NIST SP 800-30
더 많은 작업
NIST SP 800-30(Guide for Conducting Risk Assessments)은 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행하는 정보보안 위험 평가 지침으로, 조직과 정보시스템에 대한 위협·취약점·발생 가능성·영향을 분석하여 위험 수준을 결정하는 방법과 절차를 제시하는 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-30은 정보시스템의 운영과 사용으로 발생할 수 있는 위험을 체계적으로 식별하고 평가하기 위한 지침이다. 조직의 임무와 업무, 정보자산, 개인, 다른 조직 및 국가에 발생할 수 있는 부정적인 영향을 평가 대상으로 한다.[1]
위험 평가는 조직의 위험 관리 활동을 구성하는 핵심 요소이다. 평가 결과는 경영진과 위험 관리 책임자가 위험 대응 방안을 결정하고 보안 투자 및 통제의 우선순위를 정하는 데 활용한다.
이 문서는 단순히 기술적 취약점을 찾아내거나 위험 점수를 산출하는 데 목적을 두지 않는다. 위협 사건이 실제로 발생하여 조직에 피해를 줄 가능성과 예상되는 영향을 분석하고, 그 결과를 조직의 의사결정에 활용하는 데 초점을 맞춘다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-30 |
| 문서명 | Guide for Conducting Risk Assessments |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 최초 발행 | 2002년 7월 |
| 현행 최종 발행본 | Revision 1 |
| 개정판 발행일 | 2012년 9월 17일 |
| 주요 분야 | 정보보안 위험 평가, 위협 분석, 취약점 분석, 위험 산정 |
| 관련 지침 | NIST SP 800-39, NIST SP 800-37 |
| 공식 문서 | NIST SP 800-30 Rev. 1 |
2026년 10월 22일 기준 NIST 공식 간행물 페이지에서 확인되는 최종 발행본은 2012년 9월의 Revision 1이다.[2]
NIST SP 800-30은 2002년 7월 Risk Management Guide for Information Technology Systems라는 제목으로 처음 발행되었다.
초판은 Gary Stoneburner, Alice Goguen, Alexis Feringa가 작성했으며, 정보기술 시스템의 위험을 평가하고 이를 관리하기 위한 실무 절차를 제시했다.
당시 문서는 위험 관리 전반을 다루었으며, 위험 평가와 위험 완화, 평가 및 검토를 포함하는 접근법을 설명했다.[3]
2012년 9월 17일 Revision 1이 발행되면서 문서명이 Guide for Conducting Risk Assessments로 변경되었다.
개정판에서는 조직 전체의 위험 관리 체계를 NIST SP 800-39에서 다루도록 역할을 구분하고, SP 800-30은 그중 위험 평가(Risk Assessment)에 집중하도록 범위를 조정했다.
주요 변화는 다음과 같다.
- 위험 관리 전반에서 위험 평가 수행 방법으로 문서의 초점 변경.
- 조직·업무 프로세스·정보시스템의 3계층 위험 평가 체계 적용.
- 위협 원천과 위협 사건의 구분.
- 취약점과 위험을 증가시키는 선행 조건의 구분.
- 발생 가능성과 영향의 분석 방법 구체화.
- 위험 평가의 준비·수행·전달·유지 절차 제시.
- 위험 평가를 위한 참고 척도, 표 및 보고서 구성 예시 제공.
개정판은 미국 연방정부의 민간·국방·정보 분야 관계자가 참여한 Joint Task Force Transformation Initiative를 통해 작성되었다.[1]
위험 평가(Risk Assessment)는 조직이 직면한 위험을 식별하고, 발생 가능성과 예상 영향을 분석하여 위험 수준을 판단하는 활동이다.
위험 관리(Risk Management)는 위험 평가를 포함하여 위험 관리의 맥락 설정, 대응 및 모니터링까지 포괄하는 상위 활동이다.
NIST SP 800-30은 NIST SP 800-39에서 설명하는 다음 네 가지 위험 관리 활동 가운데 위험 평가를 구체화한다.
- 위험 맥락 설정(Framing Risk): 위험을 평가하고 관리하기 위한 기준, 가정, 제약 및 전략 수립.
- 위험 평가(Assessing Risk): 위협, 취약점, 발생 가능성 및 영향을 분석하여 위험 수준 결정.
