위험 평가는 어떻게 하나: 자산에서 우선순위까지
모든 것을 다 지킬 수 없다는 전제에서 출발해, 무엇을 먼저 지킬지 정하는 절차로서의 위험 평가를 설명합니다.
위험 평가는 겁주기가 아니라 순서 정하기
위험 평가라는 말을 처음 들으면 조직에 존재하는 모든 위험을 빠짐없이 찾아내는 작업처럼 느껴집니다. 실제 목적은 조금 다릅니다. 예산과 인력과 시간이 한정되어 있다는 전제에서, 무엇을 먼저 손대야 하는지 근거 있는 순서를 만드는 일입니다. 그래서 평가 결과물의 핵심은 위험 목록 자체가 아니라 그 목록에 매겨진 우선순위입니다.
이 관점을 잡아 두면 보고의 성격도 달라집니다. 위험이 몇 건 발견됐다는 보고는 듣는 사람을 불안하게만 만들지만, 어떤 자산의 어떤 위험이 왜 가장 시급하고 그 다음은 무엇인지를 제시하는 보고는 의사결정을 가능하게 합니다. 위험 평가는 결국 조직이 자원을 어디에 쓸지 정하기 위한 언어라고 이해하는 편이 정확합니다.
출발점은 자산 식별
평가의 첫 단계는 무엇을 지킬 대상으로 볼 것인지 정하는 자산 식별입니다. 서버와 네트워크 장비 같은 하드웨어만 자산인 것은 아닙니다. 애플리케이션과 데이터베이스, 그 안에 담긴 정보, 문서와 소스코드, 그리고 특정 업무를 아는 사람과 외부 위탁 서비스까지 대상이 됩니다. 목록에 없는 자산은 위험 평가에도 대책에도 끝내 등장하지 못합니다.
자산 목록을 만들 때는 이름을 적는 것보다 두 가지를 함께 적는 것이 훨씬 중요합니다. 하나는 담당자이고, 다른 하나는 그 자산의 중요도입니다. 중요도는 흔히 기밀성·무결성·가용성 세 관점에서 각각 판단합니다. 어떤 자산은 유출되면 치명적이지만 잠깐 멈춰도 견딜 만하고, 어떤 자산은 정보 자체는 공개되어도 무방하지만 멈추면 서비스 전체가 서는 식으로 성격이 다르기 때문입니다.
위험 수준을 매기는 두 가지 사고방식
자산이 정리되면 각 자산에 어떤 위협이 있고 어떤 취약점이 그 위협을 현실로 만드는지를 연결합니다. 위험은 대체로 위협의 발생 가능성과 그로 인한 영향의 조합으로 표현되며, 여기에 취약점의 정도가 곱해지는 형태로 설명하기도 합니다. 표현 방식은 조직마다 다르지만 취지는 같습니다. 서로 다른 위험을 같은 잣대 위에 올려 비교할 수 있게 만드는 것입니다.
잣대를 만드는 방법은 크게 두 갈래입니다. 정성적 방식은 가능성과 영향을 상·중·하 같은 등급으로 나눠 조합표에서 위험 수준을 읽습니다. 빠르고 합의하기 쉬운 대신 등급의 경계가 주관에 좌우됩니다. 정량적 방식은 손실 금액과 발생 빈도를 수치로 추정해 계산합니다. 논리는 명확하지만 입력값 자체가 추정이라 정밀해 보이는 결과가 오히려 과신을 부르기도 합니다. 실무에서는 정성적 평가를 기본으로 하고 핵심 자산에만 정량적 근거를 덧붙이는 절충이 흔합니다.
평가 다음에 오는 네 갈래 선택
위험 수준이 정해지면 각 위험에 대해 어떻게 할지를 결정합니다. 선택지는 보통 네 가지로 정리됩니다. 통제를 적용해 위험을 낮추는 감소, 해당 활동이나 기능 자체를 하지 않는 회피, 보험이나 계약을 통해 일부를 외부로 넘기는 전가, 그리고 현재 수준을 그대로 안고 가는 수용입니다.
