위험분석 편집하기
IT위키
편집을 취소할 수 있습니다. 이 편집을 되돌리려면 아래의 바뀐 내용을 확인한 후 게시해주세요.
| 최신판 | 당신의 편집 | ||
| 1번째 줄: | 1번째 줄: | ||
[[분류:보안]][[분류:정보보안기사]][[분류:프로젝트 관리]][[분류: | [[분류:보안]][[분류:정보보안기사]][[분류:프로젝트 관리]][[분류:IT경영]] | ||
;Risk Analysis | ;Risk Analysis | ||
;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 | ;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 | ||
| 7번째 줄: | 7번째 줄: | ||
; Baseline approach | ; Baseline approach | ||
; 국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리 | ; 국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리 | ||
* 장점: 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능 | * 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능 | ||
* 단점: 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성 | * 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성 | ||
===비정형 접근법=== | ===비정형 접근법=== | ||
; Informal Approach | ; Informal Approach | ||
; 구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행 | ; 구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행 | ||
* 장점: 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능 | * 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능 | ||
* 단점: 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재 | * 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재 | ||
===상세 위험분석=== | ===상세 위험분석=== | ||
; Detailed Risk Analysis | ; Detailed Risk Analysis | ||
; 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가 | ; 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가 | ||
* 장점: 조직 내 적절한 보안수준 마련 가능 | * 장점 : 조직 내 적절한 보안수준 마련 가능 | ||
* 단점: 전문적인 지식이 필요하고 시간과 비용을 많이 소모 | * 단점 : 전문적인 지식이 필요하고 시간과 비용을 많이 소모 | ||
===복합 접근법=== | ===복합 접근법=== | ||
; Combined Approach | ; Combined Approach | ||
; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용 | ; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용 | ||
* 장점: 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능 | * 장점 : 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능 | ||
* 단점: 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음 | * 단점 : 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음 | ||
| 40번째 줄: | 40번째 줄: | ||
** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다. | ** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다. | ||
* '''종류 및 지표''' | * '''종류 및 지표''' | ||
** 민감도 분석, | ** 민감도 분석, 금전적 기대값 분석, 몬테카를로 시뮬레이션, 의사결정 나무 분석, 과거자료 분석법, 수학공식 접근법, 확률분포법 등 | ||
** [[정량적 위험분석|정량적 위험분석 문서 보기]] | ** [[정량적 위험분석|정량적 위험분석 문서 보기]] | ||
=== | ===정성적 분석 방법=== | ||
;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현 | ;어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현 | ||
* 장점 | * 장점 | ||
| 52번째 줄: | 52번째 줄: | ||
** 위험관리 성능을 추적할 수 없다. | ** 위험관리 성능을 추적할 수 없다. | ||
* '''종류''' | * '''종류''' | ||
** [[델파이법]]: 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음 | ** [[델파이법]] : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음 | ||
** [[시나리오법]]: 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음 | ** [[시나리오법]] : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음 | ||
** 순위결정법: 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음 | ** 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음 | ||