- 위험 대응(Responding to Risk): 위험 평가 결과에 따라 적절한 대응 방안 선정.
- 위험 모니터링(Monitoring Risk): 위험 요인과 대응 결과의 변화를 지속적으로 확인.
위험 평가는 다른 위험 관리 활동에 필요한 정보를 제공한다. 위험 평가 결과 자체가 위험 대응의 최종 결정을 의미하지는 않는다.[1]
NIST SP 800-30은 위험을 평가할 때 고려해야 할 요소를 위험 모델(Risk Model)로 설명한다.
주요 요소는 다음과 같다.
| 요소 | 영문 | 의미 |
|---|---|---|
| 위협 원천 | Threat Source | 위협 사건을 발생시킬 수 있는 행위자 또는 상황 |
| 위협 사건 | Threat Event | 조직에 부정적인 영향을 줄 가능성이 있는 사건이나 상황 |
| 취약점 | Vulnerability | 위협에 의해 악용될 수 있는 시스템이나 관리체계의 약점 |
| 선행 조건 | Predisposing Condition | 위험 발생 가능성이나 피해 수준에 영향을 미치는 기존 조건 |
| 발생 가능성 | Likelihood | 위협 사건이 발생하고 부정적인 영향을 초래할 가능성 |
| 영향 | Impact | 위협 사건으로 인해 조직 등에 발생할 수 있는 피해 |
| 위험 | Risk | 발생 가능성과 영향을 고려하여 결정한 위험 수준 |
위험은 일반적으로 발생 가능성과 영향의 조합으로 평가한다.
다만 모든 위험을 하나의 단순한 수식으로 계산해야 하는 것은 아니다. 조직은 평가 목적과 정보의 특성에 따라 정성적·준정량적·정량적 분석 방법을 선택할 수 있다.
위협 원천(Threat Source)은 위협을 발생시킬 수 있는 주체 또는 상황이며, 위협 사건(Threat Event)은 실제로 발생할 수 있는 행위나 사건을 의미한다.
예를 들어 공격자는 위협 원천이고, 해당 공격자가 시스템에 무단으로 접근하려는 행위는 위협 사건이다.
NIST는 위협 원천을 크게 적대적 위협과 비적대적 위협으로 구분한다.
- 적대적 위협(Adversarial Threat): 공격 의도를 가진 개인이나 집단, 내부자, 범죄조직, 국가 차원의 공격자 등이 발생시키는 위협.
- 비적대적 위협(Non-Adversarial Threat): 자연재해, 사람의 실수, 장비 고장, 구조적 결함 등 악의적인 의도 없이 발생하는 위협.
적대적 위협을 평가할 때는 공격자의 능력(Capability), 의도(Intent), 표적 선정(Targeting) 특성 등을 고려한다.
비적대적 위협은 사건의 발생 특성과 예상되는 영향 범위 등을 고려하여 평가한다.
취약점(Vulnerability)은 위협 원천에 의해 악용될 수 있는 시스템, 보안 절차, 내부통제 또는 구현상의 약점이다.
예를 들어 다음과 같은 사항이 취약점에 해당할 수 있다.
- 알려진 보안 취약점이 존재하는 소프트웨어.
- 부적절한 접근통제 설정.
- 안전하지 않은 시스템 구성.
- 불충분한 사용자 권한 관리.
- 보안 정책 또는 운영 절차의 결함.
선행 조건(Predisposing Condition)은 위협 사건이 부정적인 영향을 초래할 가능성에 영향을 주는 기존 조건이다.
예를 들어 시스템이 외부 네트워크에 노출되어 있는 정도, 물리적 위치, 다른 시스템과의 의존관계, 운영 환경의 특성 등이 위험에 영향을 줄 수 있다.
선행 조건이 반드시 보안 결함을 의미하는 것은 아니다. 정상적인 업무 환경이나 시스템 구조도 특정 위협에 대한 노출과 피해 가능성을 증가시킬 수 있다.
NIST SP 800-30은 취약점과 선행 조건을 함께 고려하여 위험을 평가하도록 한다.[1]
NIST SP 800-30은 위험 평가를 조직의 세 가지 계층에서 수행할 수 있도록 구성한다.
