NIST SP 800-39
더 많은 작업
NIST SP 800-39(Managing Information Security Risk: Organization, Mission, and Information System View)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 조직 차원의 정보보안 위험 관리 지침으로, 조직·업무 프로세스·정보시스템의 3계층에서 위험을 통합적으로 관리하기 위한 거버넌스 체계와 위험 관리 절차를 제시하는 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-39는 정보보안 위험을 개별 정보시스템의 기술적 문제로만 취급하지 않고, 조직의 전략적 목표와 핵심 업무 수행에 영향을 미치는 경영 위험의 일부로 관리하기 위한 지침이다.
정보시스템의 운영과 사용으로 발생하는 위험이 조직의 업무, 자산, 개인, 다른 조직 및 국가에 미치는 영향을 종합적으로 고려하도록 한다.[1]
기존의 정보보안 위험 관리가 개별 시스템의 취약점과 보안 통제에 집중했다면, SP 800-39는 이러한 위험이 조직 전체의 임무와 업무에 어떤 영향을 미치는지 파악하고 경영진의 의사결정에 반영하는 것을 강조한다.
이를 위해 조직의 위험 관리 활동을 세 가지 계층으로 구분하고, 위험 관리 절차를 네 가지 핵심 활동으로 체계화한다.
- 3계층 위험 관리: 조직(Organization), 임무·업무 프로세스(Mission/Business Process), 정보시스템(Information System).
- 4가지 위험 관리 활동: 위험 맥락 설정(Framing), 위험 평가(Assessing), 위험 대응(Responding), 위험 모니터링(Monitoring).
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-39 |
| 문서명 | Managing Information Security Risk: Organization, Mission, and Information System View |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 작성 주체 | Joint Task Force Transformation Initiative |
| 발행일 | 2011년 3월 |
| 주요 분야 | 정보보안 위험 관리, 보안 거버넌스, 조직 위험 관리 |
| 핵심 체계 | 3계층 위험 관리 및 4가지 위험 관리 활동 |
| 공식 문서 | NIST SP 800-39 |
2026년 10월 22일 기준 NIST 공식 간행물 페이지에서 확인되는 최종 발행본은 2011년 3월 발행본이며, 별도의 개정판 번호는 부여되지 않았다.[2]
정보시스템은 조직의 업무 수행을 지원하는 핵심 기반시설이지만, 시스템의 보안 위험을 개별 시스템 단위에서만 평가하면 조직 전체에 미치는 영향을 충분히 파악하기 어렵다.
예를 들어 특정 시스템의 장애가 기술적으로는 제한적인 문제처럼 보이더라도, 해당 시스템이 여러 핵심 업무에 공통적으로 사용된다면 조직 전체의 업무 중단으로 이어질 수 있다.
반대로 개별 시스템의 보안 위험이 높게 평가되더라도 조직의 임무와 업무에 미치는 영향은 상대적으로 작을 수 있다.
NIST는 이러한 문제를 해결하기 위해 정보보안 위험을 조직의 전략적 목표, 업무 프로세스 및 시스템 운영과 연결하는 통합적인 위험 관리 접근법을 제시했다.[1]
SP 800-39는 미국 연방정부의 정보보안 위험 관리체계를 통합하기 위한 Joint Task Force Transformation Initiative의 활동을 통해 개발되었다.
이 작업에는 미국 연방정부의 민간 부문, 국방 부문 및 정보기관 관계자가 참여했다.
문서의 주요 목적은 다음과 같다.
- 경영진이 정보보안 위험 관리의 중요성을 인식하고 적절한 거버넌스 체계를 수립하도록 지원.
- 조직·업무 프로세스·정보시스템의 3계층에서 위험 관리가 일관되게 수행되도록 지원.
- 업무 프로세스와 엔터프라이즈 아키텍처, 시스템 개발 생애주기에 정보보안 위험을 반영.
