위험평가·통제선정·보증·개선

1. 가장 비싼 보안 도구를 사면 가장 큰 위험이 줄까

한빛 자료처리회사는 계약이 끝난 협력사 계정으로 자료가 조회될 위험을 발견했다. 한쪽은 새 경보 도구를, 다른 쪽은 계약 종료와 계정 회수를 연결하는 절차를 제안한다. 무엇을 먼저 선택할까? 도구 이름을 비교하기 전에 어떤 경로에서 누가 어떤 피해를 입는지 알아야 한다.

이번 절에서는 하나의 위험을 문장으로 만들고 평가 기준, 대응안, 증거와 재판단을 연결한다. 회사·사건·비용·확률·관찰은 교육용 가정이다. 실제 사고 확률이나 모든 조직에 적용되는 공식 위험점수를 제공하는 것은 아니다.

위험에서 증적까지 짧게 되찾기

자산·위험·통제·증적의 위험은 불확실한 사건이 목적에 미칠 가능성과 영향으로 판단한다. 통제는 예방·탐지·대응·복구 조치이고 증적은 그 수행을 뒷받침한다. 앞 절에서 정한 책임자가 이 판단과 후속 조치를 소유한다.

2. 평가와 보증은 서로 다른 질문이다

보안 위험평가·보증은 업무·자산의 해로운 사건을 조건과 근거로 평가하고, 선택한 통제가 의도한 위험을 줄이는지 설계·운영 증거로 확인해 남은 위험을 재판단하는 활동이다.

위험평가는 무엇이 얼마나 문제가 될 수 있는지 의사결정을 돕는다. 보증은 통제에 대한 주장을 믿을 근거가 충분한지 묻는다. 여기서 충분하다는 판단에는 대상·기간·시험 범위가 붙으며 사고가 절대로 없다는 보장은 아니다.

NIST SP 800-30 Rev. 1은 평가의 목적·범위·가정·자료·모형을 정하고 위협·취약점·가능성·영향을 분석하며 결과를 공유·유지하는 방법을 다룬다. 이 절의 척도와 계산은 그 방법을 이해하기 위한 자체 예시이지 NIST가 지정한 산식이 아니다.

3. 위험을 한 문장과 한 경로로 쓴다

평가 범위를 한빛 회사의 고객 접수자료와 이를 조회·반출하는 계정으로 한정한다. 자산은 자료의 비밀과 정확성, 업무목적은 허용된 담당자만 필요한 자료를 처리하는 것이다. 이번에는 계약 종료 후 접근이 남는 경로를 다루며 모든 공격기법을 조사했다고 주장하지 않는다.

위험은 ‘계약 종료 통보와 회수가 늦어 남은 계정·접근수단을 전 작업자나 계정을 얻은 사람이 사용하면 고객자료가 무단 조회·반출되어 고객 피해와 대응비용이 발생할 수 있다’처럼 문장으로 표현한다. 위협 주체, 약점, 사건과 영향을 연결했으므로 무엇을 확인할지도 구체화된다.

아래 SVG는 계약 종료→늦은 통보·누락 자원→잔존 접근→권한 없는 사용→조회·반출과 피해의 가능한 경로를 보여 준다. 사전 목록·회수는 접근이 남는 지점을 예방하고, 사용 기록은 탐지에, 차단·대조는 대응에 쓰인다.

화살표는 가능한 사건 경로이고 실제 사고 발생의 증명은 아니다. 약점은 남은 접근이며 위협은 이를 악용할 수 있는 주체·사건이다. ‘위협: 보안이 나쁨’처럼 원인과 결과를 한 단어로 적으면 통제 위치를 정하기 어렵다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

실제 사고가 발생했다는 그림이 아니라 한빛 회사의 가능한 경로다. 목록 연계·회수는 잔존 접근을 줄이고 탐지는 사용 이후를 확인한다. 통제 위치는 뒤의 대안표에서 비교한다.

4. 등급은 먼저 뜻을 정하고 사용한다

이번 교육용 정성 평가는 가능성을 낮음·중간·높음, 영향을 낮음·중간·높음으로 구분한다. 가능성은 접근 경로의 존재, 필요한 조건과 확인 자료를 종합해 정하고 영향은 노출 대상·권한·업무중단과 피해 범위를 기준으로 정한다. 충분한 자료가 없으면 낮음이 아니라 미확인이라고 남긴다.