이는 NIST SP 800-39의 위험 관리 계층과 대응한다.
| 계층 | 평가 대상 | 주요 내용 |
|---|---|---|
| Tier 1 | 조직(Organization) | 조직 전체의 보안 거버넌스, 정책, 위험 관리 전략 및 조직 차원의 위험 |
| Tier 2 | 임무·업무 프로세스(Mission/Business Process) | 핵심 업무, 업무 간 의존관계, 공통 기반시설 및 업무 수행에 영향을 미치는 위험 |
| Tier 3 | 정보시스템(Information System) | 개별 정보시스템의 위협, 취약점, 보안 통제 및 운영 위험 |
조직 전체의 목표와 운영에 영향을 미치는 위험을 평가한다.
주요 평가 대상은 다음과 같다.
- 조직의 보안 거버넌스 및 관리체계.
- 조직 전체에 적용되는 보안 정책.
- 조직의 위험 관리 전략.
- 공통적으로 발생할 수 있는 보안 위험.
- 외부 조직 및 서비스 제공업체와의 의존관계.
조직 수준의 평가 결과는 경영진의 위험 관리 의사결정과 보안 투자 방향에 영향을 준다.
조직의 임무와 핵심 업무 프로세스에 영향을 미치는 위험을 평가한다.
개별 시스템의 기술적 결함뿐 아니라 업무 간 의존관계와 공통 서비스의 장애가 업무에 미치는 영향 등을 고려한다.
예를 들어 여러 업무시스템이 하나의 인증 서비스에 의존하는 경우, 인증 서비스의 장애가 개별 업무에 미치는 영향을 함께 평가할 수 있다.
개별 정보시스템의 운영과 사용으로 발생할 수 있는 위험을 평가한다.
주요 평가 대상은 다음과 같다.
- 시스템의 보안 취약점.
- 외부 및 내부 위협.
- 시스템 구성과 운영 환경.
- 적용된 보안 통제.
- 정보의 기밀성·무결성·가용성에 대한 영향.
이 계층의 위험 평가는 NIST SP 800-37의 위험 관리 프레임워크(RMF)와 밀접하게 연계된다.
세 계층의 위험 평가는 서로 독립적으로만 수행되는 것이 아니라 평가 정보와 결과를 공유하여 조직 전체의 위험 관리에 활용할 수 있다.[1]
NIST SP 800-30 Revision 1의 제3장은 위험 평가 절차를 네 단계로 구성한다.
- 준비(Prepare for Risk Assessment)
- 수행(Conduct Risk Assessment)
- 결과 전달 및 공유(Communicate and Share Risk Assessment Results)
- 평가 유지(Maintain Risk Assessment)
각 단계에는 구체적인 수행 과업(Task)이 정의되어 있으며, 전체 15개 과업으로 구성된다.[1]
위험 평가를 수행하기 전에 평가의 목적, 범위, 가정, 정보 출처 및 분석 방법을 결정한다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 1-1 | 목적 식별(Identify Purpose) | 평가 결과로 지원하려는 의사결정과 필요한 정보 정의 |
| 1-2 | 범위 식별(Identify Scope) | 조직, 업무, 시스템, 평가 기간 및 기술적 범위 결정 |
| 1-3 | 가정과 제약 식별(Identify Assumptions and Constraints) | 평가에 적용할 가정과 제약사항 명시 |
| 1-4 | 정보 출처 식별(Identify Information Sources) | 위협, 취약점, 영향 등에 관한 정보 출처 결정 |
| 1-5 | 위험 모델과 분석 접근법 식별(Identify Risk Model and Analytic Approach) | 위험 요인과 평가 척도 및 분석 방법 결정 |
위험 평가의 목적과 범위가 불명확하면 평가 결과가 실제 의사결정에 필요한 정보를 제공하지 못할 수 있다.
따라서 평가를 시작하기 전에 평가 대상과 활용 목적을 명확히 정의하는 것이 중요하다.
