위험 대응에는 회피, 완화, 공유, 이전, 수용이 포함될 수 있습니다. 전송을 중단하는 것은 해당 활동을 피하는 선택이고, 암호화·접근통제는 사건 가능성이나 영향을 낮추는 완화입니다. 보험이나 계약은 일부 손실·책임을 나눌 수 있지만 취약점이나 사건 발생 가능성을 자동으로 제거하지 않습니다.
대응 뒤에도 잔여 위험이 남을 수 있습니다. NIST 위험관리체계의 연방 RMF에서는 위험 수용 권한을 가진 담당자가 결정하고 결과를 기록·모니터링합니다.
선택의 목적과 바꾸려는 대상을 적습니다
위험을 평가한 뒤에는 위험을 어떤 방식으로 다룰지 결정합니다. 위험 회피는 특정 활동을 중단하거나 피함으로써 해당 위험 경로를 제거하려는 선택입니다. 완화는 통제를 적용해 사건 가능성이나 영향 등을 낮추려는 선택입니다. 공유나 이전은 계약·보험 등으로 손실이나 책임의 일부를 다른 당사자와 나누는 방식입니다. 수용은 조건과 근거를 검토한 뒤 남는 위험을 조직이 받아들이기로 하는 결정입니다. NIST 위험평가 지침은 위험 대응 용어를 이와 같은 선택으로 설명하고, NIST 위험관리체계는 연방 RMF에서 수용·완화와 대응 책임을 다룹니다.
| 선택 | 교육용 조치 | 바뀌는 점과 남는 점 |
|---|---|---|
| 회피 | 민감한 파일을 외부에 전송하지 않기로 결정 | 전송 경로의 노출을 피하지만 업무 목적도 다시 정해야 함 |
| 완화 | 승인된 수신자만 접근하고 전송·저장 자료를 암호화 | 무단 접근 가능성이나 노출 영향을 낮출 수 있으나 설정·키 관리 위험이 남음 |
| 공유·이전 | 계약·보험으로 일부 손실 부담을 분담 | 재정적·계약상 부담을 나눌 수 있어도 기술적 사건 가능성이 자동 제거되지 않음 |
| 수용 | 남는 위험과 근거를 승인 권한자가 문서화해 수용 | 위험이 없어지는 것이 아니며 변경 여부를 계속 살펴야 함 |
보험 가입과 보안 통제를 같은 대응으로 보지 않습니다
새로 만든 교육 사례입니다. 한 팀이 외부 협력사에 민감한 설계 파일을 보내려 합니다. 전송 자체를 하지 않으면 위험을 피하는 선택이 될 수 있습니다. 업무가 필요하다면 수신자의 신원을 확인하고 접근을 제한하며 적절한 암호화와 만료 정책을 적용하는 완화를 검토합니다. 보험이나 계약은 사고가 났을 때 일부 비용을 분담할 수 있지만, 수신자가 권한 밖에서 파일을 열거나 재전송하는 가능성을 직접 막는 기술 통제는 아닙니다. 두 방식을 병행할 수는 있어도 보험만으로 노출 가능성이 줄었다고 점수를 낮추면 근거가 부족합니다.
위험을 공유하거나 이전해도 당사자 사이의 실제 책임 배분은 계약 문구, 적용 법, 사실관계에 따라 달라집니다. 이 글은 법률 해석이나 보험 보장 범위를 판단하지 않습니다. 위험관리 관점에서 중요한 차이는 사건의 발생 경로를 바꾸는 조치와 발생 뒤 손실 부담을 나누는 조치가 다르다는 점입니다. 이전을 선택해도 조직의 데이터가 노출될 수 있고 업무 중단·평판 영향이 남을 수 있습니다. 따라서 기술·운영 위험과 재정적·계약상 대응을 따로 평가해야 합니다.
- 위험에 노출된 자산과 사건, 예상 영향을 문장으로 적습니다.
- 활동을 중단해 위험 경로를 피할 수 있는지 살핍니다.
- 계속 수행해야 한다면 가능성 또는 영향을 낮출 통제를 정합니다.
- 남는 손실이나 책임을 외부와 나누는 계약 방식이 실제 무엇을 바꾸는지 별도로 확인합니다.
- 남은 위험을 조직의 허용도와 비교하고 권한이 있는 담당자가 수용 여부를 결정·기록합니다.
흔한 오답은 선택지를 서로 배타적인 네 칸으로만 외우는 것입니다. 실제 대응은 상황에 따라 여러 방법을 조합할 수 있습니다. 파일을 전송하지 않는 것이 당장은 회피지만, 다른 업무 방식으로 바꾸는 동안 새로운 위험이 생길 수 있습니다. 암호화를 적용해도 수신자 계정이 탈취되거나 복호화 키가 함께 노출될 수 있습니다. 보험을 유지해도 접근 통제가 필요합니다. 수용을 선택하면 결함을 숨기거나 문서화를 멈추는 것이 아니라, 책임 있는 권한자가 근거·범위·재검토 조건을 확인합니다.
위험을 받아들이는 권한과 잔여 위험을 확인합니다
NIST 위험관리체계의 RMF에서 위험 대응을 수행하는 담당자는 권한을 부여하는 책임자 또는 그 지정 대리인입니다. 이 문서는 대응 선택으로 수용과 완화를 설명하고, 수용하는 결함도 평가 보고서에 남겨 위험 요인의 변화를 모니터링하도록 합니다. 수용은 “위험이 없다”는 확인이 아니라 남는 위험을 알고 받아들이는 결정입니다. 문서 범위는 연방 정보시스템과 조직을 위한 RMF이므로 모든 민간 기업의 역할표나 법적 의무로 복사하지 않습니다.
회상 연습: 전달을 중단할 수 없다면 무엇을 더하나요
교육용 문제입니다. 민감한 파일을 협력사에 보내야 하고 업무를 중단할 수 없습니다. 수신자 확인과 암호화를 적용하고, 별도 계약으로 사고 비용 일부를 나누기로 했습니다. 세 조치를 각각 어떤 대응으로 설명할 수 있나요? 계약을 추가했다고 무단 열람 가능성이 사라지나요? 통제 뒤 남는 위험을 수용하는 결정은 누가 해야 하나요?
수신자 확인과 암호화는 사건 가능성이나 영향을 줄이려는 완화입니다. 계약으로 비용 일부를 나누는 것은 공유 또는 이전에 해당할 수 있습니다. 계약은 무단 열람을 막는 기술 통제가 아니므로 가능성을 자동으로 없애지 않습니다. NIST 위험관리체계가 설명하는 RMF에서는 권한을 가진 담당자가 위험 수용을 결정합니다. 이 분류는 설명을 위해 새로 만든 사례이며 실제 계약 효과를 판정하지 않습니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
민감 파일을 협력사에 보내며 암호화를 적용하고 보험으로 손실 일부를 보전한다. 두 조치는 같은 대응인가? 보험이 무단 접근 위험 자체를 제거하는가?
정답과 해설 확인
암호화는 위험 완화이고 보험은 손실 부담을 공유하거나 이전하는 대응입니다. 보험이 무단 접근 위험을 자동 제거하지 않습니다.NIST 위험평가 지침의 risk response 선택에는 수용·회피·완화·공유·이전이 포함됩니다. NIST 위험관리체계는 RMF에서 위험 수용과 완화의 권한 및 기록을 설명합니다. 실제 보험 보장·계약 효과를 이 분류만으로 판단하지 않습니다.