서 연속성 실행 계획서에는 프로덕션 조직의 관련 도메인 및 인스턴스 세부 정보와 운영에 중요한 마케팅 클라우드 또는 커머스 서비스와 같이 별도로 모니터링되는 Salesforce 제품에 대한 정보가 기록되어야 합니다.

제어된 데이터 캡처를 중심으로 대체 워크플로를 설계하십시오.

가장 실용적인 대안은 CRM 시스템을 완전히 대체하는 것이 아닙니다. 오히려 긴급한 업무를 지속하는 데 필요한 최소한의 정보만 보존하는 통제된 방법입니다. 승인된 스프레드시트, 서비스 데스크 대기열, 내부 양식, 협업 채널, 전화 응대 시스템 또는 조직의 보안 및 보존 정책에 이미 포함된 기타 시스템을 활용할 수 있습니다.

대체 방법은 다음을 정의해야 합니다.

• 필수 입력 항목은 무엇입니까?
• 임시 기록을 생성하거나 수정할 수 있는 사람;
• 각 레코드가 고유한 임시 식별자를 받는 방법;
• Salesforce 외부로 복사해서는 안 되는 민감한 데이터는 무엇입니까?
• 시간, 고객 정보, 소유자 및 활동 내역이 기록되는 방식;
• Salesforce에 데이터가 다시 입력되기 전에 중복 항목이 어떻게 감지되는지 설명합니다.

이 계획의 해당 부분이 제대로 작동하고 있다는 가장 확실한 신호는 복구 팀이 나중에 기억, 채팅 기록 또는 여러 팀에 흩어져 있는 수기 메모에 의존하지 않고도 "Salesforce를 사용할 수 없는 동안 무엇이 변경되었습니까?"라는 질문에 답할 수 있는 것입니다.

백업은 복구를 지원하지만, 업무 연속성을 대체할 수는 없습니다.

Salesforce는 데이터 관리 및 보안의 일환으로 정기적인 백업 전략을 권장합니다. 2026년 4월 2일에 발표된 " Salesforce 데이터 백업을 위한 모범 사례" 지침에서는 레코드 및 파일과 같은 비즈니스 데이터와 사용자 정의 필드, 레이아웃, 보고서, 대시보드, Apex 및 Visualforce와 같은 메타데이터를 구분합니다.

Salesforce는 Salesforce Backup, 데이터 내보내기 서비스, 데이터 로더 내보내기 및 보고서 내보내기를 포함한 기본 백업 방법을 제공합니다. Salesforce의 백업 데이터 내보내기 문서에 따르면 표준 데이터 내보내기는 에디션에 따라 주간 또는 월간 일정으로 CSV 기반 백업을 생성할 수 있습니다.

하지만 백업은 복구 제어 수단일 뿐, 장애 발생 시 운영 모드가 아닙니다. 백업이 자동으로 Salesforce를 대체할 수 있는 실시간 시스템을 제공하는 것은 아닙니다. 또한 대규모 내보내기 데이터는 너무 오래되었거나, 범위가 너무 넓거나, 민감한 정보가 너무 많거나, 안전하게 사용하기 어려울 수 있으므로, 장애 발생 시 안전하게 시스템을 운영하기 어려울 수 있습니다. 따라서 내보낸 데이터 중 장애 발생 시 실제로 필요한 데이터가 있는지 미리 판단하고, 그에 따라 적절한 보호 조치를 취해야 합니다.

복구 목표와 연속성 목표를 분리하십시오.

연속성 목표는 Salesforce를 사용할 수 없는 동안 비즈니스가 어떻게 운영되는지를 설명합니다. 복구 목표는 정상적인 운영이 어떻게 복원되고 임시 작업이 어떻게 처리되는지를 설명합니다.

각 프로세스에 대해 최소 세 가지 실질적인 목표를 문서화하십시오.