위협 원천과 위협 사건을 식별하고, 취약점과 선행 조건을 분석하여 발생 가능성 및 영향을 평가한다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 2-1 | 위협 원천 식별(Identify Threat Sources) | 위협 원천과 적대적·비적대적 특성 분석 |
| 2-2 | 위협 사건 식별(Identify Threat Events) | 발생 가능한 위협 사건과 관련 위협 원천 식별 |
| 2-3 | 취약점과 선행 조건 식별(Identify Vulnerabilities and Predisposing Conditions) | 위협 사건이 피해로 이어질 가능성에 영향을 미치는 조건 분석 |
| 2-4 | 발생 가능성 결정(Determine Likelihood) | 위협 사건이 부정적인 영향을 초래할 가능성 평가 |
| 2-5 | 영향 결정(Determine Impact) | 위협 사건으로 발생할 수 있는 피해 수준 평가 |
| 2-6 | 위험 결정(Determine Risk) | 발생 가능성과 영향을 종합하여 위험 수준 결정 |
위험 평가에서는 현재 적용된 보안 통제와 예정된 대응 조치가 위험에 미치는 영향도 고려한다.
또한 평가 과정에서 사용한 가정, 정보의 불확실성, 평가자의 판단 근거 등을 기록할 수 있도록 한다.
위험 평가 결과를 조직의 의사결정자에게 전달하고, 관련 위험 관리 활동에서 활용할 수 있도록 정보를 공유한다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 3-1 | 위험 평가 결과 전달(Communicate Risk Assessment Results) | 의사결정자가 위험 대응 방안을 결정할 수 있도록 평가 결과 전달 |
| 3-2 | 위험 관련 정보 공유(Share Risk-Related Information) | 평가 과정에서 수집·분석한 정보를 관련 조직 및 담당자와 공유 |
평가 결과에는 식별된 위험뿐 아니라 위험 수준을 판단한 근거와 평가의 불확실성도 포함할 수 있다.
이 단계의 목적은 단순히 평가 보고서를 작성하는 것이 아니라, 위험 평가 결과가 실제 위험 관리 의사결정에 활용되도록 하는 것이다.
위험 평가는 특정 시점의 정보와 조건을 바탕으로 수행되므로 시간이 지나면 결과의 유효성이 달라질 수 있다.
NIST는 위험 요인을 지속적으로 모니터링하고 평가 결과를 갱신하도록 한다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 4-1 | 위험 요인 모니터링(Monitor Risk Factors) | 위험 수준에 영향을 미치는 위협, 취약점 및 환경 변화 확인 |
| 4-2 | 위험 평가 갱신(Update Risk Assessment) | 모니터링 결과를 반영하여 기존 평가 결과 갱신 |
새로운 취약점의 발견, 시스템 구성 변경, 업무 환경 변화, 보안 사고 발생 등은 위험 평가를 갱신해야 할 사유가 될 수 있다.
평가 주기와 갱신 범위는 조직의 위험 관리 전략과 운영 환경에 따라 결정할 수 있다.
발생 가능성(Likelihood)은 위협 사건이 발생하고 조직에 부정적인 영향을 초래할 가능성을 의미한다.
NIST SP 800-30은 위협 사건의 발생 자체와 해당 사건이 실제 피해로 이어지는 과정을 구분하여 고려한다.
적대적 위협의 경우 다음과 같은 요소가 평가에 영향을 준다.
- 공격자의 능력과 의도.
- 조직이나 시스템이 공격 대상이 될 가능성.
- 공격자가 활용할 수 있는 취약점.
- 기존 보안 통제와 대응 수단.
- 공격이 성공하여 실제 피해로 이어질 가능성.
비적대적 위협은 사건의 발생 가능성과 해당 사건이 조직에 부정적인 영향을 초래할 가능성을 고려한다.
영향(Impact)은 위협 사건으로 발생할 수 있는 부정적인 결과의 규모를 의미한다.
NIST는 다음과 같은 대상에 대한 영향을 고려한다.
- 조직 운영: 핵심 업무 중단, 임무 수행 차질, 조직의 이미지 및 평판 훼손.
- 조직 자산: 정보, 시스템, 장비 및 기타 자산의 손상.
- 개인: 개인정보 침해, 개인의 권리와 이익에 대한 피해.
- 다른 조직: 연결된 기관이나 거래 상대방에 대한 피해.
- 국가: 국가적 차원의 안전과 이익에 대한 부정적인 영향.
영향의 크기는 단순한 금전적 손실만으로 결정되지 않는다.
업무 중단의 심각성, 정보 유출의 범위, 복구에 필요한 자원, 조직의 신뢰도에 대한 영향 등을 종합적으로 고려할 수 있다.
위험 수준은 일반적으로 발생 가능성과 영향의 조합을 바탕으로 결정한다.
