위험 평가는 발생할 수 있는 문제점, 발생 가능성, 그리고 예상 비용을 파악하는 과정입니다. 이를 통해 우선순위가 정해진 위험 목록을 작성하고, 자원을 가장 중요한 곳에 집중할 수 있도록 합니다. 위험 평가가 없다면 보안 예산 책정은 막연한 추측에 불과하지만, 위험 평가를 통해 합리적인 근거를 바탕으로 의사결정을 내릴 수 있습니다. 예를 들어, 병원은 환자 데이터 유출을 가장 큰 위험으로 꼽을 수 있고, 제조업체는 생산 중단을 더 중요하게 여길 수 있습니다. 위험 순위는 일반적인 체크리스트가 아니라 각 사업의 특성에 따라 달라집니다.

이 과정은 자산 식별에서 시작됩니다. 무엇을 보호해야 할까요? 고객 데이터, 지적 재산, 금융 시스템, 물리적 인프라 등이 될 수 있습니다. 그다음은 위협 모델링입니다. 누가 어떤 방식으로 이러한 자산을 공격할 수 있을까요? 그다음은 취약성 분석입니다. 어떤 취약점이 존재할까요? 마지막으로 영향 및 발생 가능성 점수를 매깁니다. 정성적 평가는 높음, 중간, 낮음과 같은 레이블을 사용합니다. 정량적 평가는 금액과 확률을 할당합니다. 대부분의 조직은 두 가지 방식을 혼합하여 사용합니다. 정성적 평가는 더 빠르고 우선순위 설정에 충분합니다. 정량적 평가는 예산 책정을 정당화할 때 더 설득력이 있습니다. 위험 평가는 일회성 작업이 아닙니다. 비즈니스는 변화하고, 새로운 시스템이 등장하며, 과거의 위험은 사라집니다. 2년 전에 작성된 위험 평가는 과거의 기록일 뿐입니다.

위험 평가 단계

• 자산과 그 가치를 파악하십시오.
• 위협 요소와 위협 행위자를 식별합니다.
• 취약점을 파악하세요
• 발생 가능성과 영향을 평가하십시오.
• 우선순위를 정하고 문서화하세요.
• 정기적으로 검토하고 업데이트하세요.

아무도 실행에 옮기지 않는 위험 평가는 무의미합니다. 진정한 가치는 그 평가를 바탕으로 이루어지는 의사결정에 있습니다.