고유 위험이라는 말은 흔히 통제를 고려하기 전의 위험 기준을 가리키지만, 여기서 확인한 NIST 위험평가 지침은 이 말을 공식 용어로 사용하지 않습니다. 이 글은 이를 비교용 교육 용어로만 씁니다. 잔여 위험은 보안 조치 뒤에도 남는 위험을 뜻합니다.
통제는 가능성이나 영향 또는 둘 모두를 낮출 수 있지만 위험을 자동으로 0으로 만들지는 않습니다. NIST 위험관리체계는 위험 대응 뒤에도 잔여 위험이 남을 수 있으며 수용 수준은 조직의 위험 허용도와 연결된다고 설명합니다.
통제 전 기준과 통제 뒤 결과를 구분합니다
위험관리 문제에서는 보안 통제를 넣기 전과 뒤를 비교합니다. ‘고유 위험’은 여러 관리 프레임워크에서 통제 전 위험을 뜻하는 말로 쓰이지만, 이 글에서 확인한 NIST 위험평가 지침에는 그 표현이 나오지 않습니다. 그래서 여기서는 고유 위험을 공식 NIST 용어라고 부르지 않고, 통제를 적용하기 전 평가값을 가리키는 설명용 약칭으로만 사용합니다. 잔여 위험은 보안 조치를 적용한 뒤에도 남아 있는 위험입니다. NIST 위험평가 지침의 부록 B는 잔여 위험을 보안 조치 뒤 남은 위험으로 정의합니다.
| 평가 시점 | 가능성 점수 | 영향 점수 | 교육상 곱 점수 |
|---|---|---|---|
| 통제 전 기준선 | 3 | 4 | 3×4=12 |
| 접근 통제와 백업 뒤 | 2 | 2 | 2×2=4 |
위 숫자는 단지 비교 연습을 위해 새로 만든 1–5 점수와 곱셈 규칙입니다. NIST가 모든 조직에 이 공식이나 점수를 권한 것은 아닙니다. 처음에는 권한 없는 외부 계정이 데이터베이스 레코드를 삭제할 수 있고 복구 가능한 백업도 없다고 가정합니다. 이후 계정별 접근을 제한하는 통제는 삭제 사건의 가능성을 3에서 2로, 검증된 백업과 복구 절차는 데이터 손실의 영향을 4에서 2로 낮춘다고 가정합니다. 계산하면 통제 전은 3×4=12, 통제 후는 2×2=4입니다. 차이는 8점이고, 통제 후 점수 4가 교육용 표에서 남는 위험을 나타냅니다. 이를 실제 손실이 3분의 2 줄었다고 해석할 수는 없습니다.
통제의 종류가 가능성과 영향에 다르게 작용합니다
접근 권한을 잘게 나누면 권한 없는 변경·삭제가 성공할 가능성이 낮아질 수 있습니다. 백업과 복구 절차는 무단 삭제 자체를 막지는 않지만 서비스 중단이나 데이터 손실의 영향을 줄일 수 있습니다. 따라서 통제가 어느 위험 요소를 바꾸는지 기록해야 합니다. 접근 통제를 적용했는데 가능성만 재검토하고 영향 변화를 보지 않는 경우도 있고, 백업을 추가했는데 사건 발생 가능성까지 낮아졌다고 과장하는 경우도 있습니다. 통제 전후 평가는 이름이 아니라 통제가 작용하는 경로와 남은 조건을 따라 해야 합니다.
- 사건과 자산, 통제 전의 가능성·영향 판단 근거를 정합니다.
- 추가하거나 바꾼 통제가 막거나 줄이려는 조건을 적습니다.
- 통제 후에도 우회 경로·미보호 자산·복구 지연이 남는지 다시 살핍니다.
- 같은 평가 척도를 유지해 변화한 입력을 갱신합니다.
- 잔여 위험과 불확실성을 보고하고, 수용 권한이 있는 담당자가 결정하도록 합니다.
NIST 위험관리체계는 위험 대응에 수용과 완화 등이 포함될 수 있고, 대응 여부와 관계없이 일정한 잔여 위험이 남는다는 점을 설명합니다. 남은 위험을 받아들일 수 있는 수준은 조직의 위험 허용도에 달립니다. 해당 RMF 절차에서는 권한을 가진 담당자가 수용 여부를 결정하며, 수용했다고 해서 평가 결과를 삭제하지 않습니다. 결과는 문서화하고 위험 요인이 바뀌는지 살핍니다. 그러므로 시스템 관리자나 개발자가 통제를 적용했다는 이유만으로 잔여 위험을 임의로 수용할 수 있다고 쓰면 역할을 잘못 설명합니다.
회상 연습: 통제 뒤 위험을 다시 봅니다
교육용 문제입니다. 권한 없는 계정이 데이터베이스 기록을 삭제할 수 있는 상황의 통제 전 점수가 가능성 3, 영향 4이고 계산 규칙이 점수 곱셈입니다. 접근 통제가 가능성 점수를 2로 낮추고, 검증된 복구용 백업이 데이터 손실의 영향 점수를 2로 낮춘다고 가정합니다. 두 점수는 각각 얼마이고, 이 결과가 NIST의 공식 산식 또는 실제 위험 감소율을 뜻하나요? 잔여 위험을 수용하는 역할은 누구에게 연결되나요?
통제 전 점수는 3×4=12, 통제 후 교육용 점수는 2×2=4입니다. 이 산식은 예시의 규칙일 뿐 NIST의 보편 공식이 아니며, 12에서 4로 바뀌었다고 실제 위험이 정확히 3분의 1이 되었다는 뜻도 아닙니다. 잔여 위험은 조직의 위험 허용도와 관련되며, NIST 위험관리체계의 RMF 설명에서는 권한 있는 담당자가 위험을 수용할 수 있습니다. 이 숫자는 통제 전후 평가의 구조를 연습하도록 새로 만든 가정입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
통제 전 교육용 점수는 가능성 3점과 영향 4점이다. 통제 후 가능성은 2점, 영향도 2점으로 다시 평가했다. 곱셈 규칙으로 두 시점의 점수를 계산하고, 이 수치가 공식 NIST 산식 또는 실제 위험 감소율인지 판단하라.
정답과 해설 확인
통제 전은 3×4=12, 통제 후는 2×2=4입니다. 예시용 계산이며 NIST가 모든 위험 평가에 지정한 공식이나 실제 위험 감소율이 아닙니다.NIST 위험평가 지침은 가능성과 영향을 조합하는 위험평가 예를 제공하지만 고유 위험이라는 용어를 쓰지 않습니다. NIST 위험관리체계는 대응 이후 잔여 위험이 남고 수용 수준이 조직의 위험 허용도와 관련된다고 설명합니다.