|
|
| Line 5: |
Line 5: |
| 자산(Asset) × 취약점(Vulnerability) × 위협(Threat) - 정보보호대책(Safeguard) | | 자산(Asset) × 취약점(Vulnerability) × 위협(Threat) - 정보보호대책(Safeguard) |
|
| |
|
| == 위험 분석 == | | == 위험분석 == |
| ;정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 | | ;Risk Analysis |
| | | 정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정 |
| === 위험 분석 접근법 ===
| | [[위험분석]] |
| ==== 베이스라인 접근법(Baseline approach)====
| |
| ; 국내외 표준, 기존에 마련되어 있는 기본 통제 가이드, 준법 등으로 기준을 정하여 위험을 관리한다.
| |
| * 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
| |
| * 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성
| |
| | |
| ====비정형 접근법(Informal Approach)====
| |
| ; 전문가의 지식과 경험에 따라 위험을 분석
| |
| * 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
| |
| * 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재
| |
| ====상세 위험분석(Detailed Risk Analysis)====
| |
| ; 자산의 가치를 측정하고 자산에 대한 위험과 취약성을 분석하여 위험 측정
| |
| * 장점 : 조직 내 적절한 보안수준 마련 가능
| |
| * 단점 : 전문적인 지식이 필요하고 시관가 비용을 많이 소모
| |
| ====복합 접근법(Combined Approach)====
| |
| ; 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용
| |
| * 장점 : 빠르고 효율적인 보안전략 구축
| |
| * 단점 : 적용 대상의 불명확성으로 인한 자원 낭비의 가능성
| |
| | |
| === 위험 분석 방법론 ===
| |
| ====정량적 분석 방법====
| |
| ;손실액과 같은 숫자값으로 표현
| |
| * 과거자료 분석법 : 과거의 자료를 통한 위험발생 가능성 예측, 과거 데이터 수량에 따른 정확도
| |
| * 수학공식 접근법 : 위협발생빈도를 계산하는 식을 이용하여 위험을 계량화
| |
| * 확률분포법 : 미지의 사건을 확률적으로 편차를 이용하여 최저,보통, 최고 위험평가를 예측
| |
| | |
| ====정성적 분석 방법====
| |
| ;어떠한 위험 상황에 대한 부분을 (매우높음,높음,중간,낮음)등으로 표현
| |
| * 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음
| |
| * 시나리오법 : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음
| |
| * 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음
| |
|
| |
|
| == 위험 관리 == | | == 위험 관리 == |
| ; Risk Management | | ; Risk Management |
| 위험을 인식하고, 적절한 비용 이내에서 필요한 통제 방안을 선택함으로써 위협을 적절히 통제하는 과정 | | 위험을 인식하고, 적절한 비용 이내에서 필요한 통제 방안을 선택함으로써 위협을 적절히 통제하는 과정 |
| | | [[위험관리]] |
| === 과정 ===
| |
| # 위험 관리 계획 수립
| |
| # 위험 식별
| |
| # 정성적 위험 분석 수행
| |
| # 정량적 위험 분석 수행
| |
| # 위험 대응 계획 수립
| |
| # 위험 감시 및 통제
| |
| | |
| ===위험 관리 계획===
| |
| 선택된 통제의 목적과 통제 방안이 무엇인지, 그리고 선택한 이유 등을 문서로 정리한 것
| |
| | |
| === 위험 통제 ===
| |
| * [[위험 감소]]
| |
| * [[위험 회피]]
| |
| * [[위험 전가]]
| |
| * [[위험 수용]]
| |
- Risk
- 부정적인 일이 발생할 수 있는 가능성
위험의 구성요소
자산(Asset) × 취약점(Vulnerability) × 위협(Threat) - 정보보호대책(Safeguard)
위험분석
- Risk Analysis
정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정
위험분석
위험 관리
- Risk Management
위험을 인식하고, 적절한 비용 이내에서 필요한 통제 방안을 선택함으로써 위협을 적절히 통제하는 과정
위험관리
