칼럼 | 조직의 사이버 위험을 평가하는 6단계

디지털 시대에 비즈니스를 운영하다 보면 위험 요소는 피할 수 없다. 위험 평가 계획을 수립하는 6단계는 위험을 예측하고 처리하는 데 도움이 될 수 있다.
 

디지털 정보가 폭발적으로 늘어나면서 현대 기업의 성공은 데이터의 효과적인 사용 및 관리에 달려있다고 해도 과언이 아니다. 그러나 효율성을 높이는 새로운 기술, 글로벌 상호 연결성, 원격 근무 등으로 인해 다양한 정보 위험 요소가 발생하고 있다.

조직은 잠재적 위험으로 인해 전반적인 관리 수준을 개선할 수밖에 없게 됐다. 다음은 사이버 보안 및 위험 담당자가 정보 위험 요소를 평가하고 관리하기 위해 활용할 만한 단계별 프로세스다. 이는 정보보안포럼(ISF)의 IRAM2 방법론에 기반한다.

1단계: 범위 설정
이 단계의 목표는 식별된 위험에 대한 비즈니스 중심적인 관점을 제공하는 것이다. 여기에는 비즈니스의 범위(지적 재산, 브랜드 또는 평판, 조직 성과)와 평가의 기술적 범위(정보 아키텍처, 사용자 프로파일링, 기술 또는 서비스 평가)에 대한 이해관계자 간의 조율과 합의가 요구된다.

이 과정은 여러 위험 영역을 평가할 책임이 있는 당사자를 지정하고 특정 위험 평가에 대한 권한을 결정하는 데 도움이 될 수 있다. 예를 들어 새로운 비즈니스 서비스 또는 기술의 도입을 담당하거나 특정 비즈니스 영역의 관리 문제를 해결할 사람을 선택하는 것이다.

2단계: 비즈니스 영향 평가(BIA)
BIA는 정보 자산이나 시스템의 기밀성, 가용성 또는 무결성이 손상될 경우 비즈니스에 미칠 수 있는 잠재적 영향을 파악하는 데 활용된다. BIA의 첫 단계는 모든 환경과 전체 정보 수명 주기(입력, 처리, 전송, 저장)에 걸쳐 고객 및 재무 데이터, 서비스 및 시스템에 운영에 사용되는 정보 등 모든 관련 정보 자산을 식별하는 작업이다.

자산을 식별하고 나면 가치(순위 또는 우선순위)를 할당할 수 있다. 그런 다음 각 자산에 대해 가장 적합한 영향을 미치는 현실적인 시나리오와 최악의 시나리오를 비교해 잠재적 보안 사고의 범위를 결정할 수 있다.

3단계: 위협 프로파일링
이 단계에서는 위협을 식별하고 우선순위를 정하며 위협이 어떻게 나타날 수 있는지 이해할 수 있다. 위협 프로파일링은 주요 이해관계자와 논의하고 사용 가능한 위협 인텔리전스 소스(내부 위협 인텔리전스 팀 또는 외부 소스)를 분석해 잠재적으로 관련성이 있는 위협을 식별하는 데서 시작한다.

위협 환경이 설정되면 여기에 포함된 각 위협을 프로파일링해야 한다. 위협은 2가지 주요 위험 요소를 기준으로 프로파일링할 수 있다. 첫째는 특정 위협이 하나 이상의 위협 이벤트를 시작할 가능성(시작 가능성)이고, 둘째는 특정 위협이 위협 이벤트를 얼마나 효과적으로 시작하거나 실행할 수 있는지(위협 강도)다.

또한 위협을 각각 적대적, 우발적 또는 환경적 그룹으로 구분해 더 자세히 프로파일링할 수도 있다.

4단계: 취약점 평가
위협 프로파일링이 완료되면, 식별된 위협에 정보 자산이 어느 정도 취약한지 파악하는 단계가 필요하다. 취약점 평가는 각 주요 통제권의 관련성 정도와 그 성능 및 품질을 조사하는 데 사용된다.

취약점은 상대적인 통제 강도의 관점에서 평가하고 나타내야 한다. 통제 강도는 통제 특성, 성능, 결함 및 문서와 같은 지원 정보와 함께 해당 통제에 대한 이해관계자의 등급을 기준으로 계산할 수 있다.

평가가 끝나면 담당자는 어떤 정보 자산이 어떤 위협 이벤트에 취약한지 확실히 이해할 수 있다.

5단계: 위험 평가
조직은 위험 요소를 평가해 위협이 성공할 가능성, 최악의 경우에 비즈니스가 받게 될 영향, 그리고 이러한 위협이 위험 관리 계획 전반에 어떻게 반영되는지 파악할 수 있다.

이를 위해서는 먼저 각 위험 요소에 가장 적절한 영향 시나리오를 선택해야 한다. 다시 말해 위협의 강도를 고려해 현실적인 결과와 최악의 시나리오 중 하나를 결정해야 한다.

그 다음 위협의 영향을 줄일 수 있는 기존 또는 계획된 통제권을 식별하는 것이 중요하다. 다른 통제 평가와 마찬가지로 통제가 위협의 영향을 얼마나 줄일 수 있는지 판단하는 기준은 주관적일 수밖에 없다. 여기서 위험 담당자와 주요 이해관계자의 경험이 중요하게 작용한다.

6단계: 위험 요소 처리
이 단계에서는 정보 위험 요소를 관리하기 위한 여러 접근 방식을 살펴본다.

완화: 더 강력한 방어를 구축하려면 기존 통제 기능을 개선하거나 새 기능을 구현해 잠재적인 공격의 영향을 줄여야 한다.

회피: 잠재적 위험을 유발할 수 있는 모든 활동을 피하거나 제거한다.

이전: 사이버 보험에 가입하는 등 다른 당사자가 일정 수준의 책임을 부담할 수 있도록 한다.

수용: 위험 발생 가능성과 잠재적 여파를 인정하되 조직의 허용 범위 안에 있으면 추가 조치를 취하지 않는다.

이는 위험에 대한 조직의 성향에 따라 이뤄져야 한다. 각 위험 요소를 개별적으로 평가해 조직의 허용 범위를 초과하는지 여부를 결정한다. 모든 위험 처리 옵션이 명확해지면 처리 계획을 수립한다. 이후 계획을 실행하고 모니터링하며 위험 관리 작업이 성공적인지 확인한다.

위험 평가의 6단계 활용하기
6번째 단계가 끝나면 위험 평가 프로세스가 효과적으로 완료된다. 담당자는 평가된 환경에 대해 더 잘 이해할 수 있다. 또한 관련 위협, 취약점 및 우선순위가 지정된 위험 요소에 대해 명확한 그림을 그릴 수 있다. 위험을 허용 가능한 수준으로 줄이기 위한 처리 계획이 개발 및 실행된 것이다.

정보 보안의 세계는 역동적이며, 위협 이벤트, 취약점 및 비즈니스에 미치는 영향도 점점 진화하고 있다는 사실을 기억해야 한다. 담당자와 이해관계자는 특히 조직이나 환경에 큰 변화나 완화 계획이 있을 때 꾸준히 위험을 평가해야 한다. 

* Steve Durbin은 비영리 독립 협회인 정보 보안 포럼(Information Security Forum)의 CEO다. ciokr@idg.co.kr