위협·취약점·위험, 세 단어를 사고 사례에서 나누기

위협원은 피해를 일으킬 수 있는 행위자나 원천이고, 위협 사건은 실제로 발생할 수 있는 행동·상황입니다. 취약점은 그 사건이 악용할 수 있는 시스템·절차·통제의 약점입니다. 예상 손실은 영향에 해당하며, 위험 평가는 위협 사건이 일어날 가능성과 그 영향의 크기를 함께 판단합니다.

NIST 위험평가 지침은 위협원·사건·취약점·가능성·영향을 따로 살펴 위험을 평가하도록 설명합니다. 한 용어를 다른 용어의 동의어처럼 쓰지 말고 사례의 역할에 따라 나누면 됩니다.

행위자, 사건, 약점, 결과를 다른 칸에 적습니다

‘외부 공격자가 공개 저장소에 접근해 고객 파일을 가져갔다’는 문장을 보겠습니다. 문장 안에 공격자, 공개 설정, 파일 노출이 모두 들어 있지만 이 셋은 같은 보안 용어가 아닙니다. 위협원은 사건을 시작할 수 있는 원천입니다. 위협 사건은 위협원이 할 수 있는 구체적인 행동이나 사고입니다. 취약점은 그 행동이 성공하기 쉬워지는 시스템 또는 절차의 약점입니다. 영향은 사건이 일어났을 때 자산과 조직, 사람에게 생길 수 있는 피해입니다. 위험은 하나의 단어로 사건을 다시 이름 붙이는 대신, 위협 사건의 가능성과 영향 등을 평가한 결과입니다.

이 예시는 설명을 위해 새로 만든 가상 사례이며 실제 공개 저장소나 실제 침해를 가리키지 않습니다. NIST 위험평가 지침은 취약점을 위협원이 악용할 수 있는 정보시스템, 보안 절차, 내부 통제 또는 구현의 약점으로 설명합니다. 잘못된 공개 권한은 이 사례에서 약점입니다. 반면 공격자라는 주체는 취약점이 아니고, 파일 공개라는 사건도 취약점과 같지 않습니다. 파일이 민감하지 않거나 접근 이력이 제한되어 있었다면 영향 판단도 달라질 수 있습니다.

위험은 ‘나쁜 설정’만으로 계산되지 않습니다

‘공개 설정이 잘못됐다’는 사실은 취약점을 설명하지만, 그 문장만으로 위험의 수준을 알 수는 없습니다. 누가 어떤 경로로 저장소를 찾을 수 있는지, 실제 파일에 무엇이 들어 있는지, 접근이 얼마나 지속되는지, 노출 뒤 어떤 피해가 가능한지 살펴야 합니다. NIST 위험평가는 위협원과 위협 사건을 정한 뒤 취약점과 선행 조건, 사건의 가능성, 영향 등을 검토합니다. 문서에서 말하는 위험은 사건의 가능성과 잠재적 악영향에 주로 연결되지만 평가 모형은 조직의 목적과 가정에 따라 구체화합니다.

1. 사건을 동사로 씁니다. 예를 들어 권한 없는 사용자가 파일을 열거나, 공격자가 파일을 바꾸거나, 이용자가 서비스에 접속하지 못하는 상황을 적습니다.
2. 사건을 일으킬 수 있는 위협원을 표시합니다. 적대적 행위자만이 아니라 잘못된 운영이나 사고 원천도 문맥에 따라 검토할 수 있습니다.
3. 사건이 성공하거나 피해를 키울 약점을 찾습니다. 시스템 구성뿐 아니라 절차, 통제, 조직의 선행 조건도 살펴봅니다.
4. 사건이 일어날 가능성과 성공했을 때의 영향을 분리해 근거를 적습니다.
5. 무엇이 아직 불확실한지 표시한 뒤 위험 수준과 대응 우선순위를 판단합니다.

흔한 오답은 ‘취약점이 있으니 위험이 높다’고 바로 결론 내리는 것입니다. 약점은 위험을 높이는 한 요소일 수 있지만 공격 사건의 관련성, 가능성, 영향과 통제 상태가 함께 필요합니다. 반대로 공격자가 확인되지 않았으니 위험이 없다고 단정하는 것도 성급합니다. NIST 위험평가 지침은 위험을 정할 때 가정과 주관적 판단에서 생기는 불확실성을 드러내라고 안내합니다. “위험이 없다”보다 “어떤 위협 사건을 어떤 가정과 자료로 평가했는가”를 설명하는 편이 정확합니다.

위험 평가 결과는 대응 결정을 위한 입력입니다

NIST 위험평가 지침은 미국 연방 정보시스템과 조직의 위험평가 지침입니다. 이 문서를 인용한다고 해서 모든 민간 조직에 같은 법적 의무가 생기는 것은 아닙니다. NIST 위험관리체계는 위험관리 체계에서 평가 결과가 대응으로 이어지는 흐름과 역할을 설명합니다. 그 연방 RMF에서 권한을 부여하는 담당자는 평가 결과와 조직 맥락을 보고 수용 또는 완화 같은 대응을 결정합니다. 따라서 위험 점수는 그 자체로 자동 조치 명령이 아니며, 결정 권한과 조직의 허용도에 연결됩니다.

회상 연습: “비밀번호 없는 링크”에서 역할을 찾습니다

교육용 문제입니다. 한 직원이 아직 공개 승인을 받지 않은 내부 검토용 홍보 자료를 암호가 없는 공유 링크로 보냈고, 공유 정책상 접근 권한이 없는 외부인이 링크를 열 수 있다고 가정합니다. 위협 사건, 링크 설정의 취약점, 가능한 영향은 각각 무엇인가요? 외부인이 누구인지 아직 모를 때 위험 평가를 하지 않아도 될까요?

위협 사건은 허가되지 않은 사람이 공유 자료를 열람하는 일입니다. 취약점은 링크에 접근 제한이나 만료 조건이 없다는 설정입니다. 영향은 자료에 포함된 정보와 공개 범위에 따라 달라집니다. 자료가 민감하지 않다면 영향은 제한적일 수 있지만, 이는 링크 설정이 좋은 통제라는 뜻은 아닙니다. 특정 공격자가 밝혀지지 않았어도 위협 사건과 접근 조건, 영향 정보를 바탕으로 평가할 수 있습니다. 이 연습은 역할 분류를 위해 새로 구성한 사례입니다.