[정보보안관리] 위험관리(Risk Management)

위험관리 : 보안관리 활동의 핵심으로 위험을 수용 가능한 수준으로 유지하기 위해 자산 및 시스템의 위험을 평가하고 비용효과적인 대응책을 수립하는 일련의 과정

1. 위험분석

   > 위험관리에서 가장 중요한 핵심 과정

   > 자산, 위협, 취약성, 기존 보호대책 등을 분석하여 위험의 종류와 규모를 결정

   > 정보시스템과 조직의 위험을 측정하고, 위험의 허용 여부를 판단하는 근거를 마련하는 과정

위험분석 방법

1) 기준접근법 

   > 소규모 조직에 적합

   > 보안 정책 등을 참고해서 작성한 통제사항 체크리스트로 시간과 노력 절약

   > 체크리스트에 따라 보안수준이 높거나 낮아져 과다비용 또는 보안공백이 생기므로 적절한 수준 조정 필요

2) 세부위험분석

   > 모든 위험이 식별되고 시스템에 꼭 필요한 대책 구현 가능

   > 많은 시간과 비용 발생

3) 복합접근법

   > 고위험영역은 상세위험분석 나머지는 기준접근법이용

   > 비용과 자원의 효과적 이용

   > 고위험영역의 식별이 잘못되었을 경우 불필요한 비용낭비 발생

4) 비정형접근법

   > 개인의 전문성 활용으로 신속, 저렴

   > 주관적일 수 있다.

2. 정량적분석과 정성적분석

1) 정량적분석(Quantitative)

   > 위험을 금액으로 산정 가능시 사용

   > 성능 평가가 용이하며 객관적 평가 기준 제공

   > 계산이 복잡하고 비용이 많이 들며 수작업 시의 신뢰도는 벤더에 의존

정량적분석 방법

a) 수학공식법

   > 과거자료의 획득이 어려울 경우 위협의 발생빈도를 식으로 계산해 위험 예상

   > 위험을 간결하게 표현 가능

   > 기대손실을 추정하는 자료의 양이 적은 단점

b) 과거자료분석법

   > 과거의 사건이 미래에 발생한다는 가정

   > 과거자료를 통해 위험 발생 가능성 예측

   > 과거자료가 많을수록 정확도 높아짐

   > 발생빈도가 낮은 경우 적용이 어려움

c) 확률분포법

   > 미지의 사건 추정 시 확률적 편차를 이용

   > 최저, 보통, 최고의 단계로 위험평가를 예측하나 정확성은 낮음

d) 점수법

   > 위험발생 요인에 가중치를 두어 위험 추정

   > 분석이 빠르나 정확도가 떨어짐

e) 연간예상손실

   > 단일예상손실(SLE) = 자산가치 X 노출계수

   > 연간예상손실(ALE) = 단일예상손실 X 연간발생률

2) 정성적분석(Qualitative)

   > 자산의 화폐가치 식별이 어려운 경우

   > 경험이나 판단 등을 이용해 위험도를 가중치로 표현

   > 노력이 적게 드나 주관적일 수 있음

정성적분석 방법

a) 델파이법

   > 전문가그룹 이용해 시간과 비용 절약가능

   > 추정의 정확도 낮음

b) 순위결정법

   > 비교우위 순위 결정표에 위험 항목들의 서술적 순위 결정

   > 분석이 빠르나 위험추정의 정확도 낮음

c) 시나리오법

   > 어떤 사건도 기대대로 발생하지 않는다는 사실에 근거

   > 일정 조건하에서 위협에 대해 발생 가능한 결과를 추정

   > 이론적 추측일 뿐 정확성등이 낮음

d) 퍼지행렬법

   > 자산 가치를 화폐로 표현해 위협발생확률을 수학적으로 계산하는 방법

3. 위험평가

위험분석 결과를 바탕으로 위험의 대응 여부와 우선순위를 결정하는 것

4. 위험처리 전략      -> 시험 단골 메뉴

1) 위험회피(Avoidance) : 위험이 존재하는 사업이나 프로세스 포기

2) 위험이전(전가, Transfer) : 제 3자에게 잠재비용을 이전하거나 할당(보험, 외주 등)

3) 위험수용(Acceptance) : 잠재적 손실비용을 감수하고 수행

4) 위험감소(Reduction) : 대책을 구현해 위험을 감소시킴

5. 재난복구계획(DRP, Disaster Recovery Plan)

   - 재해, 재난 발생 시 취할 행동절차를 미리 준비

   - 정보시스템의 기밀성, 무결성, 가용성 등을 확보하기 위함

   - 사고발생시 의사결정시간을 최소화해 복구시간 단축 위함

1) 중복시스템 (Mirror Site) : 전산센터 중복운영으로 최신데이터 그대로 즉시 가동되나 높은 비용 발생

2) 핫사이트 (Hot Site) : 전산센터와 동일한 설비와 자원을 보유해 수 시간내 가동

3) 웜 사이트 (Warm Site) : 디스크, 주변기기등 부분적 설비만 보유해 수일 ~ 수주내 가동

4) 콜드사이트 (Cold Site) : 장보만 준비, 비용은 가장 저렴하나 데이터 손실 가능

5) 백업서비스 : 제 3의 장소로 데이터 백업

6) 상호백업 : 사고 시 유사 시스템 보유사간 백업 지원

7) 수작업 : 전산센터 복구 시 까지 수작업