위험 관리

- 기밀성(Confidentiality) : 비 인가된 개인, 단체, 프로세스 등으로 부터 중요한 정보를 보호하는 것

- 무결성(Integrity) : 정보의 내용이 변경되거나 파괴되지 않았음을 보장

- 가용성(Availability) : 인가된 사용자가 정보나 서비스를 요구할 때 언제든지 즉시 사용 가능함을 제공

- 인증(Authentication) ; 정보주체가 본인이 맞는지를 인정하기 위해 사용하는 방법

- 부인방지(Non-repudiation) ; 메시지 송수신이나 교환 후 그 사실을 증명

 

(1). 위험 관리 전략 및 계획 수립

① 위험 관리의 정의

② 위험 관리 과정

 

(2). 위험 분석

①위험(Risk) : 위험이란 원하지 않는 사건이 발생 하여 손실 또는 주정적인 영향을 미칠 가능성

                     (위혐 = 발생 가능성 X 손실의 정도)

1. 위험의 구성요소

- 자산(Assets) : 조직이 보호해야 할 대상으로 정보, 하드웨어 등 조직 운영과정에서 획득한 인적,물적 또는 무형의 재화나 서비스

- 위협(Threats) : 자산에 손실을 초래할 수 있는 원치 않는 사건의 잠재적 원인이나 행위자

- 취약성(Vulnerability) : 취약성은 자산의 잠재적 속성으로 위협의 이용 대상, 정보보호 대책 미미

- 정보보호대책(Safeguard) : 위협에 대응하여 자산을 보호하기 위한 물리적, 기술적,관리적 대응책

② 위험분석 접근법

1. 베이스라인 접근법(Baseline Approach)

- 위험 분석을 수행하지 않고 모든 시스템에 대하여 표준화된 보호대책을 체크리스트 형태로 제공

- 시간은 절약되나 보안환경 변화를 적절히 반영 불가

2. 비정형 접근법(Informal Approach)

- 구조적인 방법론에 기반하지 않고 경험자의 지식을 사용하여 위험분석을 수행

- 보안전문성이 높은 인력 참여 요함

3. 상세위험분석(Detailed Risk Analysis)

- 자산분석, 위협분석 취약성 분석의 각 단께를 수행하여 위험을 분석하는 것

- 많은 시간과 노력 필요 및 분석방법론 이해

• 자산분석 : 주요 자산을 유형별로 분류하고 목록화 및 가치 평가
• 위협, 취약성 분석 단계 : 발생 가능한 위협을 목록화 하고 발생 가능성 예측
• 정보보호대책 평가 : 자산에 대해 존재하는 위협 및 취약성에 대비하여 조치대책에 대한 평가

4. 혼합 접근법(Combined Approach)

- 상세위험분석 수행 이후 베이스라인 접근법을 사용

- 비용과 자원을 효과적으로 사용, 식별이 잘못될 경우 위험분석 비용 낭비

 

③ 위험분석 방법론

1. 정량적 분석 방법

손실액과 같은 숫자값으로 표현

 

- 과거자료 분석법 : 과거의 자료를 통한 위험발생 가능성 예측, 과거 데이터 수량에 따른 정확도

- 수학공식 접근법 : 위협발생빈도를 계산하는 식을 이용하여 위험을 계량화

- 확률분포법 : 미지의 사건을 확률적으로 편차를 이용하여 최저,보통, 최고 위험평가를 예측

 

2. 정성적 분석 방법

어떠한 위험 상황에 대한 부분을 (매우높음,높음,중간,낮음)등으로 표현

 

- 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음

- 시나리오법 :  특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음

- 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음

 

3. 정량적 분석과 정성적 분석의 장단점

 

구분	정량적 분석	정성적 분석
장점	- 객관적인 평가기준 적용 - 정보가치가 논리적으로 평가 및 화폐가치로 표현 - 위헙관리 성능평가가 용이 - 위험분석 결과가 금전적 가치, 백분율 등으로 표현	- 계산에 대한 노력이 적다 - 비용/이익을 평가할 필요가 없다
단점	- 계산이 복작하여 분석하는데 시간,노력,비용이 많이든다. - 수작업의 어려움으로 자동화도구 사용시 신뢰도가 벤더에 의존.	- 위험분석 과정이 지극히 주관적이라 사람에 따라 달라진다 - 측정결과를 화폐로 표현하기 어렵다 - 위험완화 대책의 비용/이용 분석의 근거는 제공되지 않고 문제에 대한 주관적 지적 - 위험관리 성능을 추적할 수 없다.
기법	- 과거자료 분석, 수학공식 접근, 확률 분포법, 점수법	- 델파이기법,시나리오법, 순위결정법, 질문서법, 브레인스토밍, 스토리보딩

 

④ 위험 평가

정보자산에 가치의 위협과 취약성에 따라 기밀성, 무결성, 가용성에 따른 잠재적 손실규모의 평가

 

⑤ 위험처리방법

조직이 수용가능 위험을 넘어설 경우 위험을 어떤식으로 처리할 것인지 결정

 

1. 위험수용(Acceptance) : 위험의 잠재 손실 비용을 감수하는 것 (일정 수준이하 감수하고 사업진행)

2. 위험감소(Mitigation) : 위험을 감소시킬 수 있는 대책을 채택 구현 (많은 비용 소요 / 비용분석실시)

3. 위험회피(Risk Avoidance) : 위험이 존재 하는 프로세스나 사업 포기

4. 위험전가(RiskTransfer) : 보험이나 외주 등으로 잠재적 비용을 제3자에게 이전,할당

 

(3). 정보보호 대책 선정 및 계획서 작성

① 대책선정 : 위험을 방지하고 취약성을 감소시키고 원치않는 사고의 충격을 제한하는 등 다양한 대책 조합요구

② 즉시 교정가능한 취약점 제거 : 시스템이나 장비에 환경설정 및 설정값을 다시점검하여 제거할 수 있는 취약점 즉시 제거 방법

③ 계획서 작성 : 문서화된 보안정책과 목적, 정보보호 조직 및 책임 정의서, 위험평가 및 분석서, 정보보호 계획서 등으로 작성

1. 위험관리전략 및 계획수립

- 조직 목표 및 정책, 요구사항등 고려 위험관리 전략 및 계획수립, 문서화, 환경변화에 따른 지속적검토

2. 위험 분석

- 정보자산에 영향을 줄 수 있는 모든 위협과 취약성, 위험을 식별하고 분류, 가치와 위험 고려 잠재적 손실에 대한 영향을 식별/분석

 

3. 위험 평가

- 정보보호 대책의 실패 가능성 및 영향을 평가하소 수용 가능한 위험수준을 포함

- 정보자산의 위험을 관리할 수 있는 적절한 정보보호 대책 선택 및 우선순위의 확보

4. 정보보호대책 선택

- 위험분석 및 평가에 의거, 위험처리, 수용, 회피,전가등의 전략 설정

5. 정보보호계획 수립

- 정보보호대책 및 구현의 우선순위, 일정계획, 예산책임, 운영계획 등을 포함한 정보보호 계획을 수립

- 각 위험에 대한 정보보호 대책 및 선택하게 된 근거를 명세서로 문서화