위험관리·증적·예외 승인·업무 연속성

01자산·위협·취약점·위험을 연결하기

• 자산·위협·취약점·위험자산은 보호할 정보·시스템·서비스·업무 자원이고 위협은 손해를 일으킬 가능성이 있는 행위나 상황이다.

  • 취약점은 그 위협이 작용할 수 있는 약점이며 위험은 발생 가능성과 영향을 고려한 불확실성이다.
  • 취약점 하나의 기술 심각도와 조직 전체의 업무 위험은 동일하지 않다.
• 노출과 통제예를 들어 외부에 노출된 관리 서비스의 약한 인증은 위협이 도달하기 쉬운 약점이다.

  • 실제 위험을 판단하려면 접근 범위, 계정 권한, 취급 데이터, 악용 조건과 탐지·복구 통제를 본다.
  • 버전 문자열 하나만으로 침해가 발생했다고 결론 내리거나, 내부망이라는 이유만으로 가능성을 0으로 만들지 않는다.
• 배치 환경의 판단클라우드와 온프레미스의 선택은 데이터 분류·계약·법적 요구·공유 책임·암호화·접근·복구 조건을 기준으로 평가한다.

  • 중요한 데이터라는 이유만으로 특정 배치 방식을 무조건 안전하거나 위험하다고 판단하지 않는다.
  • 온프레미스에도 적절한 운영 통제가 필요하다.

02위험을 식별하고 처리하는 단계

1. 자산과 업무 파악보호 대상, 서비스 의존성, 데이터와 업무 중요도를 정한다.
2. 위협·약점·통제 식별어떤 위협이 어떤 약점을 통해 영향을 줄 수 있는지와 현재 통제를 확인한다.
3. 가능성과 영향 평가기술 심각도뿐 아니라 노출·악용 조건·업무 영향을 같은 평가 기준으로 비교한다.
4. 처리 방법 결정회피·감소·이전/공유·수용 중 적절한 방법과 책임자·기한을 정한다.
5. 조치와 효과 확인설정·승인·시험 결과 등 증적을 남기고 통제 후 잔여 위험을 평가한다.
6. 지속 검토환경 변경, 새 위협, 예외 만료와 반복 부적합을 반영해 위험대장과 계획을 갱신한다.

03위험평가와 조치 우선순위

• 일관된 평가 기준먼저 범위와 자산의 중요도를 정하고 위협·취약점과 기존 통제를 파악한다.

  • 발생 가능성과 영향을 일관된 기준으로 평가하여 우선순위를 만든다.
  • 1~5점 같은 숫자를 쓸 수 있지만 그 숫자는 조직의 판단 척도이며 자동으로 정확한 확률이나 금액이 되는 것은 아니다.
• 업무 영향과 우선순위영향은 기밀성 손실뿐 아니라 서비스 중단, 데이터 변조, 복구 비용과 고객·계약 영향을 함께 고려한다.

  • 노출된 관리자 권한 경로와 격리된 실습 서비스의 같은 취약점은 업무 우선순위가 다를 수 있다.
  • 기술 점수, 실제 노출과 악용 가능성, 자산 중요도를 따로 기록하면 의사결정 이유를 설명할 수 있다.
• 평균 점수의 한계한 개의 전체 평균 점수가 좋아져도 중요 자산의 고위험 항목이 그대로일 수 있다.

  • 자산별·위험별 미조치 목록과 기한 초과를 보고하고, 측정하지 못한 자산과 항목을 분모에서 숨기지 않는다.

05회피·감소·이전·수용과 잔여 위험

• 위험 처리의 선택회피는 위험한 활동이나 구조를 없애는 선택, 감소는 통제를 통해 가능성이나 영향을 줄이는 선택, 이전·공유는 계약·보험 등으로 일부 손실 부담을 나누는 선택, 수용은 정한 권한자가 남은 위험을 받아들이는 선택이다.

  • 보험 가입이나 외주 계약이 조직의 모든 책임과 기술적 위험을 없애지는 않는다.
• 잔여 위험과 대체 통제통제 후에도 남는 위험이 잔여 위험이다.

  • 즉시 패치를 적용하기 어렵다면 접근 제한·격리·탐지 강화 등 대체 통제를 검토하고 적용 범위와 검증 근거를 남긴다.
  • 대체 통제가 원래 취약점을 제거했다고 기록하거나 승인 메일 하나를 영구적인 양호 판정으로 삼지 않는다.
• 수용 승인과 재평가위험 수용은 담당 엔지니어 개인이 편의를 위해 결정하는 상태가 아니다.

  • 적절한 승인자, 사업상 이유, 대상 범위, 대체 통제, 검토 기한과 재승인 조건이 필요하다.
  • 서비스 변경이나 새로운 악용 정보가 나오면 만료 전이라도 다시 평가한다.

06증적의 출처·시점·완전성

• 증적의 구성증적은 판정과 수행 사실을 뒷받침하는 자료다.

