[보안] 위험분석 접근법(베이스라인 접근법/상세위험 분석법/복합 접근법)

 

1. 베이스라인 접근법

1) 정의
- 국내외 표준, 기존에 마련되어 있는 법령, 가이드 등으로 기준을 정하여 위험을 관리
- 표준화된 보호대책을 체크리스트 형태로 제공

2) 장점
- 시간 및 비용 절약 모든 조직에서 기본적으로 필요한 보호 대책 선택 가능
- 고위험 영역을 신속하게 식별하고 처리 가능

3) 단점
- 조직의 특성이 미반영되어 적정 보안 수준 초과 또는 미달 가능성
- 보안 상태 자체보다 체크리스트 점수에 집착할 수 있음

2. 상세위험 분석법

1) 정의
- 정립된 모델에 기초하여 자산분석, 위협분석, 취약성분석 각 단계를 수행하여 위험을 평가
- 조직의 자산과 보안 요구사항을 구체적으로 분석하여 대책 수립

2) 장점
- 조직 내 적절한 보안수준 마련 가능
- 보안 환경의 변화에 따른 새로운 위험에 대한 분석 용이

3) 단점
- 전문적인 지식이 필요하고 시간과 비용을 많이 소모
- 수작업의 어려움으로 자동화 도구 사용시 벤더 의존 가능성 높음

3. 복합 접근법

1) 정의
- 상세 위험 분석과 베이스라인 접근법을 복합적으로 사용

2) 장점
- 비용과 자원을 효율적으로 사용할 수 있음. 고위험 영역을 빠르게 식별이 가능

3) 단점
- 고위험 영역이 잘못 식별되었을 경우, 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있음