NIST SP 800-30은 위험 수준을 표현하기 위한 예시 척도로 다음과 같은 구분을 제시한다.
- Very Low: 매우 낮음
- Low: 낮음
- Moderate: 보통
- High: 높음
- Very High: 매우 높음
조직은 이러한 척도를 그대로 사용하거나 평가 목적에 맞게 조정할 수 있다.
문서에서 제시하는 평가표와 척도는 활용 가능한 예시이며, 모든 조직에 동일한 산정 공식이나 평가표를 강제하지 않는다.
NIST SP 800-30은 위험 평가에 다양한 분석 접근법을 사용할 수 있도록 한다.
| 방법 | 특징 | 결과 표현 |
|---|---|---|
| 정성적 분석(Qualitative) | 전문가 판단과 서술적 기준을 이용하여 위험 평가 | 높음·보통·낮음 등 |
| 준정량적 분석(Semi-Quantitative) | 정성적 판단에 수치형 척도를 부여하여 위험 비교 | 등급별 점수 및 순위 |
| 정량적 분석(Quantitative) | 수치 데이터와 수학적 분석을 활용하여 위험 평가 | 확률, 금전적 손실 등 수치 |
정량적 분석은 수치 데이터를 활용하지만, 수치로 표현했다는 사실만으로 평가 결과의 정확성이 보장되는 것은 아니다.
위협의 발생 가능성과 영향을 신뢰할 수 있는 수치로 추정하기 어려운 경우도 있으므로, 평가 방법은 이용 가능한 정보와 평가 목적을 고려하여 선택해야 한다.
위험 평가 결과는 조직의 다양한 보안 관리 활동에 활용된다.
- 보안 통제 선정: 식별된 위험을 고려하여 필요한 보안 통제를 선정하거나 조정.
- 위험 대응 우선순위 결정: 위험 수준과 조직의 목표를 고려하여 대응 순서 결정.
- 시스템 운영 인가: 정보시스템 운영에 따른 위험 수용 여부를 판단하는 데 필요한 정보 제공.
- 보안 투자 결정: 보안 예산과 자원을 배분하기 위한 근거 제공.
- 시스템 변경 관리: 새로운 기술이나 시스템 변경이 위험 수준에 미치는 영향 평가.
- 지속적 모니터링: 기존 위험의 변화와 새로운 위험의 발생 여부 확인.
위험 평가 결과가 반드시 특정 보안 조치의 시행을 의미하지는 않는다.
실제 대응 방안은 조직의 위험 수용 기준, 업무 목적, 자원 및 관련 요구사항 등을 고려하여 결정한다.[1]
NIST SP 800-30의 부록 K는 위험 평가 결과를 전달하기 위한 보고서 구성 예시를 제시한다.
보고서는 일반적으로 다음과 같은 내용을 포함할 수 있다.
- 위험 평가 수행일.
- 평가 목적과 범위.
- 최초 평가 또는 후속 평가 여부.
- 전체 위험 수준.
- 위험 수준별 식별 건수.
- 평가에 적용한 가정과 제약.
- 위험 모델과 분석 방법.
- 주요 위협 원천과 위협 사건.
- 취약점과 선행 조건.
- 발생 가능성과 영향의 평가 결과.
- 위험 수준과 판단 근거.
- 평가 결과의 불확실성.
- 평가 결과가 유효한 기간.
- 평가에 사용한 정보 출처.
- 평가 수행자 및 관련 담당자.
- 위험 평가의 상세 결과.
- 평가 결과를 뒷받침하는 자료.
NIST가 제시한 보고서 구성은 예시이며, 모든 조직이 동일한 보고서 양식을 사용해야 하는 것은 아니다.
조직 수준의 평가 결과는 경영진 보고자료나 대시보드 형태로 제공할 수 있으며, 시스템 수준의 평가는 보다 상세한 위험 평가 보고서로 작성할 수 있다.