- 개별 시스템의 위험이 조직 전체의 업무와 전략적 목표에 미치는 영향을 이해하도록 지원.
- 위험 관리 책임과 위험 수용에 관한 의사결정 권한을 명확히 정의.
NIST SP 800-39의 핵심은 다계층 위험 관리(Multitiered Risk Management) 체계이다.
조직의 위험 관리 활동을 세 계층으로 구분하고, 각 계층에서 수행되는 위험 관리 활동을 상호 연계한다.[1]
| 계층 | 구분 | 주요 관리 대상 | 주요 의사결정 |
|---|---|---|---|
| Tier 1 | 조직(Organization) | 조직 전체의 전략, 거버넌스, 위험 관리 정책 | 위험 허용 수준, 투자 우선순위, 조직 전체의 위험 관리 전략 |
| Tier 2 | 임무·업무 프로세스(Mission/Business Process) | 핵심 업무, 업무 프로세스, 공통 기반시설 | 업무별 위험 관리, 정보보호 요구사항, 업무 연속성 |
| Tier 3 | 정보시스템(Information System) | 개별 정보시스템과 운영 환경 | 보안 통제 선정, 시스템 위험 평가, 운영 인가 및 모니터링 |
Tier 1은 조직 전체의 관점에서 정보보안 위험을 관리하는 계층이다.
경영진과 고위 관리자는 조직의 전략적 목표와 업무 특성을 고려하여 위험 관리체계를 수립한다.
주요 활동은 다음과 같다.
- 조직 차원의 정보보안 거버넌스 수립.
- 위험 관리 역할과 책임의 정의.
- 조직 전체의 위험 관리 전략 수립.
- 위험 허용 수준(Risk Tolerance) 결정.
- 위험 관리 정책과 의사결정 기준 수립.
- 보안 투자와 자원 배분의 우선순위 결정.
- 하위 조직과 업무 부문의 위험 관리 활동 감독.
Tier 1에서는 개별 시스템의 취약점보다 조직 전체에 미치는 위험과 이를 관리하기 위한 전략적 의사결정에 초점을 맞춘다.
특히 조직의 위험 관리 전략이 각 부서와 시스템에 일관되게 적용되도록 하는 것이 중요하다.
Tier 2는 조직의 임무와 핵심 업무 프로세스에 영향을 미치는 위험을 관리한다.
업무 책임자는 해당 업무의 중요도, 정보 의존성, 업무 수행에 필요한 시스템과 서비스 등을 고려하여 위험을 평가한다.
주요 활동은 다음과 같다.
- 핵심 업무와 업무 프로세스 식별.
- 업무 수행에 필요한 정보와 시스템의 보호 요구사항 결정.
- 업무 간 의존관계와 공통 기반시설의 위험 분석.
- 업무별 위험 대응 우선순위 결정.
- 업무 프로세스와 정보보안 아키텍처의 연계.
- 시스템 개발 및 운영에 필요한 보안 요구사항 제공.
예를 들어 금융회사의 인터넷뱅킹 업무는 인증 시스템, 계정계 시스템, 네트워크, 데이터베이스 등 여러 정보시스템에 의존한다.
각 시스템의 위험을 개별적으로 평가하는 것만으로는 인터넷뱅킹 업무 전체의 위험을 충분히 파악하기 어렵다.
Tier 2에서는 이러한 시스템 간 의존관계와 업무 영향도를 종합적으로 고려한다.
Tier 3은 개별 정보시스템과 운영 환경의 위험을 관리하는 계층이다.
시스템 소유자, 운영자, 보안 담당자 및 인가 책임자 등이 관련 활동을 수행한다.
주요 활동은 다음과 같다.
- 정보시스템의 보안 요구사항 식별.
- 위협과 취약점 분석.
- 보안 통제 선정 및 구현.
- 보안 통제의 효과 평가.
- 시스템 운영에 따른 위험 수용 여부 판단.
- 시스템 운영 인가.
