위험분석

Risk Analysis

정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정

위험분석 접근법

베이스라인 접근법(Baseline approach)

국내외 표준, 기존에 마련되어 있는 기본 통제 가이드, 준법 등으로 기준을 정하여 위험을 관리한다.

• 장점 : 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
• 단점 : 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성

비정형 접근법(Informal Approach)

전문가의 지식과 경험에 따라 위험을 분석

• 장점 : 시간과 비용이 절약되고 작은 조직에서 부담 없이 접근 가능
• 단점 : 구조화된 접근이 아니며 보호대책 및 소요비용의 불확실성 존재

상세 위험분석(Detailed Risk Analysis)

자산의 가치를 측정하고 자산에 대한 위험과 취약성을 분석하여 위험 측정

• 장점 : 조직 내 적절한 보안수준 마련 가능
• 단점 : 전문적인 지식이 필요하고 시관가 비용을 많이 소모

복합 접근법(Combined Approach)

상세 위험 분석과 베이스라인 접근법을 복합적으로 사용

• 장점 : 빠르고 효율적인 보안전략 구축
• 단점 : 적용 대상의 불명확성으로 인한 자원 낭비의 가능성

위험 분석 방법론

정량적 분석 방법

손실액과 같은 숫자값으로 표현

• 장점
  • 정보의 가치가 논리적으로 평가되어 위험관리 성능 평가가 용이하다.
• 단점
  • 계산이 복잡하여 분석하는데 시간, 노력이 많이 든다.
  • 수치작업의 어려움으로 신뢰도가 도구 또는 벤더에 의존된다.

종류

민감도 분석 (Sensitivity analysis)

• 다른 조건이 일정한 경우에 어느 한 투입요소가 변동할 때의 예측치가 어느정도 민감하게 변동하는가를 분석하는 것
• 표시방법 중 토네이도 도표가 있는데 이 도표는 불확실성 수준이 높은 변수의 상대적 중요성을 보다 안정적인 변수와 비교할 때 유용하다.

금전적 기대값 분석 (Expected monetary value analysis) =

• EMV 분석은 발생할 수도 있고 발생하지 않을 수도 있는 시나리오가 미래에 포함될 때 평균결과를 계산하는 통계적 개념이다.
• 기회의 EMV는 양수값으로, 리스크의 EMV는 음수값으로 표현된다.
• EMV는 각 예상 결과 값에 확률을 곱한 다음 모든 값을 더하여 계산한다.
• 일반적으로 의사결정 트리 분석(Decision tree analysis)에서 사용한다.
• 효용이론 (Utility Theory): 서로 다른 수준의 보상으로 리스크를 수용하는 개인의 의지 측정을 위한 이론적 접근법

몬테카를로 시물레이션

• 우연현상의 경과를 난수를 써서 수치적, 모형적으로 실현시켜 그것을 관찰함으로써 문제의 근사 해를 얻는 방법
• 가능한 원가 또는 기간의 확률 분포에서 임의로 선정한(random) 값을 사용하여
• 프로젝트 원가나 프로젝트 일정을 여러 차례 계산하거나 반복하는 방법
• 총 프로젝트 원가 또는 완료날짜의 분포를 산출하는 기법으로 사용한다.

의사결정 나무 분석 (Decision tree analysis)

• 기대 값과 리스크 확률을 곱하여 잠재적 산출 및 영향을 분석하여 의사 결정에 도움이 되는 분석 기법

과거자료 분석법

• 과거의 자료를 통한 위험발생 가능성 예측, 과거 데이터 수량에 따른 정확도

수학공식 접근법

• 위협발생빈도를 계산하는 식을 이용하여 위험을 계량화

확률분포법

• 미지의 사건을 확률적으로 편차를 이용하여 최저,보통, 최고 위험평가를 예측

정성적 분석 방법

어떠한 위험 상황에 대한 부분을 (매우높음, 높음, 중간, 낮음) 등으로 표현

• 장점
  • 정보자산에 대한 수치화가 불필요하여 계산에 대한 시간과 노력이 적게 든다.
• 단점
  • 위험평가 과정과 측정기준이 일관되지 않고 주관적이다.
  • 위험완화 대책 및 비용·효과에 대한 명확한 근거가 없다.
  • 위험관리 성능을 추적할 수 없다.

종류

• • 델파이법 : 전문가 집단의 의견과 판단을 추출, 짧은 시간에 도출, 정확도 낮음
  • 시나리오법 : 특정시나리오를 통하여 발생가능한 위협의 결과를 우선순위로 도출 정확도 낮음
  • 순위결정법 : 비교우위 순위 결정표에 위험 항목들의 서술적 순위를 결정 정확도 낮음