위험분석
IT위키
더 많은 작업
- Risk Analysis
- 정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정
- Baseline approach
- 국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리
- 장점: 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
- 단점: 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성
- Informal Approach
- 구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행
- 장점: 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
- 단점: 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재
- Detailed Risk Analysis
- 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가
- 장점: 조직 내 적절한 보안수준 마련 가능
- 단점: 전문적인 지식이 필요하고 시간과 비용을 많이 소모
- Combined Approach
- 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용
- 장점: 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능
- 단점: 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음
- 손실액과 같은 숫자값으로 표현
- 객관적인 평가기준이 적용된다.
- 비용과 이익에 대한 평가가 필수적으로 요구된다.
- 장점
- 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다.
- 단점
- 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다.
- 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.
- 종류 및 지표
- 민감도 분석, 금전적 기대값 분석, 몬테카를로 시뮬레이션, 의사결정 나무 분석, 과거자료 분석법, 수학공식 접근법, 확률분포법 등
- 정량적 위험분석 문서 보기
- 어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현
- 일반적인 위험분석 요구사항과 절차(자산 식별, 위협·취약성 평가, 손실 계산, 대책 선정)를 소프트웨어로 자동화한 도구
- 사람이 손으로 하는 분석에 비해 시간과 비용을 줄일 수 있다. 반복되는 손실 계산을 빠르게 하고, 한 번 넣은 자산·위협 정보를 다시 쓸 수 있다
- 결과는 입력값에 전적으로 의존한다. 자산 가치나 위협 발생 빈도를 정확히 넣지 않으면 잘못된 결과가 나온다(GIGO, Garbage In Garbage Out)
- 그래서 도구를 쓴다고 오차가 줄어 신뢰도가 높아지는 것은 아니다. 도구가 잘못된 입력을 바로잡아 주지 않으며, 도구에 담긴 모델과 기준 값에 맞지 않는 조직에서는 오히려 오차가 커질 수 있다. 신뢰도는 입력의 정확성과 도구(벤더)의 품질에 좌우된다
- 주로 정량적 위험분석의 계산(SLE·ALE 등)을 돕는다