위험 처리와 보호대책 선정 | 정보보안기사 필기

1. 네 가지 처리 방식

수용은 무관심한 방치가 아니다. 수용 사유, 책임자, 재검토 조건을 남긴다. 보험에 가입해도 사고 가능성이나 법정 보호의무, 평판 손실까지 전부 없어지지 않는다.

하나의 위험에 여러 방식을 결합할 수 있다. 인증을 강화해 발생 가능성을 낮추고, 남은 재무 손실 일부는 보험으로 분담할 수 있다.

대책은 위험과 법적·계약상 요구에 연결해 고른다. 예상 효과, 비용, 업무 영향, 운영 역량, 기존 시스템과의 호환성, 검증 가능성을 함께 본다.

계정 탈취 위험에는 인증 강화가 직접 관련된다. 도입이 쉽다는 이유로 관련 없는 장비만 추가하면 위험이 충분히 감소하지 않을 수 있다. 대책을 운영할 인력·교육·유지비도 비용에 포함한다.

학습용 단순 모델에서 다음을 가정한다.

연간 손실 절감액 = 1,800 - 700 = 1,100만 원

연간 순경제효과 = 1,800 - 700 - 400 = 700만 원

이 가정에서는 비용을 지불하고도 기대손실이 더 크게 감소한다. 하지만 순경제효과가 음수라고 법정 의무 대책을 제외할 수 없고, 양수라고 모든 대안 중 최선인 것도 아니다. 단위와 평가 기간을 맞추며 일회성 도입비와 연간 운영비를 혼동하지 않는다.

고유위험은 정한 평가 모델에서 대책의 영향을 고려하기 전 위험이다. 잔여위험은 대책 적용 후에도 남는 위험이다. 단순히 보호대책을 설치했다는 이유만으로 잔여위험이 0이 되지 않는다.

효과를 검증한 뒤 남는 위험이 기준 안인지 다시 판단한다. 초과하면 추가 감소, 회피, 전가 등을 검토하고 책임자가 수용 여부를 결정한다. “위험 − 통제 = 잔여위험”은 개념적 표현이며 모든 위험을 같은 단위로 뺄 수 있다는 뜻은 아니다.

처리 계획에는 대상 위험, 선택 대책과 이유, 담당자, 필요한 자원·예산, 일정, 성공 기준, 잔여위험과 승인 내용을 포함한다. 구현 완료 후 재평가·점검 결과로 계획을 갱신한다.

고객 DB의 과도한 관리자 권한이 위험이라면 “보안을 강화한다”보다 “업무별 권한을 재설계하고 승인된 최소권한만 부여한 뒤 실제 권한과 승인 기록을 대조한다”가 검증 가능한 계획이다. 계획서 작성과 실제 통제 운영은 구분해야 한다.