Risk 위험

보안 위험은 위협 사건의 발생 가능성과 그로 인한 영향을 고려해 보호 대상의 손실 가능성을 판단하는 개념입니다.

업무와 자산의 중요도, 노출 상태, 기존 통제와 피해 범위를 함께 평가합니다. 같은 취약점이라도 인터넷에 노출된 핵심 서비스와 격리된 시험 장비의 대응 우선순위는 달라질 수 있습니다.

개인정보가 있는 서버의 공개 접근과 내부 시험 페이지의 표시 오류를 같은 점수만으로 동일하게 취급하지 않는 예입니다.

통제 전의 위험과 통제 후 남는 잔여 위험을 구분합니다. 회피, 감소, 이전과 수용은 대응 선택지이며 수용에도 책임자와 근거가 필요합니다.

발생 가능성과 영향을 항상 단순 곱셈으로 산출하는 것은 아닙니다. 조직의 평가 방법을 명시하고 CVSS나 제품 경고 수를 위험 전체로 대체하지 않습니다.

이 절의 용어: Residual risk / 잔여 위험

잔여 위험은 보호 통제를 적용한 뒤에도 남는 위험입니다. 통제를 설치했다는 사실과 실제 위험 감소 효과는 별도로 확인해야 합니다. 남은 위험을 수용한다면 책임자, 근거와 재검토 조건을 남기고 상황 변화에 따라 다시 평가합니다.