- 지속적 보안 모니터링.
Tier 3의 활동은 NIST 위험 관리 프레임워크(RMF)와 밀접한 관계가 있다.
개별 시스템의 위험 관리 활동은 상위 계층에서 정의한 위험 관리 전략과 요구사항을 반영해야 한다.
또한 시스템 수준에서 발견된 새로운 위험은 Tier 2와 Tier 1에 전달되어 업무 및 조직 전체의 위험 관리에 반영될 수 있다.
세 계층은 독립적으로 운영되는 별개의 위험 관리체계가 아니다.
조직 수준에서 결정한 위험 관리 전략은 업무 프로세스와 개별 시스템에 영향을 미치며, 시스템 수준에서 확인된 위험은 다시 상위 계층의 의사결정에 영향을 준다.
예를 들어 다음과 같은 정보 흐름이 발생할 수 있다.
- Tier 1에서 조직 전체의 위험 허용 수준과 보안 투자 방향을 결정한다.
- Tier 2에서 핵심 업무의 중요도와 보호 요구사항을 정의한다.
- Tier 3에서 개별 시스템의 위험을 평가하고 보안 통제를 구현한다.
- Tier 3에서 확인된 새로운 취약점이나 사고 가능성을 Tier 2에 전달한다.
- Tier 2는 해당 위험이 업무 수행에 미치는 영향을 분석한다.
- Tier 1은 필요한 경우 조직의 위험 관리 전략과 투자 우선순위를 조정한다.
이처럼 하향식 정책 적용과 상향식 위험 정보 전달을 결합하는 것이 SP 800-39의 주요 특징이다.
NIST SP 800-39는 위험 관리 절차를 다음 네 가지 활동으로 구분한다.
- 위험 맥락 설정(Framing Risk)
- 위험 평가(Assessing Risk)
- 위험 대응(Responding to Risk)
- 위험 모니터링(Monitoring Risk)
이 네 가지 활동은 조직의 위험 관리 과정에서 지속적으로 수행되며, 서로 영향을 주고받는다.[1]
위험 맥락 설정(Risk Framing)은 조직이 위험을 평가하고 대응하기 위한 기본적인 기준과 환경을 정의하는 활동이다.
조직은 위험 관리에 적용할 가정, 제약사항, 위험 허용 수준 및 우선순위를 명확히 해야 한다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 1-1 | 위험 관련 가정(Risk Assumptions) | 위험 평가·대응·모니터링에 영향을 미치는 가정 식별 |
| 1-2 | 위험 관련 제약(Risk Constraints) | 위험 관리 활동에 적용되는 법적·기술적·운영상의 제약 식별 |
| 1-3 | 위험 허용 수준(Risk Tolerance) | 조직이 수용할 수 있는 위험 수준 결정 |
| 1-4 | 우선순위 및 절충(Priorities and Trade-offs) | 위험 관리 과정에서 고려할 우선순위와 상충관계 결정 |
위험 맥락 설정의 결과는 조직의 위험 관리 전략(Risk Management Strategy)을 수립하는 기반이 된다.
위험 관련 가정에는 예상되는 위협, 취약점, 위험 평가 방법, 영향 수준의 판단 기준 등이 포함될 수 있다.
위험 관련 제약에는 법령과 규제, 예산, 기술적 한계, 업무 수행에 필요한 조건 등이 포함될 수 있다.
위험 허용 수준은 조직이 전략적 목표를 달성하는 과정에서 어느 정도의 위험을 받아들일 수 있는지를 나타낸다.
우선순위 및 절충은 제한된 자원을 여러 위험에 배분하거나 보안 수준과 업무 효율성 사이에서 의사결정을 내리는 데 활용한다.
