"위험분석"의 두 판 사이의 차이

(상세 위험분석)
 
(같은 사용자의 중간 판 하나는 보이지 않습니다)
24번째 줄: 24번째 줄:
 
; Combined Approach
 
; Combined Approach
 
; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용  
 
; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용  
* 장점 : 빠르고 효율적인 보안전략 구축
+
* 장점 : 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능
* 단점 : 적용 대상의 불명확성으로 인한 자원 낭비의 가능성
+
* 단점 : 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음
 +
 
  
 
== 위험 분석 방법론 ==
 
== 위험 분석 방법론 ==
===정량적 분석 방법===
+
===[[정량적 위험분석|정량적 분석 방법]]===
 
;손실액과 같은 숫자값으로 표현
 
;손실액과 같은 숫자값으로 표현
 
* 객관적인 평가기준이 적용된다.
 
* 객관적인 평가기준이 적용된다.
38번째 줄: 39번째 줄:
 
** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.
 
** 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.
 
* '''종류 및 지표'''
 
* '''종류 및 지표'''
 +
** 민감도 분석, 금전적 기대값 분석, 몬테카를로 시뮬레이션, 의사결정 나무 분석, 과거자료 분석법, 수학공식 접근법, 확률분포법 등
 
** [[정량적 위험분석|정량적 위험분석 문서 보기]]
 
** [[정량적 위험분석|정량적 위험분석 문서 보기]]
  

2019년 9월 10일 (화) 15:48 기준 최신판

Risk Analysis
정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정

1. 위험분석 접근법[편집]

1.1. 베이스라인 접근법[편집]

Baseline approach
국내외 표준, 기존에 마련되어 있는 기본 통제 가이드, 준법 등으로 기준을 정하여 위험을 관리한다.
  • 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
  • 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성

1.2. 비정형 접근법[편집]

Informal Approach
전문가의 지식과 경험에 따라 위험을 분석
  • 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
  • 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재

1.3. 상세 위험분석[편집]

Detailed Risk Analysis
자산의 가치를 측정하고 자산에 대한 위험과 취약성을 분석하여 위험 측정
  • 장점 : 조직 내 적절한 보안수준 마련 가능
  • 단점 : 전문적인 지식이 필요하고 시간과 비용을 많이 소모

1.4. 복합 접근법[편집]

Combined Approach
상세 위험 분석과 베이스라인 접근법을 복합적으로 사용
  • 장점 : 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능
  • 단점 : 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음


2. 위험 분석 방법론[편집]

2.1. 정량적 분석 방법[편집]

손실액과 같은 숫자값으로 표현
  • 객관적인 평가기준이 적용된다.
  • 비용과 이익에 대한 평가가 필수적으로 요구된다.
  • 장점
    • 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다.
  • 단점
    • 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다.
    • 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.
  • 종류 및 지표
    • 민감도 분석, 금전적 기대값 분석, 몬테카를로 시뮬레이션, 의사결정 나무 분석, 과거자료 분석법, 수학공식 접근법, 확률분포법 등
    • 정량적 위험분석 문서 보기

2.2. 정성적 분석 방법[편집]

어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현
  • 장점
    • 정보자산에 대한 수치화가 불필요하여 계산에 대한 시간과 노력이 적게 든다.
  • 단점
    • 위험평가 과정과 측정기준이 일관되지 않고 주관적이다.
    • 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다.
    • 위험관리 성능을 추적할 수 없다.
  • 종류
    • 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음
    • 시나리오법 : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음
    • 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음