표는 이 예제의 우선검토 규칙이며 보편적인 위험행렬이 아니다. 잔존 접근으로 전체 자료 반출이 가능하다는 가정을 확인했다면 높은 영향으로 평가한다. 그러나 사건의 연간 확률이 30%라고 조사한 것은 아니다.

등급을 1·2·3이라고 표시해도 등급 3이 등급 1의 세 배 피해라는 뜻은 아니다. 두 등급을 곱하거나 평균했다고 객관적 손실액이 생기지 않는다. 서로 다른 위험을 같은 점수로 비교할 때도 중대한 의무·피해를 작은 비용으로 상쇄해 사라지게 하지 않는다.

5. 통제는 사건의 어느 부분을 바꿀지 선택한다

한빛 회사는 앞 절의 종료 후 60분 이내 회수라는 내부 기준을 유지한다. 따라서 경보만 추가하고 계약 종료 후 접근을 그대로 두는 안은 그 요구를 충족하지 못한다. 예방·탐지·대응을 연결하되 모든 통제가 같은 사건을 같은 방식으로 줄인다고 보지 않는다.

회피는 위험한 활동을 하지 않는 선택, 감소는 통제로 가능성·영향을 줄이는 선택이다. 계약·보험 등으로 일부 부담을 나누어도 책임과 모든 피해가 사라지지는 않는다. 잔여위험 수용은 권한 있는 책임자가 조건과 근거를 기록하는 결정이며 ‘아무것도 하지 않았다’의 다른 이름이 아니다.

6. 비용 계산도 가정이 바뀌면 결론을 고친다

이번 별도 수치 연습에서는 같은 해에 대표 손실 사건이 최대 한 번 발생하고, 발생 시 손실이 3,000만원이라고 가정한다. 통제 전 발생확률을 연 20%, 통제 후를 연 5%, 연 통제비용을 200만원으로 둔다. 앞의 등급표나 12명 권한회수 기록에서 이 확률을 추정한 것이 아니다.

통제 전 기대손실은 0.20×3,000=600만원/년이다. 통제 후 기대손실은 0.05×3,000=150만원/년이고 비용을 더한 총액은 350만원/년이다. 이 가정에서는 연 250만원만큼 낮다. 기대손실은 장기 평균을 표현하는 계산이지 다음 해에 정확히 그 돈만 잃는다는 예언이 아니다.

곱셈이 뜻하는 평균을 풀어 보자. 동일한 조건의 한 해를 100번 생각하면 20%는 평균적으로 20번의 손실 사건에 해당한다. 사건마다 3,000만원이므로 합계 60,000만원을 100번으로 나누어 한 해에 평균 600만원을 얻는다. 실제 한 해의 손실은 이 단순 가정에서 사건이 없으면 0만원, 있으면 3,000만원이고, 600만원은 그 둘의 확률을 반영한 평균이다. 5%는 소수 0.05로 쓰며 같은 방식으로 평균 손실 150만원을 계산한다. 아래 식의 p는 아직 확정하지 않은 통제 후 연간 발생확률을 뜻한다. 손익 경계에서는 두 총액이 같아야 하므로 600−200=400만원을 먼저 구하고, p×3,000=400에서 p=400/3,000≈0.1333, 백분율로 약 13.33%를 얻는다. 이 경계에서는 절약액이 0이고, 확률이 더 낮을 때만 이 모형의 금액 비교에서 절약이 생긴다.

효과가 불확실하여 통제 후 확률이 5~15%일 수 있다고 바꾸자. 총액은 200+0.05×3,000=350만원부터 200+0.15×3,000=650만원까지다. 상단에서는 통제 전 600만원보다 크므로 ‘무조건 경제적’이라는 결론은 유지되지 않는다.

손익 경계는 200+p×3,000=600에서 p=400/3,000≈13.33%다. p가 이보다 낮을 때 이 단순 모형의 총액이 감소한다. 실제 결정은 효과 근거·불확실성·의무·큰 피해의 한계를 함께 보며, 법적 금지를 기대이익으로 정당화하지 않는다.

7. 설계·구현·운영을 서로 대조한다

통제의 설계가 맞는지, 실제 설치됐는지, 정한 기간 제대로 작동했는지는 별도로 확인한다. 문서·설정·기록을 검토하고 담당자의 설명을 듣고 필요한 동작을 시험하는 방법을 조합할 수 있다. NIST SP 800-171A Rev. 3의 평가 방법은 이러한 검토·면담·시험을 구별하지만 해당 지침의 CUI 평가 결과를 이 가상 회사의 인증으로 옮겨 쓰지는 않는다.

