네트워크 보안에서 위협, 취약점, 위험이란?
정보보안을 제대로 이해하려면 먼저 위협(Threat), 취약점(Vulnerability), 위험(Risk)이라는 세 가지 핵심 개념을 명확히 구분해야 합니다. 이 세 용어는 서로 밀접하게 연관되어 있지만 각각 다른 의미를 지니며, 이를 혼동하면 보안 전략 수립에 큰 오류가 생길 수 있습니다.
위협(Threat) vs 취약점(Vulnerability) vs 위험(Risk)의 차이
위협(Threat)은 이름 그대로 우리가 방어해야 할 대상입니다. 자산에 피해를 줄 수 있는 잠재적인 사건이나 행위를 의미하며, 해커의 공격, 악성코드, 자연재해 등이 모두 위협에 해당합니다.
취약점(Vulnerability)은 보안 체계 내부에 존재하는 약점이나 허점으로, 위협에 의해 악용될 수 있는 부분을 말합니다. 인프라, 네트워크, 애플리케이션 어디에서든 발생할 수 있습니다.
위험(Risk)은 특정 자산에 위협과 취약점이 동시에 존재할 때 발생합니다. 즉, 위협이 취약점을 실제로 악용했을 때 데이터가 훼손되거나 자산에 손실이 일어날 가능성을 뜻합니다. 예컨대 내부자가 허가 없이 네트워크에 침입해 데이터를 파괴하거나 자산에 피해를 입힐 확률이 바로 위험입니다.
위험, 취약점, 위협, 영향도(Impact)의 관계
위험은 '취약점이 만들어내는 영향'과 '위협이 실제로 발생할 확률'을 결합한 개념으로 정의할 수 있습니다. 이를 수식으로 표현하면 다음과 같습니다.
위험(Risk) = 위협 발생 확률(Threat Probability) × 취약점의 영향도(Impact of Vulnerability)
즉, 위협 행위자가 취약점을 악용할 가능성이 높고, 그 결과 초래되는 피해의 규모가 클수록 위험도는 커집니다.
위험 평가와 위협 평가의 차이점
위협 평가(Threat Assessment)는 사건이 발생하는 시점 또는 시도되는 시점에 해당 사건을 조사하는 활동입니다. 실제 공격이나 침해 시도에 초점을 맞춥니다.
반면 위험 평가(Risk Assessment)는 가능한 모든 시나리오를 검토하여 잠재적인 문제가 있는지, 피해 규모는 어느 정도일지 미리 분석하는 포괄적인 절차입니다. 아직 발생하지 않은 상황까지 포함해 전체적인 리스크를 점검한다는 점이 위협 평가와 다릅니다.
위험과 취약점은 같은 개념일까?
결론부터 말하면 위험과 취약점은 서로 다른 개념이며, 서로 바꿔 사용해서는 안 됩니다. 위험은 취약점이 악용되었을 때 초래되는 결과(영향)에 관한 것이고, 취약점 자체는 반드시 위험을 수반하지 않습니다.
실제로 이를 악용할 위협이 존재하지 않는 취약점도 있는데, 이런 경우 '위험 없는 취약점(Vulnerability without Risk)'이라고 부릅니다. 따라서 취약점을 발견했다고 해서 곧바로 심각한 위험으로 판단하기보다는, 연관된 위협과 잠재적 영향을 함께 분석해야 합니다.
취약점의 4가지 주요 유형
취약점은 성격에 따라 크게 네 가지 유형으로 구분할 수 있으며, 각 유형마다 직접적·간접적 손실의 양상이 다릅니다.
- 인간·사회적(Human-Social) 취약점: 사회공학 공격, 내부자 실수 등 사람과 관련된 약점
- 물리적(Physical) 취약점: 출입 통제 미비, 설비 노후 등 물리적 환경의 약점
- 경제적(Economic) 취약점: 보안 예산 부족, 자원 배분 실패 등 경제적 요인의 약점
- 환경적(Environmental) 취약점: 재난, 기후 변화 등 외부 환경 요인에 대한 취약성
취약점과 노출(Exposure)의 차이
취약점은 시스템 내부에 존재하는 결함을 의미합니다. 예를 들어 보안 기능이 누락되었거나, 문이 잠기지 않았거나, 시스템 포트가 방치된 경우가 여기에 해당합니다.
노출(Exposure)은 시스템이 일정 기간 동안 공격에 그대로 드러나 피해를 입을 수 있는 상태를 말합니다. 즉, 취약점이 외부에 드러나면 노출로 이어질 수 있으며, 두 개념은 인과관계로 연결됩니다.
위협·위험 평가(TRA)란 무엇인가?
IT 시스템을 운영·관리할 때 위협 및 위험 평가(TRA, Threat and Risk Assessment)는 필수적인 절차입니다. TRA를 통해 조직은 자신이 직면한 위협을 파악하고, 어느 정도 취약한 상태인지 진단하며, 이러한 위협에 대응하기 위한 적절한 보호 대책을 도출할 수 있습니다.
구체적으로 TRA는 잠재적인 보안 약점을 식별하여 취약점 노출 여부를 확인하고, 적절한 조치를 통해 위협의 영향을 최소화함으로써 고객과 자산이 직면한 위험을 줄이는 데 기여합니다.
마무리: 세 개념의 관계 한눈에 보기
- 위협(Threat): 자산에 피해를 줄 수 있는 잠재적 원인 — 우리가 막아야 할 대상
- 취약점(Vulnerability): 위협에 악용될 수 있는 보안상의 약점이나 허점
- 위험(Risk): 위협이 취약점을 악용해 자산에 손실을 일으킬 가능성
세 요소가 교차하는 지점에서 자산은 위험에 처하게 됩니다. 따라서 효과적인 정보보안 전략은 위협을 차단하고 취약점을 보완함으로써 궁극적으로 위험을 최소화하는 것을 목표로 삼아야 합니다.