위험분석 편집하기
IT위키
편집을 취소할 수 있습니다. 이 편집을 되돌리려면 아래의 바뀐 내용을 확인한 후 게시해주세요.
최신판 | 당신의 편집 | ||
1번째 줄: | 1번째 줄: | ||
[[분류:보안]][[분류:정보보안기사 | [[분류:보안]][[분류:정보보안기사]] | ||
;Risk Analysis | ;Risk Analysis | ||
;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 | ;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 | ||
= 위험분석 접근법 = | |||
== 베이스라인 접근법(Baseline approach)== | |||
; 국내외 표준, 기존에 마련되어 있는 기본 통제 가이드, 준법 등으로 기준을 정하여 위험을 관리한다. | |||
; 국내외 표준, 기존에 마련되어 있는 | * 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능 | ||
* 장점: 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능 | * 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성 | ||
* 단점: 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성 | |||
==비정형 접근법(Informal Approach)== | |||
; | ; 전문가의 지식과 경험에 따라 위험을 분석 | ||
* 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능 | |||
* 장점: 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능 | * 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재 | ||
* 단점: 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재 | ==상세 위험분석(Detailed Risk Analysis)== | ||
; 자산의 가치를 측정하고 자산에 대한 위험과 취약성을 분석하여 위험 측정 | |||
* 장점 : 조직 내 적절한 보안수준 마련 가능 | |||
* 단점 : 전문적인 지식이 필요하고 시관가 비용을 많이 소모 | |||
; | ==복합 접근법(Combined Approach)== | ||
* 장점: 조직 내 적절한 보안수준 마련 가능 | |||
* 단점: 전문적인 지식이 필요하고 | |||
; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용 | ; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용 | ||
* 장점: | * 장점 : 빠르고 효율적인 보안전략 구축 | ||
* 단점: | * 단점 : 적용 대상의 불명확성으로 인한 자원 낭비의 가능성 | ||
=위험 분석 방법론 = | |||
== | ==정량적 분석 방법== | ||
;손실액과 같은 숫자값으로 표현 | ;손실액과 같은 숫자값으로 표현 | ||
* | * 장점 | ||
** 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다. | ** 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다. | ||
* | * 단점 | ||
** 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다. | ** 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다. | ||
** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다. | ** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다. | ||
=== | === 종류 === | ||
==== 민감도 분석 (Sensitivity analysis) ==== | |||
* 다른 조건이 일정한 경우에 어느 한 투입요소가 변동할 때의 예측치가 어느정도 민감하게 변동하는가를 분석하는 것 | |||
* 표시방법 중 토네이도 도표가 있는데 이 도표는 불확실성 수준이 높은 변수의 상대적 중요성을 보다 안정적인 변수와 비교할 때 유용하다. | |||
==== 금전적 기대값 분석 (Expected monetary value analysis) ===== | |||
* EMV 분석은 발생할 수도 있고 발생하지 않을 수도 있는 시나리오가 미래에 포함될 때 평균결과를 계산하는 통계적 개념이다. | |||
* 기회의 EMV는 양수값으로, 리스크의 EMV는 음수값으로 표현된다. | |||
* EMV는 각 예상 결과 값에 확률을 곱한 다음 모든 값을 더하여 계산한다. | |||
* 일반적으로 의사결정 트리 분석(Decision tree analysis)에서 사용한다. | |||
* 효용이론 (Utility Theory): 서로 다른 수준의 보상으로 리스크를 수용하는 개인의 의지 측정을 위한 이론적 접근법 | |||
==== 몬테카를로 시물레이션 ==== | |||
* 우연현상의 경과를 난수를 써서 수치적, 모형적으로 실현시켜 그것을 관찰함으로써 문제의 근사 해를 얻는 방법 | |||
* 가능한 원가 또는 기간의 확률 분포에서 임의로 선정한(random) 값을 사용하여 | |||
* 프로젝트 원가나 프로젝트 일정을 여러 차례 계산하거나 반복하는 방법 | |||
* 총 프로젝트 원가 또는 완료날짜의 분포를 산출하는 기법으로 사용한다. | |||
==== 의사결정 나무 분석 (Decision tree analysis) ==== | |||
* 기대 값과 리스크 확률을 곱하여 잠재적 산출 및 영향을 분석하여 의사 결정에 도움이 되는 분석 기법 | |||
==== 과거자료 분석법 ==== | |||
* 과거의 자료를 통한 위험발생 가능성 예측, 과거 데이터 수량에 따른 정확도 | |||
==== 수학공식 접근법 ==== | |||
* 위협발생빈도를 계산하는 식을 이용하여 위험을 계량화 | |||
==== 확률분포법 ==== | |||
* 미지의 사건을 확률적으로 편차를 이용하여 최저,보통, 최고 위험평가를 예측 | |||
==정성적 분석 방법== | |||
;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현 | ;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현 | ||
* 장점 | * 장점 | ||
51번째 줄: | 65번째 줄: | ||
** 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다. | ** 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다. | ||
** 위험관리 성능을 추적할 수 없다. | ** 위험관리 성능을 추적할 수 없다. | ||
=== 종류 === | |||
** | ** 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음 | ||
** | ** 시나리오법 : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음 | ||
** 순위결정법: 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음 | ** 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음 |