종료 대상 12명 중 11명이 기준 안에 회수됐다는 기록은 91.67%의 기준 내 수행을 보여 준다. 그것만으로 사고 확률이 5%가 됐거나 위험이 91.67% 줄었다고 말할 수 없다. 알려진 미회수·늦은 회수와 목록 완전성부터 확인한다.

8. 잔여위험과 조치 완료를 다시 판단한다

검토 중 애플리케이션 계정은 잠겼지만 이미 발급된 접근수단이 계속 자료를 읽는 반례를 발견했다고 하자. 잠금 화면이 성공했다는 이유로 닫지 않고 영향 자원·사용경로를 확인해 추가 차단과 검증을 요청한다. 문제가 있는 자원과 조치 담당자, 기한과 재시험 항목을 남긴다.

잔여위험은 실제 시행한 통제와 확인 자료를 반영해 평가한다. 통제 후 낮아질 것이라는 계획값과 낮아졌다는 검증 결론은 다르다. 조치가 미완료면 책임자에게 현재 상태와 임시 보호책을 보고하고, 권한 범위를 넘으면 상위 결정권자에게 올린다.

완료 판단에는 수정된 설정뿐 아니라 같은 실패 조건에서 다시 시험한 결과가 필요하다. 새로운 자원·권한·외부업체·중대한 사건이 생기면 기존 판단의 전제도 재검토한다. 한 번 만든 위험표를 날짜만 바꾸어 계속 유효하다고 표시하지 않는다.

근거와 제외 범위

평가 방법은 NIST SP 800-30 Rev. 1 공식 최종판의 NIST SP 800-30 Rev. 1(2012-09-17), §§2.3·3.1~3.4, 특히 Task 1-5의 모형·척도 선택을 대조했다. 검토·면담·시험은 NIST SP 800-171A Rev. 3의 평가 방법 설명을 사용한다. 이 장의 행렬·연간 확률·금액·회사 정책은 자체 교육 가정이다. 실제 보안 진단, 국내 인증 적합성, CUI 적합성, 법률상 수용 가능성을 판정하지 않는다.

자체 10점형 문제

위험평가와 통제 보증의 관계를 설명하고, 권한회수 11/12 성공과 통제 설치만으로 위험 감소를 확정할 수 없는 이유를 제시하시오.

자체 학습 문제다. 정의·확인 방법·수치의 해석 범위를 각각 답한다.

먼저 판단하기: 11/12의 분자와 분모를 말로 쓰고 이 값으로 답할 수 없는 질문을 하나 적는다. 설계·설치·운영 중 어떤 증거가 빠졌는지도 표시한다.

10점 자체 연습의 풀이와 완성 답안

답안 목차

1. 평가와 보증의 역할
2. 통제 증거의 구별
3. 수행률과 위험의 경계

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

11/12는 회수 기준 내 수행 비율이며 사고확률 감소율이 아니다. 설계·구현·운영의 근거를 나누어 확인하고 잔여위험을 다시 판단한다.

10점형 완성 답안

1. 평가와 보증의 역할 위험평가는 자산·업무의 사건 가능성과 영향을 조건·자료로 판단해 대응을 돕는다. 보증은 선택한 통제가 의도대로 작동한다는 주장에 근거가 충분한지 확인하며 절대 무사고를 보장하지 않는다.

2. 통제 증거의 구별 정책과 대상·실패 절차는 설계, 설정과 시험은 구현, 종료 목록·회수시각·예외는 운영 증거다. 검토·면담·시험을 조합하고 실제 접근경로를 확인한다. 설치 화면만으로 기간 전체의 운영을 입증할 수 없다.

3. 수행률과 위험의 경계 11/12는 약 91.67%의 기준 내 회수 비율이지 사고확률 감소율이 아니다. 늦은 회수·누락 자원·기존 접근수단을 확인하고 그 증거로 잔여위험을 재판단한다. 미확인을 0이나 낮은 위험으로 바꾸지 않는다.

자체 25점형 문제

한빛 회사의 계약 종료 후 잔존 접근 위험에 대해 통제 선택과 보증안을 설계하시오. 연간 단일 대표 사건의 통제 전 확률 20%, 사건 손실 3,000만원, 통제비용 200만원, 통제 후 확률 5% 및 불확실 범위 5~15%를 사용하여 경제성·한계·조치 완료 기준을 제시하시오.

확률과 손실은 주어진 모형의 가정이며 실제 사고 자료가 아니다. 위험 경로, 대안, 계산, 증거와 결론을 연결한다.

