정보 보안에서 위험 분석이란?
위험 분석(Risk Analysis)은 특정 행위나 이벤트와 관련된 위험을 체계적으로 검토하는 과정을 의미합니다. 정보 기술(IT), 프로젝트 관리, 보안 문제 등 다양한 분야에서 활용되며, 위험을 정량적(quantitative) 또는 정성적(qualitative) 기준으로 분석할 수 있다는 점이 특징입니다.
체계적인 위험 분석은 일반적으로 다음과 같은 7단계를 거쳐 진행됩니다.
1. 위험 평가 팀 구성
위험 평가 팀은 평가 결과를 수집·분석하고 그 결과를 경영진에게 보고하는 역할을 담당합니다. 팀을 구성할 때는 인적 자원, 행정 절차, 자동화 시스템, 물리적 보안 등 활동 전반의 업무 흐름을 반드시 고려해야 하며, 조직의 다양한 영역을 아우를 수 있는 전문성이 필요합니다.
2. 프로젝트 범위 설정
평가 팀은 시작 단계에서 평가 프로젝트의 목표, 대상 부서 또는 기능 영역, 팀원별 책임, 인터뷰 대상자, 적용할 표준, 검토할 문서, 점검할 운영 항목 등을 명확히 정의해야 합니다. 범위가 명확해야 이후 단계가 흔들리지 않습니다.
3. 평가 대상 자산 식별
자산에는 인력, 하드웨어, 소프트웨어, 데이터(민감도 및 중요도 분류 포함), 시설, 그리고 이러한 자산을 보호하는 기존 통제 수단이 포함될 수 있습니다. 설정된 범위 안에서 평가 프로젝트와 관련된 모든 자산을 빠짐없이 식별하는 것이 핵심입니다.
4. 잠재적 손실 분류
자산에 어떤 유형의 피해가 발생했을 때 초래될 수 있는 손실을 식별합니다. 손실은 물리적 손상, 서비스 거부(DoS), 변조, 무단 접근 또는 정보 유출로부터 발생할 수 있으며, 조직의 신뢰도 상실과 같은 무형의 손실도 포함됩니다.
5. 위협 및 취약점 식별
위협(threat)은 취약점을 악용하여 자산을 공격하는 사건, 절차, 활동 또는 프로세스를 의미합니다. 위협은 자연재해, 우발적 위협, 사람의 실수로 인한 위협, 악의적인 인간 위협으로 구분할 수 있으며, 여기에는 정전, 생물학적 오염이나 유해 화학물질 누출, 하드웨어·소프트웨어 오류, 데이터 삭제나 무결성 훼손, 방해 행위(sabotage), 절도나 기물 파손 등이 포함됩니다.
취약점(vulnerability)은 위협이 자산을 공격하기 위해 악용하는 약점입니다. 취약점은 데이터 수집 과정에서 물리적 보안, 환경, 시스템 보안, 통신 보안, 인사 보안, 계획, 정책, 프로세스, 관리, 지원 체계 등을 점검함으로써 식별할 수 있습니다.
6. 기존 통제 수단 파악
통제(control)는 위협이 취약점을 악용해 자산을 공격할 가능성을 낮추는 보호 장치입니다. 이 단계에서는 현재 시행 중인 보호 조치들을 식별하고, 현재 분석 맥락에서 그 효과성이 충분한지 판단해야 합니다.
7. 데이터 분석
마지막 단계에서는 지금까지 수집한 모든 데이터를 활용하여 대상 자산에 대한 실질적인 위험을 판단합니다. 데이터 분석 방법에는 자산 목록을 작성하고 이에 상응하는 위협, 손실 유형, 취약점을 매핑하는 것이 포함됩니다. 또한 잠재적 손실의 발생 가능 빈도에 대한 평가도 함께 수행해야 합니다.
마무리
이처럼 위험 분석은 조직의 자산을 보호하고 잠재적 피해를 최소화하기 위한 필수적인 과정입니다. 각 단계를 체계적으로 수행하면 보안 투자의 우선순위를 합리적으로 정하고, 효과적인 리스크 관리 전략을 수립하는 데 큰 도움이 됩니다.