위험 평가의 기본 개념과 수행 주체
위험 평가(risk assessment)는 기능 부서 관리자와 정보기술(IT) 관리자가 함께 참여하는 팀에 의해 수행되어야 합니다. 비즈니스 운영 방식, 업무 프로세스 또는 기술 환경이 변화할 때마다 이러한 변화를 분석하기 위한 주기적인 검토가 반드시 이루어져야 합니다. 변화로 인해 발생하는 새로운 위협과 취약점이 조직에 미치는 영향을 판단하고, 기존 통제 수단의 실효성에 대한 종합적인 테스트도 병행해야 합니다.
위험 평가의 궁극적인 목적
위험 평가의 목표는 경영진이 정보 자산을 관리하기 위한 적절한 전략과 통제 방안을 수립할 수 있도록 지원하는 것입니다. 따라서 위험 평가의 기본적인 목표는 언제나 의사결정 과정에서 불확실한 요소들을 다루는 데 있어야 합니다.
만약 어떤 행동이나 결정의 결과가 언제, 어떤 형태로, 어느 정도 나타날지 완전히 확실하다면 위험을 평가할 필요는 줄어들고, 단순히 대응하고 결과를 모니터링하는 것으로 충분합니다. 그러나 현실에서는 그렇지 않은 경우가 대부분이며, 의사결정자는 불확실성이 어디에 존재하는지, 그리고 그것을 어떻게 가장 효과적으로 처리하고 관리할 수 있는지를 깊이 이해해야 합니다.
다학제적 접근과 이해관계자의 참여
위험 평가는 여러 분야의 전문성이 필요한 활동이므로 다학제적(multidisciplinary)으로 수행되어야 하며, 그 과정이 투명하게 공개되고 모든 관련 당사자들이 이해할 수 있어야 합니다. 이를 위해서는 위험 평가를 시작하는 단계에서 누구를 평가 프로세스에 포함시켜야 하는지 신중하게 고민해야 합니다. 위험 평가는 일반적으로 한 사람이 독단적으로 진행하는 작업이 아니라 여러 당사자가 함께 참여하는 활동입니다.
예를 들어, 위험 평가를 실질적으로 수행하는 집행팀, 평가 결과를 바탕으로 의사결정을 내리는 관리자나 조직, 그리고 그 결정의 영향을 받는 이해당사자들이 모두 포함됩니다. 이들 간의 원활한 소통은 위험 평가 프로세스의 성공을 위해 필수적입니다.
또한 위험 평가는 다양한 유형의 전문 지식을 요구하는 여러 과제로 구성되어 있습니다. 따라서 위험 평가에는 다학제적인 참여가 필요하며, 프로세스 전반에 대한 세심한 고려가 뒤따라야 합니다.
동료 검토(Peer Review)와 공개 참여의 중요성
위험 평가를 준비하는 과정에서는 동료 검토(peer review)와 공개 참여를 위한 적절한 절차를 활용해야 합니다. 이러한 절차는 결론의 과학적 객관성, 투명성, 그리고 수용성을 높이는 데 크게 기여합니다.
동료 검토는 예를 들어 위험 평가 초안 문서를 공개하고 이에 대해 접수된 의견을 검토하는 방식으로 진행될 수 있습니다. 여기에는 접수된 주요 의견과 평가자의 답변을 정리한 '의견 회신서(response-to-comment)' 문서를 발간하거나, 의견 제시자가 권고한 입장을 평가자가 채택하지 않은 경우 그 근거를 명확히 설명하는 것이 포함됩니다.
이해관계자 의견의 반영
이해관계자의 참여는 그들의 견해가 적절히 규명되고 의사결정에 반영되도록 보장합니다. 특히 위험 평가에 사용되는 위험 요소들이 관련 이해관계자들의 인식과 견해를 충분히 반영하는 것이 중요합니다. 위험 평가는 결국 어떤 수준의 위험이 그들에게 허용 가능한지, 그리고 추가적인 대응 조치가 언제 어디서 필요한지를 판단하는 과정이기 때문입니다.
위험 식별 단계에서는 폭넓고 다양한 경험을 보유한 대표성 있는 그룹이 참여할 때 가장 포괄적인 분석이 가능합니다. 마지막으로, 통제 조치의 모니터링을 책임지는 사람들은 해당 통제 조치로 이어진 위험 평가 과정에 직접 참여함으로써 큰 도움을 받을 수 있습니다.