여기서 오해가 잦은 것이 수용입니다. 수용은 방치가 아니라 결정입니다. 누가 어떤 근거로 이 위험을 안고 가기로 했는지, 그리고 어떤 조건이 되면 다시 검토할지를 남겨야 비로소 수용입니다. 기록 없이 넘어간 위험은 나중에 문제가 생겼을 때 판단의 근거를 아무도 설명하지 못하는 상태가 됩니다. 감소를 택한 경우에도 마찬가지로, 어떤 대책을 언제까지 누가 이행하는지가 함께 적혀야 계획이 됩니다.
처음 하는 사람이 자주 빠지는 함정
가장 흔한 함정은 완벽한 자산 목록을 만들려다 시작조차 못 하는 경우입니다. 자산 식별은 한 번에 끝내는 작업이 아니라 주기적으로 갱신하는 작업이므로, 핵심 자산부터 채우고 범위를 넓혀 가는 편이 현실적입니다. 두 번째는 위험 수준의 기준을 문서로 정하지 않고 감각으로 매기는 경우입니다. 기준이 없으면 평가자가 바뀔 때마다 등급이 흔들리고, 작년 결과와 올해 결과를 비교할 수 없게 됩니다.
세 번째는 평가가 보고서 제출로 끝나는 경우입니다. 위험 평가의 가치는 그 결과가 대책 계획으로 이어지고, 이행 여부가 다음 평가에서 다시 확인될 때 생깁니다. 마지막으로, 기술적 취약점에만 시선이 몰리는 경향도 흔한 편향입니다. 권한 관리가 느슨하거나 퇴사자 계정이 남아 있거나 외부 위탁 업체의 관리 수준을 확인하지 않는 것 같은 관리적 위험이, 실제로는 기술적 결함보다 자주 문제의 출발점이 됩니다.
초보자가 자주 하는 실수
- 완벽한 자산 목록을 먼저 만들려다 평가를 시작하지 못하기 — 자산 식별은 주기적으로 갱신하는 작업이라 핵심부터 채워도 됩니다.
- 위험 등급 기준을 문서로 정하지 않고 감각으로 매기기 — 평가자가 바뀌면 등급이 흔들려 연도 간 비교가 불가능해집니다.
- 수용을 기록 없이 넘어가기 — 수용은 방치가 아니라 근거와 재검토 조건이 남아야 성립하는 결정입니다.
읽고 나서 체크리스트
- 위험 평가의 목적이 우선순위 결정이라는 점을 설명할 수 있다
- 하드웨어 외에 어떤 것들이 정보자산이 되는지 말할 수 있다
- 자산 중요도를 기밀성·무결성·가용성 관점으로 나눠 볼 수 있다
- 정성적 평가와 정량적 평가의 장단점을 구분할 수 있다
- 감소·회피·전가·수용 네 가지 대응 방식을 구분해 설명할 수 있다
자주 묻는 질문
위험 평가는 얼마나 자주 해야 하나요?
조직의 규모와 적용받는 제도에 따라 다르므로 이 글에서 주기를 단정하지는 않습니다. 다만 정기 평가와 별개로, 새 서비스를 열거나 시스템 구조가 크게 바뀔 때는 그 변경분에 대한 평가를 따로 하는 것이 일반적인 접근입니다.
위험을 숫자로 계산하는 게 더 정확한가요?
계산 과정은 명확해지지만 입력값인 손실 금액과 발생 빈도가 결국 추정이라는 한계는 남습니다. 숫자의 정밀함이 판단의 정확함을 뜻하지는 않으므로, 근거를 함께 남기고 추정의 폭을 밝히는 편이 안전합니다.
취약점 점검 결과만으로 위험 평가를 대신할 수 있나요?
대신하기 어렵습니다. 취약점 점검은 시스템의 결함을 찾는 활동이고, 위험 평가는 그 결함이 어떤 자산에 어떤 영향을 주는지까지 연결해 순서를 매기는 활동입니다. 점검 결과는 평가의 중요한 입력값이지 결론은 아닙니다.
이 글은 입문자 기준으로 이해하기 쉽게 정리한 일반 정보이며, 내용은 운영 과정에서 순차적으로 점검·보완될 수 있습니다. 구체적인 절차나 수치는 해당 기관의 공식 안내를 기준으로 확인해주세요.