위험 평가(Risk Assessment)는 조직이 직면한 위협과 취약점을 식별하고 위험 수준을 결정하는 활동이다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 2-1 | 위협 및 취약점 식별(Threat and Vulnerability Identification) | 정보시스템과 운영 환경에 존재하는 위협 및 취약점 식별 |
| 2-2 | 위험 결정(Risk Determination) | 위협이 취약점을 악용했을 때 발생할 수 있는 위험 수준 결정 |
위험 평가는 일반적으로 위협 사건의 발생 가능성과 예상되는 영향을 함께 고려한다.
위험의 영향은 시스템 자체에 국한되지 않으며 조직의 업무, 자산, 개인, 다른 조직 및 국가에 미치는 결과를 포함한다.
NIST SP 800-39는 조직 차원의 위험 평가 체계를 제시하지만, 구체적인 위험 평가 방법과 척도는 NIST SP 800-30에서 상세하게 다룬다.[3]
위험 대응(Risk Response)은 평가된 위험에 대해 적절한 조치를 선정하고 실행하는 활동이다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 3-1 | 위험 대응 방안 식별(Risk Response Identification) | 위험에 대응할 수 있는 대안 식별 |
| 3-2 | 대안 평가(Evaluation of Alternatives) | 각 대응 방안의 효과와 비용 및 업무 영향을 평가 |
| 3-3 | 위험 대응 결정(Risk Response Decision) | 적절한 위험 대응 방안 선정 |
| 3-4 | 위험 대응 이행(Risk Response Implementation) | 선정된 대응 방안 실행 |
위험 대응은 기술적인 보안 조치를 추가하는 활동에만 한정되지 않는다.
조직은 위험의 특성과 업무 목적에 따라 위험을 수용하거나, 위험을 발생시키는 활동을 중단하거나, 위험을 완화하거나, 다른 조직과 위험을 공유하거나 이전할 수 있다.
위험 대응 방안의 선정은 조직의 위험 허용 수준과 일치해야 한다.
위험 모니터링(Risk Monitoring)은 위험 요인과 대응 조치의 효과를 지속적으로 확인하는 활동이다.
| 과업 | 명칭 | 주요 내용 |
|---|---|---|
| 4-1 | 위험 모니터링 전략(Risk Monitoring Strategy) | 모니터링 목적, 유형 및 수행 빈도 결정 |
| 4-2 | 위험 모니터링(Risk Monitoring) | 시스템과 운영 환경을 지속적으로 확인하여 준수 여부, 대응 효과 및 변화를 파악 |
위험 모니터링은 다음과 같은 목적을 가진다.
- 조직이 정한 위험 대응 조치의 이행 여부 확인.
- 보안 통제와 위험 대응 조치의 효과 평가.
- 새로운 위협과 취약점의 발견.
- 정보시스템과 운영 환경의 변경사항 식별.
- 기존 위험 수준의 변화 확인.
- 위험 관리 전략과 평가 결과의 갱신에 필요한 정보 제공.
위험 모니터링 결과는 위험 평가와 대응 활동에 다시 반영된다.
따라서 위험 관리는 일회성 평가나 점검이 아니라 지속적으로 반복되는 활동이다.
NIST SP 800-39는 위험 대응을 다섯 가지 기본 유형으로 구분한다.[1]
| 대응 유형 | 영문 | 의미 |
|---|---|---|
| 위험 수용 | Risk Acceptance | 위험을 인식한 상태에서 추가적인 대응 없이 수용 |
| 위험 회피 | Risk Avoidance | 위험을 발생시키는 활동이나 조건을 제거 |
| 위험 완화 | Risk Mitigation | 보안 통제 등을 통해 발생 가능성이나 영향을 감소 |
| 위험 공유 | Risk Sharing | 다른 조직이나 당사자와 위험을 공동으로 부담 |
| 위험 이전 | Risk Transfer | 위험으로 발생하는 손실이나 책임의 일부를 다른 당사자에게 이전 |
위험 수용은 위험을 인식하고 평가한 뒤 조직이 이를 받아들이기로 결정하는 것이다.