• 최대 허용 중단 시간: 비즈니스에 미치는 영향이 허용할 수 없는 수준이 되기 전에 프로세스를 사용할 수 없는 시간.
• 임시 운영 목표: 해당 기간 동안 유지되어야 하는 최소한의 서비스 수준.
• 조정 목표: 서비스 복구 후 임시 기록을 검증하고 Salesforce에 입력해야 하는 속도.

이러한 목표는 일반적인 IT 가정이 아닌 비즈니스 담당자의 의견에서 도출되어야 합니다. 2시간의 허용 오차는 부서에 따라 적절할 수 있지만 다른 부서에서는 용납할 수 없을 수도 있습니다.

정전 발생 전에 의사 결정 권한을 할당하세요

계획은 사람들이 해야 할 일은 알지만 누가 권한을 가지고 있는지 모를 때 지연됩니다. 사고 신고, 대체 시스템 활성화, 고객 커뮤니케이션, 보안 예외 처리, 공급업체 에스컬레이션, 복구 검증, 그리고 정상 처리로 복귀할지 여부에 대한 최종 결정에 대해 명칭이 부여된 역할 또는 역할 기반 소유권을 정의하십시오.

최소한 한 명은 비상 운영 모드를 활성화할 수 있어야 하고, 다른 한 명은 정상 서비스 복귀를 승인할 수 있어야 합니다. 중요도가 높은 프로세스의 경우, 한 사람만이 해당 업무를 수행할 수 있도록 하지 말고, 필수적인 역할에 대해서는 백업 담당자를 지정하십시오.

단순히 문서를 읽었는지 여부가 아니라 비즈니스 성과를 기준으로 평가하십시오.

NIST SP 800-34 Rev. 1은 테스트, 교육, 훈련 및 계획 유지 관리를 비상 계획의 핵심 요소로 포함합니다. 따라서 Salesforce 연속성 테스트는 실제적인 접근 손실 상황을 시뮬레이션하고 실제 성능을 측정해야 합니다.

유용한 테스트 기준은 다음과 같습니다.

• 사고 담당자는 올바른 Salesforce 인스턴스 또는 서비스를 식별합니다.
• 핵심 팀은 목표 시간 내에 활성화 메시지를 수신합니다.
• 사용자는 IT 부서에 개별적으로 문의하지 않고도 승인된 대체 프로세스를 찾을 수 있습니다.
• 임시 기록에는 필수 입력 항목과 소유권 정보가 포함됩니다.
• 승인되지 않은 민감한 데이터는 대체 시스템으로 복사되지 않습니다.
• 임시 기록 샘플을 중복 없이 Salesforce에 통합할 수 있습니다.
• 팀은 복구가 완료되었다고 선언할 권한이 누구에게 있는지 설명할 수 있습니다.

테이블탑 훈련이 참가자들이 플랜을 열 수 있다는 것만 확인한다면, 연속성을 입증한 것은 아닙니다. 더 나은 훈련은 참가자들이 워크플로를 실행하고 문제 발생 시 깔끔하게 복구할 수 있음을 증명하는 것입니다.

계획을 변경해야 할 시점을 알아두세요

실제 장애가 발생하기 전에 계획이 쓸모없어졌음을 깨닫기 위해 기다리지 마십시오. Salesforce 아키텍처, 핵심 통합, 비즈니스 프로세스, 규정 준수 요구 사항, 팀 소유권, 백업 전략, 컨택 센터 라우팅 또는 고객 커뮤니케이션 채널에 의미 있는 변경 사항이 발생한 후 계획을 검토하십시오.

테스트 결과에서 반복적으로 약점이 드러나면 접근 방식을 변경하십시오. 예를 들어, 공식적인 백업 시스템이 있음에도 불구하고 직원이 통제되지 않은 스프레드시트를 생성하는 경우, 임시 기록에 고유 식별자가 없어 복구 시간이 너무 오래 걸리는 경우, 또는 비즈니스 팀에서 선언된 시스템 연속성 목표가 실제 고객 수요를 충족하기에 불충분하다는 사실을 발견하는 경우 등이 있습니다.