NIST SP 800-30 Revision 1에는 위험 평가의 수행을 지원하는 12개 부록이 포함되어 있다.[1]
| 부록 | 제목 | 주요 내용 |
|---|---|---|
| A | References | 참고문헌 |
| B | Glossary | 주요 용어 정의 |
| C | Acronyms | 약어 목록 |
| D | Threat Sources | 위협 원천의 분류와 평가 |
| E | Threat Events | 위협 사건의 식별과 평가 |
| F | Vulnerabilities and Predisposing Conditions | 취약점 및 선행 조건의 식별과 평가 |
| G | Likelihood of Occurrence | 발생 가능성 평가 |
| H | Impact | 영향 평가 |
| I | Risk Determination | 위험 수준 결정 |
| J | Informing Risk Response | 위험 대응 의사결정을 지원하는 정보 |
| K | Risk Assessment Reports | 위험 평가 보고서 구성 |
| L | Summary of Tasks | 위험 평가 과업 요약 |
부록 D부터 I까지는 위험 요인별 평가 척도와 결과 기록에 활용할 수 있는 표를 제공한다.
부록 L은 본문에서 설명한 위험 평가 절차를 과업 단위로 정리하여 실제 평가 수행 시 참고할 수 있도록 한다.
NIST SP 800-30은 위험 평가 수행 방법을 설명하는 문서이며, 조직 전체의 위험 관리체계나 개별 보안 통제의 상세 요구사항을 모두 규정하지 않는다.
| 문서 | 주요 내용 | SP 800-30과의 관계 |
|---|---|---|
| NIST SP 800-39 | 조직 전체의 정보보안 위험 관리 | 위험 평가가 수행되는 상위 위험 관리체계 설명 |
| NIST SP 800-37 | 위험 관리 프레임워크(RMF) | 시스템 생애주기에서 위험 평가 결과를 활용하는 절차 제공 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 위험 평가 결과를 고려하여 선정할 수 있는 보안 통제 항목 제공 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | 보안 통제의 구현 상태와 효과를 평가하는 방법 제공 |
| NIST SP 800-137 | 정보보안 지속적 모니터링 | 위험 요인의 변화와 보안 상태를 지속적으로 확인하는 활동 지원 |
특히 SP 800-30과 SP 800-37은 서로 다른 목적을 가진다.
SP 800-30은 위험을 어떻게 식별하고 분석할 것인지에 초점을 맞추며, SP 800-37은 시스템 생애주기에 걸쳐 보안 및 개인정보 보호 위험을 관리하는 절차를 제공한다.
SP 800-30의 위험 평가 절차와 SP 800-37의 RMF 단계는 동일한 단계 체계가 아니다.
NIST SP 800-30은 미국 연방정부의 정보시스템과 조직을 대상으로 작성되었지만, 민간기업과 다른 기관에서도 위험 평가 방법론으로 활용할 수 있다.
다만 문서는 조직의 위험 평가 방법을 일률적으로 강제하지 않는다.
NIST는 위험 평가의 형식성, 상세 수준, 분석 방법, 도구, 결과 보고 방식 등에 대해 조직이 상당한 재량을 가질 수 있도록 한다.[1]
위험 평가 결과를 활용할 때는 다음 사항을 고려해야 한다.
- 평가 범위: 평가 범위에서 제외된 시스템이나 업무의 위험은 결과에 충분히 반영되지 않을 수 있다.
- 정보의 신뢰성: 위협 정보와 취약점 정보의 정확도 및 최신성이 평가 결과에 영향을 준다.
- 불확실성: 위협 발생 가능성과 예상 영향을 정확하게 추정하기 어려울 수 있다.
- 평가자의 판단: 평가자의 전문성과 분석 방법에 따라 결과가 달라질 수 있다.
- 환경 변화: 시스템 구성이나 위협 환경이 변하면 기존 평가 결과의 유효성이 달라질 수 있다.
- 위험 평가와 위험 대응의 구분: 위험 수준을 결정하는 활동과 실제 위험 대응을 승인하고 이행하는 활동은 구분된다.
따라서 위험 평가 결과는 절대적으로 정확한 측정값이라기보다, 이용 가능한 정보와 명시된 가정에 근거하여 위험 관리 의사결정을 지원하는 자료로 이해해야 한다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8 Joint Task Force Transformation Initiative, Guide for Conducting Risk Assessments, NIST Special Publication 800-30 Revision 1, National Institute of Standards and Technology, 2012-09-17.
- ↑ SP 800-30 Rev. 1, Guide for Conducting Risk Assessments, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ Gary Stoneburner, Alice Goguen, Alexis Feringa, Risk Management Guide for Information Technology Systems, NIST Special Publication 800-30, National Institute of Standards and Technology, 2002-07.