NIST SP 800-61 Rev.3에서 이벤트는 컴퓨팅 자산과 관련해 관찰 가능한 발생입니다. 보안사고 정의에는 무권한으로 정보나 정보시스템의 기밀성·무결성·가용성을 실제 또는 임박하게 위협하는 경우, 또는 법·보안정책·절차·허용 사용정책의 위반이나 임박한 위반이 포함됩니다.
실패한 로그인 한 건만으로 침해를 확정할 수도, 사고 가능성을 무시할 수도 없습니다. 이벤트를 단서로 주변 기록과 영향·임박성을 분석하고 조직의 기준에 따라 판단합니다. 아래 로그와 시간은 설명을 위한 가상 예시입니다.
이벤트는 관찰이고 사고는 영향에 대한 판단입니다
NIST SP 800-61 Rev.3는 event를 컴퓨팅 자산과 관련해 관찰 가능한 발생으로 정의하고, adverse cybersecurity event는 사이버보안에 잠재적인 부정적 영향이 있는 사건으로 설명합니다. 이런 adverse event가 보안사고인지 판단하려면 추가 분석이 필요할 수 있습니다. Rev.3의 사고 정의는 ‘without lawful authority’인 기밀성·무결성·가용성 위협과 법·보안정책·절차·허용 사용정책의 실제 또는 임박한 위반을 구분해 제시합니다. NIST SP 800-171 Rev.3 부록의 incident 정의도 무권한 조건과 해당 위협·위반 기준을 담고 있습니다. 따라서 관찰된 이벤트, 잠재적 부정 영향, 사고 정의에 해당하는 사실을 각각 적어야 합니다.
| 상황 | 관찰·권한 사실 | 분류 근거와 남은 확인 |
|---|---|---|
| 승인되지 않은 계정이 금지된 운영 콘솔에 접근을 시도했지만 접근통제가 차단함 | 요청은 차단됐고 시스템 접근은 성공하지 않음. 담당자는 해당 행위가 정책상 금지됐음을 확인 | 자산 영향이 없더라도 실제 정책 위반 여부를 사고 정의에 대조. 행위자·권한·정책 범위를 확인 |
| 승인된 팀이 변경 승인서의 범위와 시간 안에서 부하 시험을 수행 | 높은 요청량은 관찰됐지만 승인 범위 안이고 서비스 영향은 관찰되지 않음 | 이벤트로 기록하되 그 사실만으로 무권한 위협이나 정책 위반을 결론 내리지 않음. 영향과 승인 범위를 기록 |
| 시험 트래픽 때문에 오류율이 올라갔지만 요청의 승인 범위는 확인되지 않음 | 부정적 영향 신호가 관찰됐으나 권한과 임박한 위협 여부는 미확인 | adverse event로 분석하고 승인 기록·서비스 영향·보안 정책을 확인하기 전에는 사고 여부를 미확정으로 둠 |
관찰 사실과 사고 결론 사이에 조사 단계를 둡니다
첫 번째 행은 접근이 차단됐더라도 운영 정책이 해당 행위를 명시적으로 금지했고 위반 사실이 확인된 경우입니다. 사고 정의는 CIA 위협뿐 아니라 실제 정책 위반도 별도 기준으로 둡니다. 따라서 ‘차단됐으니 사고가 아니다’라고 단정하지 않고, 요청자 권한과 적용 정책을 확인해야 합니다. 반면 두 번째 행은 승인된 부하 시험입니다. 요청량이 많다는 관찰은 이벤트지만, 승인 범위에 있고 영향이나 정책 위반이 없다면 이를 무권한 사고로 바꿀 근거가 없습니다.
세 번째 행처럼 서비스 지표 악화가 관찰되면 부정적 영향의 가능성을 조사하되, 단지 영향이 보였다는 이유로 무권한 위협이나 사고를 확정하지 않습니다. 시험의 승인 여부, 실제 가용성 저하, 보안정책 위반, 중단 조건을 대조합니다. Rev.3는 potential negative impact가 있는 adverse cybersecurity event와 사고 정의를 나누고, 추가 분석이 필요할 수 있다고 설명합니다. 이 대비는 실패한 로그인 기록을 성공 여부와 비교하는 기존 학습 흐름과 달리, 차단된 정책 위반과 승인된 시험의 차이를 판단하는 연습입니다.