  • 설정 출력, 로그, 승인 기록, 자산 목록, 검토표와 시험 결과는 각각 다른 사실을 보여 준다.
  • 화면 캡처에는 자산·시각·조건이 빠질 수 있으므로 원본 출력과 수집 기록을 연결하고 변경 전후를 명확히 구분한다.
• 증거가 입증하는 범위정책 문서의 승인 일자는 그 통제가 실제로 수행된 일자와 다르다.

  • 백업 작업 성공 로그는 백업 파일이 만들어졌다는 근거지만 복원 가능성은 복원 시험으로 확인해야 한다.
  • 방화벽 설정 캡처는 규칙 존재의 근거이며 실제 트래픽 적용·우회 경로는 별도 시험이 필요하다.
• 보관과 무결성민감한 원본은 접근 통제 아래 보관하고 외부 제출본에는 필요한 최소 내용을 사용한다.

  • 해시와 변경 이력은 자료의 동일성·추적성을 돕지만 수집 당시의 사실 자체가 진실임을 자동 증명하는 것은 아니다.
  • 근거 없는 성공 주장과 미수행 활동의 소급 기록을 만들지 않는다.

07내부 점검·감사·시정조치의 차이

• 운영 점검과 감사운영자는 자신의 통제가 정상 동작하는지 일상적으로 점검한다.

  • 내부 감사는 가능한 독립성을 갖추어 요구사항과 실제 운영을 평가한다.
  • 외부 인증이나 고객 점검은 정해진 범위·기준에 따른 별도 확인이며 한 번 통과했다고 모든 서비스의 모든 위험이 사라지는 것은 아니다.
• 수정과 시정조치부적합의 즉시 수정과 재발 원인을 제거하는 시정조치를 구분한다.

  • 퇴사자 계정 하나를 지우는 것은 현재 상태 수정이고 인사 통지·회수 책임·정기 대사 절차를 바로잡는 것이 재발 방지로 이어진다.
  • 담당자·기한·완료 기준과 효과 검증 날짜를 정한다.
• 보안 지표의 분모보안 지표에는 점검 범위, 미수집 항목, 기한 내 조치율, 반복 부적합, 경보 처리 지연, 복원 시험 결과 등이 쓰일 수 있다.

  • 건수가 늘었다고 보안이 나빠졌다고 단정하지 않는다.
  • 수집 범위가 넓어져 발견이 늘었는지, 실제 발생이 늘었는지 맥락을 함께 설명한다.

08BIA·RTO·RPO와 백업·복구의 관계

• BIABIA는 업무 중단이 조직에 주는 영향을 분석하고 복구 우선순위를 정하는 활동이다.

  • 기술 장비 가격만 보지 않고 어떤 업무가 얼마 동안 멈추면 어떤 손해가 생기는지, 다른 서비스·인력·외부 공급자에 무엇을 의존하는지 살핀다.
• RTO와 RPORTO는 중단 후 서비스를 복구하려는 목표 시간이고 RPO는 복구 시 허용하는 데이터 손실의 시간 범위다.

  • RTO 2시간, RPO 15분이라는 설명용 목표라면 두 시간 안에 서비스를 복원하고 복원 데이터가 허용 범위보다 오래되지 않게 설계해야 한다.
  • 백업 주기만 15분이라고 실제 RPO 충족이 자동 보장되지는 않는다.
• 복제·백업·복원복제는 변경과 삭제·오염도 빠르게 전파할 수 있으므로 보관형 백업과 목적이 다르다.

  • 실제 복원 시험으로 무결성, 의존 서비스, 복구 권한과 소요 시간을 확인한다.
  • RTO/RPO는 한 번 적는 문구가 아니라 업무 요구·설계·시험 결과를 대조하는 기준이다.

10위험대장과 개선 기록을 설명하는 예

• 위험대장 예시의 범위아래 표는 위험대장을 작성하는 가상 예시다.

  • 자산·위험·근거·처리·책임을 한 줄에 연결하고 증적과 재검증 기록으로 상세 내용을 확인한다.
  • 실제 기관의 진단 결과를 나타내는 표는 아니다.

11직무 지식으로 표현하기

• 업무 역량의 표현“보안 정책을 이해한다”는 역량은 기술 조치의 목적을 위험·업무 영향으로 설명하고, 담당자와 기한을 정하며, 증적으로 확인하고 남은 위험을 보고하는 능력으로 구체화할 수 있다.

  • 위험대장·점검 보고서·복구 시험 계획으로 이 연결을 설명한다.
• 지식·실습·검증의 구분실제로 수행하지 않은 감사·인증·사고 대응을 완료했다고 쓰지 않는다.

  • 학습한 개념은 정의를 이해하는 단계인지 실습 결과와 검증까지 가진 단계인지 구분한다.
  • 이 구분은 모르는 내용을 숨기기보다 다음 실습과 학습의 목표를 명확하게 만든다.