정보 보안에서 식별된 모든 위험에 대해서는 반드시 체계적인 위험 처리 계획(Risk Treatment Plan)이 수립되어야 합니다. 일반적으로 위험은 한 가지 방식으로만 관리되지 않으며, 상황과 위험의 성격에 따라 여러 접근 방식을 조합하여 대응합니다.
대표적인 위험 처리 방식으로는 위험 수용(Risk Acceptance), 위험 회피(Risk Avoidance), 위험 이전(Risk Transfer), 위험 감소(Risk Reduction)의 네 가지가 있으며, 각각의 특징과 적용 시나리오를 살펴보겠습니다.
1. 위험 수용 (Risk Acceptance)
위험 수용은 '위험 보유(Risk Retention)'라고도 불리는 방식으로, 손실을 막거나 위험 발생 가능성을 줄이기 위한 별도의 조치를 취하지 않고 해당 위험을 그대로 받아들이는 것을 의미합니다. 즉, 경영진이 일정 기간 동안 추가적인 완화나 이전 없이 특정 위험을 감수하기로 공식적으로 결정하는 것입니다.
위험 수용이 적용되는 두 가지 경우
위험 수용은 크게 두 가지 상황에서 나타납니다.
- 위험이 너무 낮은 경우: 대응 비용 대비 피해가 미미하거나, 보험 및 기본적인 주의 의무(due diligence)만으로 충분하다고 판단되는 경우 위험을 그대로 수용합니다.
- 즉각적인 완화가 어려운 경우: 위험을 완화해야 하지만 완화 작업이 즉시 완료될 수 없거나, 신속한 대응 비용이 정당화되기 어려운 경우에는 완화 조치가 진행되는 동안 일정 기간 위험을 수용합니다.
이 방식은 발생하더라도 큰 손실을 초래하지 않는 위험에 가장 적합합니다. 오히려 이러한 낮은 수준의 위험은 대응하는 데 드는 비용이 그냥 감수하는 비용보다 더 클 수 있기 때문입니다.
2. 위험 회피 (Risk Avoidance)
위험 회피는 말 그대로 위험 자체를 원천적으로 차단하는 전략입니다. 특정 활동이나 업무 프로세스가 투자 수익률(ROI)을 정당화할 만큼의 위험이 너무 높다고 판단될 때, 해당 활동을 아예 수행하지 않음으로써 위험 발생 자체를 방지하는 비즈니스 접근 방식입니다.
다만 이 방식에는 명확한 한계가 있습니다. 활동 중단이라는 선택지가 현실적으로 불가능한 경우가 많고, 설령 가능하더라도 중요한 사업상 이점을 포기해야 할 수 있습니다. 그럼에도 불구하고 일부 상황에서는 위험 회피가 가장 합리적이고 바람직한 선택이 될 수 있습니다.
3. 위험 이전 (Risk Transfer)
위험 이전은 위험의 부담이나 그로 인한 결과를 제3자에게 넘기는 방법입니다. 대표적인 예가 보험으로, 보험사가 다른 주체의 위험을 대신 떠안는 구조입니다. 이 외에도 계약서의 조항 구성을 통해 위험 이전이 이루어질 수 있습니다.
위험 규모에 따른 이전 전략
- 낮은 수준의 위험: 합리적이고 신중한 통제 장치가 마련되어 있다면 위험 이전은 저렴하고 타당한 선택이며, 저위험 시스템의 주의 의무 기준을 충족합니다.
- 중·높은 수준의 위험: 위험 이전은 드물고 비용이 많이 들기 때문에, 최악의 경우 손실을 감당할 수 없고 외부에 충분한 보험 역량이 존재하는 경우에만 정당화됩니다.
장기적인 관점에서 볼 때, 중간 규모 이상의 위험에 대한 위험 이전은 결국 손해로 이어질 수 있다는 점을 유의해야 합니다.
4. 위험 감소 (Risk Reduction)
위험 감소는 해당 위험과 연관된 잠재적 손실의 크기를 줄이는 방식입니다. 위험을 완전히 제거하지는 못하더라도 발생 확률이나 피해 규모를 낮추는 것이 목적입니다.
위험 감소를 위해 활용할 수 있는 구체적인 방법은 다음과 같습니다.
- 표준 운영 절차(SOP)의 실행
- 교육 및 훈련 실시
- 참여자의 수와 유형 제한
- 보안 방법론 및 정책 수립
- 데이터 백업 및 이중화
- 적절한 장소(벤ue) 선정
- 예방 정비 수행
마무리: 상황에 맞는 위험 처리 전략 선택
효과적인 정보 보안 관리를 위해서는 위험의 크기, 발생 가능성, 대응 비용 등을 종합적으로 분석하여 네 가지 접근 방식 중 가장 적합한 전략을 선택해야 합니다. 하나의 위험에 대해 여러 방식을 조합하는 하이브리드 접근도 가능하며, 무엇보다 중요한 것은 경영진의 공식적인 승인과 지속적인 모니터링입니다.