독립 설계: 통제 전·후 기대손실과 연 통제비용을 따로 적은 다음, 5~15% 범위의 양 끝에서 결론이 유지되는지 확인한다. 공식 채점표가 아닌 자체 연습이다.

25점 자체 연습의 설계 이유와 완성 답안

답안 목차

1. 범위와 위험 경로
2. 대응과 통제 선택
3. 비용과 불확실성
4. 보증 계획
5. 잔여위험과 완료 판정

가능 사건 경로에서는 종료 통보·회수 실패→남은 접근→무단 조회·반출을 읽는다. 통제는 목록 연계·회수에 반출 제한·대조를 함께 연결한다.

비교 축	교육용 값	판정 한계
통제 전 기대손실	600만원/년	연 단일 대표 사건 모형
통제 후 총액 범위	350~650만원/년	연 확률 5~15%; 항상 경제적이라는 결론 불가

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

증거와 반례를 확인한 뒤 추가조치와 같은 실패 조건의 재시험을 수행한다. 계획한 효과와 검증된 효과는 구분하고 권한 있는 책임자가 남은 위험을 판단한다.

25점형 완성 답안

1. 범위와 위험 경로 범위는 고객 접수자료와 조회·반출 계정이다. 계약 종료 통보·회수 지연으로 접근이 남아 권한 없는 사람이 자료를 읽거나 반출하는 경로를 평가한다. 가능성·영향의 기준과 미확인 자료를 먼저 밝힌다.

2. 대응과 통제 선택 경보만으로는 계약 종료 후 접근 회수 요구를 충족하지 못하므로 단독안은 기각한다. 종료 목록 연계와 자원별 회수를 우선 시행하고 반출 권한 제한·사용 대조를 함께 적용한다. 업무 영향과 누락된 자원·기존 접근수단을 확인하며 수용은 위임된 책임자의 결정으로 남긴다.

3. 비용과 불확실성 통제 전 기대손실은 0.20×3,000=600만원/년, 통제 후 총액은 200+0.05×3,000=350만원/년이다. 확률이 5~15%라면 총액은 350~650만원/년으로 바뀌므로 무조건 경제적이라고 결론 내릴 수 없다. 단순 모형의 손익 경계는 약 13.33%이며 의무와 중대한 피해 한계를 금액만으로 상쇄하지 않는다.

4. 보증 계획 설계 문서·구현 설정·기간별 종료 목록과 회수기록을 대조하고 담당자 면담과 접근 차단 시험을 수행한다. 성공만 추려 분모를 줄이지 않고 실패·미확인도 남긴다. 11/12 회수 비율을 사고확률 감소로 해석하지 않는다.

5. 잔여위험과 완료 판정 계정 잠금 뒤에도 접근이 남는 반례가 있으면 자원과 경로를 확인해 추가 차단하고 같은 조건으로 재시험한다. 조치 담당·기한·임시 보호책을 기록하고 권한 있는 책임자가 남은 위험을 판단한다. 계획한 효과를 검증된 효과로 표시하지 않는다.

9. 자기교정과 조건 변경

연간 통제비용만 500만원으로 바꾸면 5% 가정의 총액은 650만원/년이다. 단순 금액 비교는 불리해지지만 필수 통제를 생략해도 된다는 결론은 아니며 다른 대안과 의무를 함께 검토한다.

로그가 없는 종료 대상이 발견되면 미관측을 성공으로 세지 않는다. 대상 목록·기록 완전성을 확인한 뒤 알려진 결과와 미확인을 나눈다.

반출을 막았지만 화면 조회로 민감자료를 볼 수 있다면 위험이 0일까? 아니다. 통제의 지원 범위 밖인 조회·다른 전달 경로를 평가하고 결론을 좁힌다.

한 번에 되찾기

위험을 사건 경로로 쓰고 척도·가정·자료를 밝힌 뒤 통제를 선택한다. 설치와 실제 작동, 수행률과 사고확률을 구별하고 반례·불확실성을 포함해 잔여위험을 판단한다. 다음 절에서는 이미 중단이 발생했을 때 업무를 어느 수준으로 언제 되살릴지 설계한다.

닫고 다시 설명하기: 같은 91.67%라도 “회수 기준 안의 대상”과 “사고가 줄어든 정도”의 분모가 다른 이유를 말한다. 15% 확률에서 650만원이 나오는 과정을 적은 뒤, 금액 비교만으로 필수 통제를 생략하지 않는 이유를 비용과 한계에서 확인한다.