위험을 수용한다는 것은 위험이 존재하지 않거나 보안상 문제가 없다는 의미가 아니다.
조직은 위험 수준과 예상 영향을 고려하여 위험 수용 여부를 결정해야 한다.
특히 위험 수용 결정은 조직의 위험 허용 수준과 일치해야 하며, 관련 의사결정 권한과 책임이 명확해야 한다.
위험 회피는 위험을 발생시키는 활동이나 조건 자체를 제거하는 방식이다.
예를 들어 특정 외부 서비스의 이용으로 발생하는 위험을 수용할 수 없다면 해당 서비스를 이용하지 않는 방안을 선택할 수 있다.
위험 회피는 특정 위험을 제거할 수 있지만, 해당 활동으로 얻을 수 있는 업무상의 이익도 포기해야 할 수 있다.
위험 완화는 위험의 발생 가능성이나 영향을 줄이는 방식이다.
대표적인 수단은 다음과 같다.
- 접근통제 강화.
- 취약점 제거 및 보안 패치.
- 네트워크 분리.
- 암호화.
- 보안 모니터링.
- 백업 및 복구체계 구축.
- 시스템의 복원력 강화.
위험 완화 조치를 적용하더라도 모든 위험이 제거되는 것은 아니다.
완화 조치 이후에도 남아 있는 위험을 잔여 위험(Residual Risk)이라고 한다.
위험 공유는 여러 조직이나 당사자가 위험을 공동으로 부담하는 방식이다.
위험 이전은 특정 위험으로 인한 손실이나 책임의 일부를 다른 당사자에게 이전하는 방식이다.
예를 들어 보험이나 계약을 통해 일부 금전적 손실을 이전할 수 있다.
다만 위험을 공유하거나 이전하더라도 조직이 부담하는 모든 위험과 책임이 사라지는 것은 아니다.
특히 외부 서비스 제공업체를 이용하는 경우 계약상 책임의 분담과 실제 보안 위험의 분담을 구분해야 한다.
위험 허용 수준(Risk Tolerance)은 조직이 전략적 목표와 업무 목적을 달성하기 위해 받아들일 수 있는 위험이나 불확실성의 정도를 의미한다.
NIST SP 800-39는 위험 허용 수준을 조직 차원의 위험 관리 전략을 구성하는 핵심 요소로 설명한다.[1]
위험 허용 수준은 다음과 같은 활동에 영향을 미친다.
- 위험 평가의 범위와 상세 수준.
- 보안 통제의 선정과 강화 수준.
- 위험 대응 조치의 우선순위.
- 위험 수용 여부의 결정.
- 시스템 및 서비스의 신뢰성 평가 수준.
- 보안 투자와 자원 배분.
위험 허용 수준이 낮은 조직은 발생 가능성이 낮더라도 영향이 큰 위협에 대해 추가적인 보안 대책을 요구할 수 있다.
반대로 위험 허용 수준이 높은 조직은 업무 효율성이나 기술 도입의 이익을 고려하여 상대적으로 높은 수준의 위험을 수용할 수 있다.
NIST는 모든 조직에 적용할 수 있는 하나의 올바른 위험 허용 수준이 존재한다고 보지 않는다.
조직의 임무, 업무 환경, 문화, 법적 요구사항 및 경영진의 판단에 따라 적절한 수준이 달라질 수 있다.
다만 개별 부서나 시스템의 위험 수용 결정이 조직 전체의 위험 허용 수준을 벗어나서는 안 된다.
NIST SP 800-39는 정보보안 위험 관리의 책임을 기술 담당자에게만 부여하는 접근법에서 벗어나, 경영진의 책임과 조직 전체의 거버넌스를 강조한다.
거버넌스는 조직의 전략적 방향을 설정하고, 위험을 적절하게 관리하며, 자원을 책임 있게 사용하도록 하는 관리체계를 의미한다.
