문제에서 가능성 3, 영향 4를 곱하라고 주었다면 3×4=12라고 계산할 수 있습니다. 그러나 12라는 값만으로 실제 사건의 확률·손실이나 모든 조직의 우선순위가 정해지지는 않습니다.
NIST 위험평가 지침은 위험을 가능성과 영향의 조합으로 보지만, 위험 요소를 결합하는 알고리즘을 하나로 지정하지 않습니다. Appendix I는 질적 행렬과 반정량 척도의 예를 제시하므로 평가방법과 입력의 의미를 함께 확인해야 합니다.
먼저 문제에 계산식이 있는지 확인합니다
위험 점수 문제에서 가장 먼저 확인할 것은 사용할 척도와 계산 규칙입니다. 교육용으로 가능성과 영향을 각각 1부터 5까지 매기고 곱한다고 가정해 보겠습니다. 가능성 3, 영향 4라면 3×4=12입니다. 반대로 가능성 4, 영향 3이라 해도 4×3=12입니다. 산술상 두 결과는 정확히 같습니다. 그러나 두 사건의 특성까지 같다는 뜻은 아닙니다. 한쪽은 자주 일어날 가능성이 상대적으로 크고 결과 영향은 작을 수 있으며, 다른 쪽은 드물지만 영향이 더 클 수 있습니다.
| 교육용 가능성 점수 | 교육용 영향 점수 | 곱셈 결과 | 곱만으로 알 수 없는 것 |
|---|---|---|---|
| 3 | 4 | 3×4=12 | 어떤 피해가 생기는지와 평가 근거 |
| 4 | 3 | 4×3=12 | 발생 경로, 불확실성, 조직 우선순위 |
여기서 1–5 점수와 곱셈은 개념을 설명하려고 새로 둔 예시입니다. NIST가 모든 위험 평가에서 이 산식을 사용하라고 한 것이 아닙니다. 가능성과 영향의 순서 값이 무엇을 뜻하는지, 인접한 점수 간 차이가 같은 비율을 나타내는지, 누가 어떤 근거로 평가했는지 먼저 정해야 합니다. 자료가 충분하지 않다면 12라는 결과만 보고 “위험이 12만큼”이라고 실제 확률이나 손실처럼 해석할 수 없습니다.
NIST 예시도 단일 곱셈 공식이 아닙니다
NIST 위험평가 지침은 위험 요소를 정의하고 서로 어떤 관계인지 설명하는 위험 모형을 두되, 그 값들을 결합하는 알고리즘을 표준에서 하나로 정하지 않는다고 밝힙니다. Appendix I의 Table I-2에는 가능성과 영향의 말로 된 등급을 조합하는 질적 행렬이 있습니다. Table I-3에는 위험 수준별 질적 값과 반정량 값의 예가 있습니다. 이것은 해당 지침이 계산 예를 전혀 주지 않는다는 뜻이 아닙니다. 조직이 정한 척도와 대응 표를 사용할 수 있지만, 예시 표를 모든 상황에 유일한 공식으로 바꾸지 말라는 뜻입니다.
| 가능성 | 영향 | Table I-2의 위험 수준 |
|---|---|---|
| 높음 | 낮음 | 낮음 |
| 낮음 | 높음 | 낮음 |
| 매우 높음 | 매우 높음 | 매우 높음 |
| 중간 | 높음 | 중간 |
표의 결과는 숫자 곱셈만으로 나오지 않습니다. 질적 설명과 매핑 규칙을 따라 조회합니다. 따라서 문제에서 3과 4를 제시했다면 그 시험의 정의가 ‘3×4’인지, 3과 4가 어떤 표의 분류 코드인지부터 읽으세요. 분류 레이블을 정수로 적었다고 해서 그 값들이 자동으로 비율척도가 되거나, 4가 2보다 정확히 두 배의 위험이라는 뜻이 생기지는 않습니다.
- 척도의 설명을 읽고 숫자가 순위인지, 범위인지, 실제 측정량인지 표시합니다.
- 가능성과 영향의 값이 어디서 왔는지 근거·기간·대상 범위를 확인합니다.
- 문제에서 산식이나 매핑표를 지정했으면 그 규칙 안에서 계산합니다.
- 결과가 같은 항목은 바로 동률로 보지 말고 피해의 시간 범위, 영향 대상, 통제와 불확실성을 추가로 비교합니다.
- 우선순위는 위험 허용도와 사업·임무 목표, 대응 비용 및 결정 권한과 연결해 설명합니다.
점수는 결정을 돕는 표기이지 결정 그 자체가 아닙니다
NIST 위험평가 지침은 평가자가 불확실성, 조직 가정, 주관적 판단을 드러내도록 안내합니다. Appendix J는 비슷한 점수나 등급에 위험이 몰릴 때 대응을 정하기 위해 추가 비교가 필요할 수 있다고 설명합니다. 예를 들어 즉시 발생할 피해와 장기적인 피해, 핵심 업무와의 관계, 다른 위험과의 의존성을 확인할 수 있습니다. 그러므로 점수는 보고서를 정리하는 도구로 사용할 수 있지만, 근거를 대체하거나 자동으로 완화·수용 결정을 내리지는 않습니다.
NIST 위험관리체계의 RMF에서는 권한을 가진 담당자가 평가 자료와 조직의 위험 허용도를 고려해 대응을 결정합니다. 이 절차도 위험 점수 하나를 자동 승인 규칙으로 삼지 않습니다. NIST 문서는 연방 정보시스템과 조직의 위험 관리 지침이므로, 다른 조직은 자기 기준과 규정에 맞춰 적용해야 합니다. 실제 조직의 숫자나 사고 확률을 이 교육 예시로 산출할 수는 없습니다.
회상 연습: 계산과 판단을 나눠 씁니다
교육용 문제입니다. 가능성 점수 3, 영향 점수 4를 곱하라는 산식이 명시되어 있습니다. 결과를 쓰고, 같은 곱이 나온다는 이유만으로 가능성 4·영향 3인 사건과 실제 위험이 같다고 말할 수 있는지 설명하세요. 이어서 NIST 위험평가 지침의 위험 모형이 요구하는 추가 해석을 하나 고르세요.
3×4=12입니다. 4×3도 12지만 각 숫자의 뜻과 근거가 다르면 두 사건이 같다고 결론 내릴 수 없습니다. 추가 설명으로는 피해 영향의 구체성, 가능성 평가의 가정, 불확실성, 조직의 위험 허용도와 임무 우선순위 중 하나를 제시하면 됩니다. NIST 행렬은 조건에 따른 등급 조합의 예이며, 모든 위험 평가에 적용할 곱셈 공식을 대체하지 않습니다. 이 연습의 점수는 교육용 가정입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
문제에서 위험 점수를 가능성×영향으로 정했다. 가능성 3, 영향 4이면 점수는 얼마이며 그 값만으로 실제 위험을 확정할 수 있는가?
정답과 해설 확인
3×4=12입니다. 그러나 산식의 척도·평가 근거·불확실성·조직 맥락을 모르면 실제 위험이나 보편적 우선순위를 확정할 수 없습니다.주어진 교육용 산식의 계산과 실제 위험 판단은 별개입니다. NIST 위험평가 지침 Appendix I는 질적 조합행렬과 반정량 등급 예를 보여 주며 위험 요소를 결합하는 단일 보편 알고리즘을 정하지 않습니다.