정보자산·위협·취약점과 위험 식별 | 정보보안기사 필기

1. 위험을 이루는 요소

공격자는 위협원이고, 취약한 비밀번호는 취약점이다. 취약점 자체가 이미 발생한 피해는 아니다. 악의적 공격뿐 아니라 실수, 고장, 정전, 화재도 고려한다.

정보자산에는 데이터·문서, 소프트웨어, 하드웨어, 네트워크, 인력, 시설, 서비스와 외부 의존성이 포함된다. 자산 목록에는 식별자, 소유자, 위치, 용도, 중요도와 관련 시스템을 기록한다.

자산가치는 구매가격만으로 정하지 않는다. 저렴한 인증서 개인키나 설정 파일도 핵심 서비스 중단을 일으킬 수 있다. 기밀성·무결성·가용성 침해가 업무·법적 의무·평판에 미치는 영향을 함께 평가한다.

분류 결과에 따라 접근권한, 보관·전송, 표시, 반출, 파기 수준을 달리한다. 모든 정보를 최고 등급으로 분류하면 운영비용과 예외가 늘고 중요한 자산의 우선순위도 흐려질 수 있다.

자동 취약점 스캔은 기술적 약점의 일부를 찾는다. 직무분리 부재, 복구 인력 부족, 승인 없는 외부 공유까지 모두 평가하지는 못한다. 발견 개수만으로 자산의 위험 순위를 결정하지 않는다.

어떤 자산에 → 어떤 위협이 → 어떤 취약점을 이용해 → 어떤 결과를 만드는가로 연결한다.

예를 들어 “외부 공격자가 다요소 인증이 없는 관리자 계정을 탈취해 고객 DB를 반출하여 개인정보 피해와 서비스 신뢰 저하를 일으킨다”라고 쓴다. “해킹 위험”보다 대상·약점·영향이 구체적이므로 대책을 선택하기 쉽다.

가능성은 위협의 능력·빈도, 노출 정도, 취약점과 통제의 효과 등을 고려한다. 영향은 손실 금액 외에도 인명·업무·권리 침해를 포함한다. 위험 = 자산가치 × 위협 × 취약점 같은 식은 특정 방법론의 모델일 수 있으며 모든 평가에 적용되는 자연법칙은 아니다.

평가 범위와 기준을 정한 뒤 자산을 식별하고, 위협·취약점·기존 통제를 조사해 위험 목록을 만든다. 정성·정량 위험분석과 위험평가에서 가능성과 영향을 분석하고 수용 기준과 비교한다.

동일한 정전이라도 대체 전원이 있는 사무용 PC와 전원 이중화가 없는 주문 서버의 위험은 다르다. 자산 이름만 보거나 위협만 보지 말고 업무 영향과 대책의 실제 효과를 같이 판단한다.