문서의 부록 F는 정보보안 거버넌스를 세 가지 모델로 구분한다.[1]
| 유형 | 특징 | 주요 고려사항 |
|---|---|---|
| 중앙집중형(Centralized) | 중앙 조직이 위험 관리 정책과 주요 의사결정 권한을 보유 | 조직 전체의 일관성을 확보하기 쉽지만 하위 조직의 자율성이 제한될 수 있음 |
| 분산형(Decentralized) | 개별 부서나 하위 조직에 위험 관리 권한을 위임 | 업무 특성을 반영하기 쉽지만 조직 간 위험 관리 수준이 달라질 수 있음 |
| 혼합형(Hybrid) | 중앙 조직과 하위 조직이 위험 관리 권한을 분담 | 공통 정책과 개별 업무의 특성을 함께 고려할 수 있음 |
어떤 모델이 적절한지는 조직의 규모, 업무 특성, 지리적 분포, 조직 문화 및 위험 허용 수준에 따라 달라진다.
중요한 것은 거버넌스 모델의 유형보다 위험 수용에 관한 의사결정 권한과 책임이 명확하게 정의되어 있는지 여부이다.
NIST SP 800-39는 조직 전체의 위험 관리 활동을 조정하기 위한 위험 관리 총괄 기능(Risk Executive Function)을 제시한다.
이는 반드시 하나의 독립적인 직책이나 부서를 의미하지 않는다.
조직의 규모와 구조에 따라 개인, 위원회, 조직 단위 또는 여러 역할의 조합으로 구현할 수 있는 기능적 개념이다.[1]
주요 역할은 다음과 같다.
- 조직 전체의 위험 관리 역할과 책임 조정.
- 위험 관리 전략과 위험 허용 수준의 일관성 확보.
- 조직과 업무 및 시스템 계층의 위험 관리 활동 연계.
- 위험 관련 정보의 수집과 공유.
- 부서 간 위험 관리 의사결정의 충돌 조정.
- 조직 전체에 영향을 미치는 위험의 식별 및 보고.
- 위험 관리 활동의 효과성 감독.
위험 관리 총괄 기능은 경영진, 업무 책임자, 최고정보책임자(CIO), 최고정보보안책임자(CISO), 시스템 소유자, 보안 담당자 및 인가 책임자 등과 협력한다.
특히 여러 부서가 독립적으로 위험을 수용하는 과정에서 조직 전체의 위험 수준이 증가하는 문제를 방지하는 데 중요한 역할을 한다.
NIST SP 800-39의 제2장에서는 위험 관리와 관련하여 신뢰(Trust)와 신뢰성(Trustworthiness)을 구분한다.
신뢰는 특정 대상이 주어진 조건에서 예상 가능한 방식으로 행동할 것이라는 믿음과 관련된다.
신뢰성은 해당 대상이 요구되는 특성과 기능을 실제로 충족할 수 있는 정도와 관련된다.[1]
정보시스템의 위험 관리에서는 기술이나 서비스 제공업체에 대한 신뢰가 위험 수용 결정에 영향을 미친다.
예를 들어 외부 시스템이나 서비스에 조직의 중요 정보를 제공할 때는 해당 서비스의 보안 통제, 운영 절차 및 신뢰성을 고려해야 한다.
신뢰는 다음과 같은 대상과 관련될 수 있다.
- 정보시스템과 소프트웨어.
- 외부 서비스 제공업체.
- 조직 내부의 사용자와 관리자.
- 다른 기관이나 협력업체.
- 시스템 간 정보 교환 관계.
문서는 신뢰를 단순히 기술적 인증의 문제로만 보지 않고, 조직의 거버넌스와 문화, 투명성 및 위험 허용 수준과 연결하여 설명한다.
NIST SP 800-39는 조직 문화(Organizational Culture)가 위험 관리 활동에 영향을 미치는 중요한 요소라고 설명한다.