로그를 읽을 때 사실·영향·판단을 분리합니다
- 기록에서 직접 관찰된 행위, 시각, 계정, 자산만 먼저 적습니다.
- 성공·실패, 권한 수준, 정상 작업과의 차이를 다른 기록으로 교차 확인합니다.
- 기밀성·무결성·가용성 또는 정책·법·보안 절차 중 어떤 목표가 영향을 받았는지 찾습니다.
- 위협이 이미 발생했는지, 임박했는지, 가능성만 제기됐는지 증거 수준을 구분합니다.
- 조직의 사고 정의와 보고 기준에 따라 분류하고, 미확인 항목은 단정하지 않고 남깁니다.
NIST의 정의는 사고를 알아보는 개념 기준을 제공하지만 개별 조직의 신고·통보 의무나 내부 등급 체계를 대신하지 않습니다. 법적 통지 기한, 위기 등급, 담당자 호출은 적용되는 법령과 계약, 조직 절차를 따로 확인해야 합니다. 이 글은 시험에서 이벤트와 사고의 용어 차이를 설명하기 위한 학습 자료이며 특정 로그를 법적으로 판정하는 지침이 아닙니다. 기존 로그 분석 글이 시도와 성공을 분리한다면, 이 글은 그 로그를 더 넓은 사고 영향 기준에 연결하는 다음 질문을 다룹니다.
‘이상 이벤트 한 건이면 사고’라는 등식을 피합니다
흔한 실수는 요청이 차단됐으니 어떤 상황에서도 사고가 아니라고 단정하거나, 승인된 점검에서 경보가 났다는 이유만으로 정책 위반을 선언하는 것입니다. CIA 위협 판단에는 ‘무권한’ 조건이 붙지만, 정책·법·절차 위반은 정의의 별도 갈래입니다. 그러므로 누가 어떤 권한으로 어떤 범위에서 행위했는지, 정책이 그 행위를 허용했는지, 실제 또는 임박한 영향이 있었는지 각각 확인합니다. 기록의 개수나 경보 심각도는 이 조건을 대신하지 않습니다. 출처의 정의에 없는 조직 내부 신고 기준을 추정하지 말고, 해당 조직의 기준은 따로 확인합니다.
어떤 증거가 분류를 바꾸는지 회상합니다
회상할 때는 먼저 ‘누가 허가 없이 CIA를 위협했는가’와 ‘법·정책·절차 위반이 있었는가’를 서로 다른 질문으로 적습니다. 금지된 행위가 차단됐더라도 정책 위반이 확인되면 사고 정의의 별도 갈래를 검토합니다. 승인된 부하 시험은 요청량이 높다는 사실만으로 무권한 사고가 되지 않습니다. 승인 기록과 서비스 영향이 불확실한 세 번째 사례는 더 조사할 항목을 쓰고 미확정으로 둡니다. 이 세 칸은 관찰 사실, 권한·정책 조건, 실제·임박한 영향의 근거입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 사례 A는 승인되지 않은 계정의 금지된 운영 콘솔 접근이 차단됐고, 정책상 금지된 행위임이 확인됐다. 사례 B는 승인된 부하 시험에서 높은 요청량이 관찰됐으나 영향은 확인되지 않았다. 각각 이벤트·adverse event·사고를 어떻게 판단하고 추가로 무엇을 확인해야 하나요?
정답과 해설 확인
A는 관찰된 이벤트이며, 금지된 행위가 실제 보안정책 위반으로 확인됐으므로 무권한 접근 성공 여부와 별개로 사고 정의의 정책 위반 갈래를 검토합니다. B도 관찰된 이벤트지만 승인 범위의 시험이고 부정 영향이 확인되지 않았다면 이 사실만으로 사고라 할 수 없습니다. 두 사례 모두 승인 범위, 행위자 권한, 실제·임박한 CIA 위협, 영향과 적용 정책을 대조하고 미확인 사항을 남깁니다.NIST SP 800-61 Rev.3는 event와 잠재적으로 부정적 영향이 있는 adverse cybersecurity event를 구분하며, 사고 정의에는 무권한 CIA 위협과 정책 등 위반이라는 갈래가 있습니다. NIST SP 800-171 Rev.3의 정의도 무권한 조건을 명시하지만 CUI 시스템 지침의 맥락임을 유의합니다.