효과적인 계획에는 버전 소유권과 검토 트리거가 포함되어야 합니다. "매년 검토"는 없는 것보다는 낫지만, "매년 검토하고 주요 Salesforce 변경, 통합, 소유권 또는 프로세스 변경 후 검토"하는 것이 훨씬 더 안정적입니다.

이 계획이 보장할 수 없는 것

어떤 비즈니스 연속성 계획도 모든 Salesforce 장애 발생 시 비즈니스 중단을 보장할 수는 없습니다. 장애는 연결된 시스템, ID 공급자, 네트워크, 통신 도구 또는 퍼블릭 클라우드 서비스에 동시에 영향을 미칠 수 있습니다. 심각하거나 장기간 지속되는 장애는 수동 복구 절차의 용량을 초과할 수도 있습니다.

보안 및 데이터 품질에도 한계가 있습니다. 민감한 Salesforce 데이터를 비상 도구로 이동하는 것은 정책이나 규정을 위반할 수 있습니다. 오프라인으로 작업하면 오래된 결정, 상충되는 기록, 중복 거래가 발생할 수 있습니다. 위험도가 높은 일부 프로세스의 경우, 수동으로 계속 진행하는 것보다 통제된 방식으로 일시적으로 중단하는 것이 가장 안전한 업무 연속성 확보 방법입니다.

그렇기 때문에 잘 짜여진 계획에는 예상 운영 기간과 비상 대응 임계값이 모두 명시되어 있어야 합니다. 장애가 예상보다 오래 지속되거나, 백업 대기열이 너무 커지거나, 데이터 무결성을 더 이상 유지할 수 없는 경우, 경영진은 일상적인 업무 연속성 절차에서 벗어나 보다 광범위한 위기 관리 결정을 내려야 합니다.

Salesforce 비즈니스 연속성 계획이 준비되었는지 확인하는 방법

계획이 제대로 수립되었다고 판단하는 기준은 현실적인 실행을 통해 다음 네 가지 사항을 입증할 수 있을 때입니다. 즉, 비즈니스에서 중요한 사항을 파악할 수 있고, 합의된 최소 수준으로 필수 업무를 지속할 수 있으며, 신뢰할 수 있는 임시 기록을 보존할 수 있고, 중요한 활동을 손실하거나 중복하지 않고 Salesforce로 복귀할 수 있다는 것입니다.

최종 준비 상태 점검을 실시하세요:

• Salesforce에 의존하는 모든 핵심 프로세스에는 담당자와 장애 허용치가 설정되어 있습니다.
• 운영 인스턴스와 공식 Salesforce 상태 소스는 문서화되어 있습니다.
• 대체 도구는 사용자가 승인하고, 접근 가능하며, 이해할 수 있는 도구입니다.
• 임시 데이터는 정의된 스키마, 식별자, 접근 정책 및 조정 방법을 가지고 있습니다.
• 사고 처리 및 고객 소통 책임은 명확하게 규정되어 있습니다.
• 백업은 복구 제어 수단으로 간주되며 운영상의 대체 수단과는 별도로 테스트됩니다.
• 팀은 계획을 연습하고 측정 가능한 격차를 기록했습니다.
• 수동 작업을 중단하고 상위 담당자에게 보고해야 하는 시점에 대한 명확한 규칙이 있습니다.

Salesforce 비즈니스 연속성 계획이 성공적인 이유는 서류상으로 완벽하기 때문이 아니라, 압박 속에서도 예측 가능한 결과를 도출하기 때문입니다. 가장 유용한 계획은 실행하기에 충분히 간결하면서도, 안전하지 않은 즉흥적인 대응을 방지할 만큼 충분히 상세하고, 실제 장애 발생 전에 조직의 한계를 파악할 수 있도록 충분히 검증된 계획입니다.