1. 위험 분석 방법
1.1 위험 분석의 개념
위험 분석은 정보 자산에 대한 위협과 취약점을 식별하고 이로 인해 발생할 수 있는 위험을 평가하는 과정입니다.
- 위험(Risk): 위협이 취약점을 이용하여 자산에 피해를 줄 가능성
- 위협(Threat): 자산에 악영향을 줄 수 있는 사건이나 행위
- 취약점(Vulnerability): 위협이 발생하기 위한 조건이나 상황
1.2 위험 분석 절차
- 위협 식별: 자산에 영향을 줄 수 있는 모든 위협 요소를 식별
- 취약점 평가: 식별된 위협이 실현될 수 있는 취약점을 분석
- 위험 시나리오 개발: 위협과 취약점을 조합한 구체적인 위험 시나리오 작성
- 영향도 평가: 위험이 실현될 경우 발생하는 비즈니스 영향 평가
- 발생 가능성 평가: 위험이 실제로 발생할 확률 평가
1.3 위협 유형 분류
| 대분류 | 중분류 | 상세 위협 | 예시 |
|---|
| 자연재해 | 천재지변 | 화재, 홍수, 지진 | 서버실 화재로 인한 데이터 손실 |
| 환경적 요인 | 정전, 통신 장애 | 정전으로 인한 시스템 다운 |
| 인적 위협 | 내부자 위협 | 의도적 정보 유출, 파괴 | 퇴직 예정자의 고의적 자료 삭제 |
| | 비의도적 실수 | 실수로 인한 중요 파일 삭제 |
| 외부자 위협 | 해킹, 침입 | 외부 해커의 시스템 침입 |
| | 물리적 침입 | 무단 침입자의 서버실 접근 |
| 기술적 위협 | 시스템 장애 | 하드웨어 오류 | 서버 하드디스크 고장 |
| | 소프트웨어 오류 | 운영체제 버그로 인한 시스템 중단 |
| 보안 위협 | 악성코드 감염 | 랜섬웨어 감염으로 인한 데이터 암호화 |
| | 네트워크 공격 | DDoS 공격으로 인한 서비스 중단 |
1.4 취약점 유형 분류
| 분류 | 취약점 예시 | 설명 |
|---|
| 물리적 취약점 | 출입통제 미흡 | 서버실, 사무실 출입 통제 부족 |
| 환경 통제 미흡 | 화재 감지, 소화 시설 부족 |
| 기술적 취약점 | 보안패치 미적용 | 운영체제, 애플리케이션 보안패치 지연 |
| 암호화 미적용 | 중요 데이터 암호화 처리 미흡 |
| 접근통제 미흡 | 권한 관리, 인증 체계 부족 |
| 관리적 취약점 | 정책 부재 | 보안 정책, 절차 수립 미흡 |
| 교육 부족 | 직원 보안 교육, 인식 제고 부족 |
| 모니터링 부족 | 보안 사고 감시, 탐지 체계 부족 |
2. 위험 평가 방법
2.1 위험도 산출 공식
위험도는 다음 공식으로 산출합니다:
위험도 = 자산 가치(A) × 위협 수준(T) × 취약성 수준(V) ÷ 10
2.2 자산 가치 평가 기준
| 등급 | 점수 | 설명 |
|---|
| 극고 | 10 | 핵심 비즈니스 자산, 유출 시 회사 존립 위협 |
| 고 | 8 | 중요 비즈니스 자산, 유출 시 중대한 손실 |
| 중 | 6 | 일반 비즈니스 자산, 유출 시 일부 손실 |
| 저 | 4 | 공개 가능한 자산, 유출 시 영향 미미 |
2.3 위협 수준 평가 기준
| 등급 | 점수 | 설명 |
|---|
| 극고 | 10 | 매우 강력하고 지속적인 위협 |
| 고 | 8 | 강력한 위협, 정기적 발생 가능 |
| 중 | 6 | 보통 수준의 위협 |
| 저 | 4 | 약한 위협, 발생 가능성 낮음 |
2.4 취약성 수준 평가 기준
| 등급 | 점수 | 설명 |
|---|
| 극고 | 10 | 매우 심각한 취약점, 쉽게 악용 가능 |
| 고 | 8 | 심각한 취약점, 악용 가능성 높음 |
| 중 | 6 | 보통 수준의 취약점 |
| 저 | 4 | 경미한 취약점, 악용 어려움 |
2.5 위험 등급 분류
| 위험 등급 | 점수 범위 | 조치 방안 |
|---|
| 상 (High) | 50 이상 | 즉각적인 위험 감소 조치 필요 |
| 중 (Medium) | 30~49 | 계획된 위험 감소 조치 필요 |
| 하 (Low) | 30 미만 | 위험 수용 또는 모니터링 |
3. 시나리오 기반 위험 분석
3.1 시나리오 작성 방법
위험 시나리오는 5W1H(Who, What, When, Where, Why, How) 방식으로 구체적으로 작성합니다:
- 누가(Who): 위협의 주체 (해커, 내부자, 자연재해 등)
- 무엇을(What): 공격 대상 자산
- 언제(When): 공격이 발생할 수 있는 시점
- 어디서(Where): 공격이 발생할 수 있는 위치
- 왜(Why): 공격의 동기나 목적
- 어떻게(How): 공격 방법이나 경로
3.2 시나리오 예시
시나리오: PLM 시스템 해킹 공격
- 누가: 외부 표적공격 해커그룹
- 무엇을: PLM 시스템 내 설계 데이터
- 언제: 중요 프로젝트 진행 중
- 어디서: PLM 서버, 네트워크 경계
- 왜: 산업기밀 탈취, 사이버 테러
- 어떻게: SQL 인젝션, 권한 상승 공격
4. 작성 예시
4.1 취약성 및 위협 평가 목록 작성 예시
| 번호 | 자산명 | 위협유형 | 위협설명 | 취약점 | 영향도 | 발생가능성 |
|---|
| 1 | 신제품 설계도면 | 외부 침입 | 외부 해커의 네트워크 침입을 통한 설계도면 탈취 | 방화벽 설정 미흡, VPN 보안 약함 | 높음 | 높음 |
| 2 | 고객승인서류 | 내부자 유출 | 승인권한을 가진 내부 직원의 고의적 정보 유출 | 내부 모니터링 체계 부재, 접근권한 과다 | 매우높음 | 중간 |
4.2 자산별 위험 평가 결과 작성 예시
| 자산번호 | 자산명 | 자산가치(A) | 위협수준(T) | 취약성수준(V) | 위험도 | 위험등급 | 대응방안 |
|---|
| DOC-001 | 신제품 설계도면 | 9 | 8 | 7 | 50.4 | 상 (High) | 위험 감소 - 즉각적인 통제책 구현 필요 |
| SW-001 | PLM 시스템 | 10 | 9 | 8 | 72.0 | 상 (High) | 위험 감소 - 즉각적인 통제책 구현 필요 |
5. 주의사항
- 위험 분석은 정확한 정보를 바탕으로 객관적으로 수행해야 합니다.
- 모든 가능한 위협과 취약점을 고려하되, 현실적이고 실현 가능한 시나리오에 집중하십시오.
- 위험 평가는 정기적으로 재검토하고 업데이트해야 합니다.
- 평가 결과는 이해관계자들과 공유하고 검증을 받으십시오.
- 위험 분석 과정에는 관련 부서의 전문가들이 참여해야 합니다.