조직 문화는 구성원의 가치관, 관행, 의사결정 방식 및 위험에 대한 인식에 영향을 준다.
예를 들어 기밀정보를 취급하는 조직은 정보 유출 방지를 특히 중요하게 고려할 수 있으며, 실시간 서비스 제공이 중요한 조직은 시스템의 가용성을 우선할 수 있다.
이러한 차이는 조직의 위험 허용 수준과 보안 투자 방향에 반영될 수 있다.
또한 경영진이 공식적으로 발표한 위험 관리 정책과 실제 조직에서 이루어지는 의사결정이 일치하지 않을 수도 있다.
따라서 위험 관리체계의 효과를 평가할 때는 공식적인 정책뿐 아니라 조직의 실제 의사결정 관행과 책임 체계도 고려해야 한다.
NIST SP 800-39는 본문 3개 장과 8개 부록으로 구성된다.[1]
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 적용 범위 및 관련 간행물 |
| 제2장 | The Fundamentals | 위험 관리의 기본 개념, 3계층 체계, 신뢰 및 조직 문화 |
| 제3장 | The Process | 위험 맥락 설정·평가·대응·모니터링의 4가지 활동 |
| 부록 A | References | 참고문헌 |
| 부록 B | Glossary | 주요 용어 정의 |
| 부록 C | Acronyms | 약어 목록 |
| 부록 D | Roles and Responsibilities | 위험 관리 관련 역할과 책임 |
| 부록 E | Risk Management Process Tasks | 위험 관리 절차의 12개 과업 요약 |
| 부록 F | Governance Models | 중앙집중형·분산형·혼합형 거버넌스 모델 |
| 부록 G | Trust Models | 신뢰 모델과 신뢰성 관련 개념 |
| 부록 H | Risk Response Strategies | 위험 대응 전략과 위험 완화 방안 |
특히 부록 E는 위험 관리 절차를 12개 과업으로 정리하고 있어 조직의 위험 관리체계를 설계하거나 점검할 때 참고할 수 있다.
부록 F부터 H까지는 위험 관리의 조직적·전략적 측면을 구체적으로 설명한다.
NIST SP 800-39는 조직 전체의 정보보안 위험 관리체계를 제시하는 상위 지침이다.
개별 위험 관리 활동의 상세한 수행 방법은 다른 NIST 간행물에서 다룬다.
| 문서 | 주요 내용 | SP 800-39와의 관계 |
|---|---|---|
| NIST SP 800-12 | 정보보안의 기본 원칙 | 정보보안과 위험 관리의 기초 개념 제공 |
| NIST SP 800-30 | 위험 평가 수행 지침 | SP 800-39의 위험 평가 활동을 구체화 |
| NIST SP 800-37 | 위험 관리 프레임워크(RMF) | 조직과 시스템의 위험 관리 절차를 시스템 생애주기에 적용 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 위험 대응에 활용할 수 있는 보안 통제 항목 제공 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | 구현된 보안 통제의 효과를 평가하는 방법 제공 |
| NIST SP 800-137 | 정보보안 지속적 모니터링 | 위험 모니터링 활동을 지원하는 지속적 보안 모니터링 체계 제공 |
NIST SP 800-30은 위험 평가(Risk Assessment)를 수행하는 방법에 집중한다.
위협 원천과 위협 사건, 취약점, 발생 가능성 및 영향을 분석하여 위험 수준을 결정하는 구체적인 절차를 제공한다.
반면 SP 800-39는 위험 평가를 포함한 조직 전체의 위험 관리체계를 다룬다.
따라서 두 문서의 관계는 다음과 같이 구분할 수 있다.
- SP 800-39: 조직 차원에서 위험을 어떻게 관리할 것인가.
- SP 800-30: 위험을 어떻게 식별하고 평가할 것인가.
NIST SP 800-37은 위험 관리 프레임워크(RMF, Risk Management Framework)를 설명한다.
