위험분석

Risk Analysis

정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정

위험분석 접근법

베이스라인 접근법

Baseline approach

국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리

• 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
• 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성

비정형 접근법

Informal Approach

구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행

• 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
• 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재

상세 위험분석

Detailed Risk Analysis

정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가

• 장점 : 조직 내 적절한 보안수준 마련 가능
• 단점 : 전문적인 지식이 필요하고 시간과 비용을 많이 소모

복합 접근법

Combined Approach

상세 위험 분석과 베이스라인 접근법을 복합적으로 사용

• 장점 : 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능
• 단점 : 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음

위험 분석 방법론

정량적 분석 방법

손실액과 같은 숫자값으로 표현

• 객관적인 평가기준이 적용된다.
• 비용과 이익에 대한 평가가 필수적으로 요구된다.
• 장점
  • 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다.
• 단점
  • 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다.
  • 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.
• 종류 및 지표
  • 민감도 분석, 금전적 기대값 분석, 몬테카를로 시뮬레이션, 의사결정 나무 분석, 과거자료 분석법, 수학공식 접근법, 확률분포법 등
  • 정량적 위험분석 문서 보기

정성적 분석 방법

어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현

• 장점
  • 정보자산에 대한 수치화가 불필요하여 계산에 대한 시간과 노력이 적게 든다.
• 단점
  • 위험평가 과정과 측정기준이 일관되지 않고 주관적이다.
  • 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다.
  • 위험관리 성능을 추적할 수 없다.
• 종류
  • 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음
  • 시나리오법 : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음
  • 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음