정성·정량 위험분석과 위험평가 | 정보보안기사 필기

1. 분석과 평가의 구분

위험 분석은 발생 가능성과 영향 등을 조사해 위험 수준을 산정하는 활동이다. 좁은 의미의 위험 평가는 그 결과를 수용 기준과 비교해 처리 우선순위를 정하는 활동이다. 넓은 의미의 위험평가(assessment)는 식별·분석·평가를 묶어 부르기도 하므로 문맥을 확인한다.

대상 서비스, 자산 경계, 평가 기간, 척도, 수용 기준과 담당자를 먼저 정한다. 다른 척도로 나온 두 조직의 위험점수 20이 같은 의미라고 단정할 수 없다.

모든 자산에 같은 깊이의 분석을 할 필요는 없다. 중요 자산과 큰 변화가 있는 영역을 우선한다.

정성적 분석은 높음·보통·낮음처럼 등급과 우선순위로 표현한다. 설문·면담, 체크리스트, 시나리오, 전문가 토의 등을 활용할 수 있다. 숫자가 부족할 때 유용하지만 판단 기준을 명확히 해야 한다.

정량적 분석은 손실 금액·발생빈도 등 수치로 평가한다. 경제성 비교에 유리하지만 입력 자료의 신뢰성과 추정 오차에 영향을 받는다. 수치로 적었다고 항상 더 정확한 것은 아니다.

가능성 1–5, 영향 1–5를 곱하는 점수 방식은 순위를 돕는 반정량 모델로 볼 수 있다. 4점이 2점보다 실제 손해가 정확히 두 배라는 뜻은 아니다.

자산가치가 5,000만 원, 손실 비율 20%, 평균 2년에 1회 사고라면 다음과 같다.

평균 연 3회면 ARO는 3이다. ARO를 단일 사건의 확률로 오해해 항상 1 이하로 제한하지 않는다. ALE는 연간 기대손실이지 매년 실제로 발생하는 정확한 금액이나 최악의 피해액이 아니다.

분석 결과가 수용 기준을 넘으면 추가 대책이나 다른 처리 방법을 검토한다. 같거나 낮더라도 법정 의무를 생략할 수는 없다. 위험 처리와 보호대책 선정에서 처리 방식을 선택한다.

자산가치·손실비율·발생빈도의 출처, 평가 시점, 기존 통제와 가정을 기록한다. 시스템 구성, 위협, 업무 중요도가 바뀌면 재평가한다. 평균 손실이 작아도 한 번의 사고가 생명·사업 존속에 큰 영향을 주면 별도로 검토해야 한다.