정보보호 위험관리와 보호대책

핵심 정리

정보보호 위험관리는 자산에 닥칠 위협과 자산의 취약점을 찾아 위험의 크기를 평가하고, 그 결과에 맞는 보호대책을 정하는 일련의 과정이다. 위험은 위협이 취약점을 이용해 자산에 손실을 일으킬 가능성이다. 보호할 자산과 예산에는 한계가 있으므로, 위험을 객관적으로 평가해 대책에 자원을 우선 배분하는 데 이 과정의 의의가 있다. 위험관리는 정보자산을 식별·평가한 뒤 위협과 취약점을 기준으로 위험도를 산출해 위험을 평가하는 단계로 진행된다.

위험 식별과 평가는 위험관리 계획에 따라 관리 범위 전체에서 정기적이고 지속적으로 수행해야 하며, 수용 가능한 위험수준을 설정하고 그 수준 안에서 관리한다. 평가를 마치면 대책을 선택하고 실행하는 단계로 넘어간다. 보호대책을 선정하고 우선순위·일정·담당자·예산을 포함한 이행계획을 세워 경영진의 승인을 받는 과정은 ISMS-P의 위험관리 단계에 해당한다.

위험 분석 방법은 값을 측정하는 방식에 따라 정성적 분석과 정량적 분석으로 나뉜다. 정성적 분석법은 측정 기준이 주관적이어서 평가자에 따라 결과가 달라질 수 있다. 자산의 화폐가치를 식별하기 어려운 경우에는 정성적 위험 평가를 이용한다. 정량적 분석은 손실을 수치로 환산하므로 대책의 비용과 효과를 금액으로 비교하기 쉽다.

정량 평가의 결과인 연간예상손실액은 대책 비용과 비교해 투자 판단의 근거로 삼는다. 위험을 다루는 방식은 수용, 감소, 회피, 전가의 네 가지이며, 어떤 방식을 선택하든 비용과 효과를 함께 따져야 한다.

정보보호 관리체계를 갖추더라도 보안 침해가 발생할 가능성은 남는다. 따라서 위험관리의 목표는 위험을 완전히 없애는 것이 아니라 수용 가능한 수준으로 낮추는 데 있다.

자세히

위험분석 방법의 구분

델파이법은 전문가 집단의 의견과 판단을 설문으로 종합하는 정성적 위험 분석 방법이다. 시나리오법은 다양한 위험 시나리오에 정성적 방법을 적용하는 위험분석 방법이다. 순위결정법은 손실이나 위험의 크기를 개략적으로 비교하는 정성적 위험분석 방법이다. 과거자료 분석법은 과거 자료를 이용해 미래의 위험 발생 가능성을 예측하는 정량적 위험분석 방법이다. 확률 분포법은 손실을 화폐 단위 등으로 정량적으로 측정하는 기법이므로, 델파이법·시나리오법·순위결정법과 성격이 다르다.

세 방법은 분석 방식으로 구분할 수 있다. 전문가 토론으로 위협과 취약성을 추정하면 델파이법이고, 과거 자료로 발생 가능성을 예측하면 과거자료 분석법이다. 사건이 기대대로 발생하지 않는다는 전제로 결과를 예측하면 시나리오법이다. 방법마다 입력 자료가 다르므로, 자료의 성격을 먼저 살피면 어떤 방법인지 쉽게 구분할 수 있다.

정성·정량의 구분과 각 방법의 분석 방식을 함께 기억하면 선지를 가르기 쉽다.

분석 접근법의 선택

정보보호 위험분석은 분석의 정형성과 깊이에 따라 접근법을 선택한다. 정형화된 절차 없이 분석가의 경험에 기대는 접근법, 기준 문서로 기본 통제를 세우는 접근법, 상세하게 분석하는 접근법이 서로 대비된다.

비정형 접근법은 구조적 방법론에 기반하지 않고 분석가의 경험과 지식에 의존하는 위험 분석 방법이다. 전문가의 지식과 경험으로 위험을 분석하면 신속하고 비용이 적게 든다는 장점이 있지만, 분석가의 편향이 개입될 우려가 있다.

기준 접근법은 기준 문서와 실무 규약 등을 이용해 기본 수준의 보안 통제를 구현하는 것을 목표로 한다. 상세 위험 분석은 정형화되고 구조화된 절차에 따라 모든 중요 위험을 식별하고 그 영향을 고려하는 방법이다. 상세 위험 분석은 위험 손실과 보안 대책 비용의 균형을 맞출 수 있지만 시간과 비용이 많이 든다.

복합 접근법은 기준선 접근법으로 기본 보호를 빠르게 제공한 뒤, 중요 시스템에 상세 위험 분석을 수행하는 방식이다. 시간과 비용을 기준으로 보면 비정형 접근법은 가장 빠르고 상세 위험 분석은 가장 많은 자원이 들며, 복합 접근법은 기본 보호와 정밀 분석을 나누어 수행하는 중간 지점에 놓인다.