RMF는 정보시스템과 조직의 보안 및 개인정보 보호 위험을 시스템 생애주기 전반에서 관리하기 위한 절차이다.
2018년 발행된 SP 800-37 Revision 2는 다음 일곱 단계로 구성된다.[4]
- 준비(Prepare)
- 분류(Categorize)
- 선정(Select)
- 구현(Implement)
- 평가(Assess)
- 인가(Authorize)
- 모니터링(Monitor)
SP 800-39의 4가지 위험 관리 활동과 SP 800-37의 7단계 RMF는 동일한 절차가 아니다.
SP 800-39는 조직 전체의 위험 관리 거버넌스와 전략을 설명하며, SP 800-37은 이를 정보시스템과 조직의 생애주기 관리에 적용하기 위한 구체적인 절차를 제공한다.
NIST SP 800-39는 정보보안 위험 관리가 조직의 전사적 위험 관리(ERM, Enterprise Risk Management)와 연계되어야 한다고 설명한다.
전사적 위험 관리에는 정보보안 위험 외에도 재무, 법률, 운영, 안전, 투자 및 기타 경영 위험이 포함될 수 있다.
SP 800-39는 이러한 모든 위험을 통합적으로 평가하는 완전한 ERM 방법론을 제공하는 문서는 아니다.
정보시스템의 운영과 사용으로 발생하는 보안 위험을 조직 전체의 위험 관리체계에 반영하기 위한 지침으로 이해해야 한다.
NIST SP 800-39는 미국 연방정부의 정보보안 위험 관리체계를 지원하기 위해 개발되었다.
미국 연방정부의 정보보안 관련 법령과 정책을 배경으로 작성되었지만, 민간기업과 다른 기관에서도 조직 차원의 위험 관리체계를 설계하는 참고자료로 활용할 수 있다.[1]
다만 다음과 같은 한계가 있다.
- 상위 지침: 조직 전체의 위험 관리 원칙과 체계를 제시하며, 모든 위험 평가 및 보안 통제의 상세한 구현 방법을 규정하지 않는다.
- 정보보안 중심: 정보시스템의 운영과 사용에서 발생하는 정보보안 위험을 주요 대상으로 하며, 조직의 모든 경영 위험을 포괄하는 완전한 ERM 체계는 아니다.
- 조직별 재량: 조직의 규모, 업무 특성, 위험 허용 수준에 따라 위험 관리체계의 구체적인 구현 방식이 달라질 수 있다.
- 다른 지침과의 연계: 위험 평가, 보안 통제, 시스템 인가 및 지속적 모니터링에는 관련 NIST 간행물을 함께 활용할 필요가 있다.
- 개정 시점: 2011년에 발행된 문서이므로 이후 개정된 NIST 지침의 용어와 절차가 일부 다를 수 있다.
- 법적 적용: NIST의 특별간행물이라는 사실만으로 모든 민간조직에 일률적인 법적 준수 의무가 발생하는 것은 아니다.
SP 800-39는 특정 보안 솔루션의 도입이나 단일한 위험 평가 방식보다 조직 전체에서 위험을 일관되게 이해하고 관리하는 체계를 강조한다.
따라서 이 문서의 핵심적인 활용 가치는 개별 정보시스템의 보안 위험을 조직의 업무 목표와 경영진의 위험 관리 의사결정에 연결하는 데 있다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 Joint Task Force Transformation Initiative, Managing Information Security Risk: Organization, Mission, and Information System View, NIST Special Publication 800-39, National Institute of Standards and Technology, 2011-03.
- ↑ SP 800-39, Managing Information Security Risk: Organization, Mission, and Information System View, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ Joint Task Force Transformation Initiative, Guide for Conducting Risk Assessments, NIST SP 800-30 Revision 1, National Institute of Standards and Technology, 2012-09.
- ↑ Joint Task Force, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, NIST SP 800-37 Revision 2, National Institute of Standards and Technology, 2018-12-20.