위협, 취약성, 위험

자주 헷갈리는 단어가 세 가지 있다. 이 단어들을 구분하면 보안의 나머지 내용도 더 쉬워진다.

• 위협은 피해를 일으킬 수 있는 것이다. 범죄자, 부주의한 실수, 폭풍, 정전, 홍수 등이 그 예다.
• 취약성은 위협이 이용할 수 있는 약점이다. 잠그지 않은 문, 업데이트되지 않은 소프트웨어, 메모지에 적어 둔 비밀번호 등이 그 예다.
• 위험은 위협이 약점을 이용할 가능성에 그 결과가 얼마나 심각할지를 곱한 것이다.

예를 들어 보자. 강은 집에 대한 위협이다(홍수를 일으킬 수 있기 때문이다). 계곡 바닥에 사는 것은 취약성이다. 위험은 홍수가 일어날 가능성과 홍수가 일으킬 피해의 크기를 함께 고려한 것이다. 가구를 위층으로 옮긴다고 강이 사라지는 것은 아니다. 다만 영향의 일부를 줄일 수 있다.

위험 점수 매기기. 팀에서는 보통 각 위험에 간단한 척도로 두 가지 점수를 매깁니다. 예를 들어 1(낮음)부터 5(높음)까지입니다.

• 가능성: 다음 1년 안에 일어날 가능성이 얼마나 높은가?
• 영향: 실제로 일어난다면 얼마나 큰 피해가 생길까?

그런 다음 위험 = 가능성 × 영향으로 계산합니다. 각 위험을 5 × 5 격자(위험 매트릭스)에 배치하면, 오른쪽 위 모서리에 가장 긴급한 문제가 놓입니다. 다음은 만든 예시입니다.

이 점수는 서열 척도에 따른 판단(순서는 정해져 있지만 정확한 값은 아님)입니다. 점수 12가 6보다 "두 배 더 실제적"인 것은 아닙니다. 이 격자는 정렬하고 논의하기 위한 방법이지, 물리량을 측정하는 방법이 아닙니다. 좋은 대화의 시작점으로 활용하되, 그 극한을 솔직하게 인정하세요.

위험에 어떻게 대응할 수 있을까요? 일반적인 방법은 네 가지입니다.

• 줄이기: 가능성이나 영향을 낮추는 보호 장치를 추가합니다(업데이트, 백업, 잠금장치, 교육).
• 받아들이기: 위험이 충분히 작거나 해결하는 데 비용이 너무 많이 든다고 판단하고, 이를 알고도 감수합니다.
• 이전하기: 보험이나 신뢰할 수 있는 서비스 제공업체를 이용하는 등, 비용의 일부를 다른 사람이 부담하게 합니다.
• 피하기: 위험한 일을 그만둡니다(필요하지 않은 데이터는 수집하지 않기).

추가하는 보호 장치를 통제 수단이라고 합니다. 모든 통제 수단에는 비용(돈, 시간, 편리함)이 따르므로, 방어 담당자의 진짜 역할은 예산으로 위험을 가장 많이 줄이는 방법을 찾는 것입니다.

위험이 0인 상태는 존재하지 않습니다. 잠긴 방에 꺼진 컴퓨터를 두어도 도난당하거나 고장 날 수 있습니다. 목표는 위험을 0으로 만드는 것이 아니라, 이해할 수 있고 받아들일 수 있는 수준으로 만드는 것입니다.