위험

Risk

부정적인 일이 발생할 수 있는 가능성

위험의 구성요소

자산(Asset) × 취약점(Vulnerability) × 위협(Threat) - 정보보호대책(Safeguard)

위험 분석 접근 방법

• 베이스라인 접근법(Baseline approach)
  • 모든 시스템에 대하여 보호의 기본 수준을 정하고 이를 달성하기 위해 일련의 보호 대책을 선택
  • 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
  • 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성
• 비정형 접근법(Informal Approach)
  • 전문가의 지식과 경험에 따라 위험을 분석
  • 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
  • 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재
• 상세 위험분석(Detailed Risk Analysis)
  • 자산의 가치를 측정하고 자산에 대한 위험과 취약성을 분석하여 위험 측정
  • 장점 : 조직 내 적절한 보안수준 마련 가능
  • 단점 : 전문적인 지식이 필요하고 시관가 비용을 많이 소모
• 복합 접근법(Combined Approach)
  • 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용
  • 장점 : 빠르고 효율적인 보안전략 구축
  • 단점 : 적용 대상의 불명확성으로 인한 자원 낭비의 가능성

위험 관리

Risk Management

위험을 인식하고, 적절한 비용 이내에서 필요한 통제 방안을 선택함으로써 위협을 적절히 통제하는 과정

• 위험 감소
• 위험 회피
• 위험 전가
• 위험 수용