보호할 정보와 업무를 먼저 구분합니다

서비스 이름과 장비 수만 나열하지 말고 저장한 정보, 처리하는 업무와 연결된 외부 서비스를 함께 정리합니다. 누가 관리하고 누가 접근하는지, 사본과 백업이 어디에 있는지도 확인합니다.

기밀성은 부당한 공개, 무결성은 부당한 변경, 가용성은 필요한 때의 이용과 관련됩니다. 같은 데이터라도 유출, 변경과 중단의 업무 영향은 서로 다를 수 있습니다.

위협과 약점 및 실제 영향을 연결합니다

위협은 피해를 일으킬 수 있는 원인이고 취약점은 악용될 수 있는 약점입니다. 노출된 경로와 필요한 공격 조건을 확인하고 어떤 정보와 업무까지 영향을 받을 수 있는지 판단합니다.

제품 경고 수나 CVSS 숫자를 위험 전체로 대체하지 않습니다. 이미 적용한 권한 제한과 분리 및 복구 수단의 실제 상태를 확인해 남는 위험을 기록합니다.

접근 제어, 암호화와 패치 같은 예방 조치, 로그와 경고를 통한 탐지, 사고 대응과 복구는 서로 다른 역할입니다. 한 제품이 여러 기능을 제공해도 각 기능이 어디까지 동작하는지 확인해야 합니다.

같은 관리자 계정이나 저장 위치에 모든 통제가 의존하면 함께 무너질 수 있습니다. 심층 방어는 제품의 개수보다 실패 경로와 권한 및 책임의 분리를 함께 설계하는 원리입니다.

허용된 사용자가 필요한 작업을 할 수 있는지와 허용하지 않은 접근이 차단되는지를 각각 시험합니다. 중단 시에는 실제 복구 가능한 데이터와 업무 기능을 확인합니다.

확인된 결과와 미확인 범위를 구분하고 설정을 바꾸면 기존 기준과 영향 범위를 다시 대조합니다. 남는 위험의 수용과 예외는 책임자 및 재검토 조건을 갖춰 관리합니다.