정보보안기사 실기 재도전 11 — 위험분석·정보보호대책 + 재해복구 (정성/정량·SLE·ALE·위험 대응 4가지·BCP·DR센터)
출제기준 주요항목 4. 위험분석 및 정보보호 대책 수립
(4-1 IT 자산 위협 분석 / 4-2 위협·취약점 분석 / 4-3 위험평가 / 4-4 정보보호대책 선정·이행계획) + 3-2-4 백업·복구
서술형이 가장 자주 걸리는 파트입니다.
1~32회를 살펴보면 위험분석 서술은 22·27·28·29·30회에서 반복해서 나왔어요.
암기량은 적고 "정의 → 장단점 → 예시" 틀만 잡으면 되는, 가성비 높은 영역입니다.
이전 편:2026.11.08 - [자격증 정복/정보보안(산업)기사] - 정보보안기사 실기 재도전 10 — 보안관제 (웹 로그·패킷·세션 분석, 침해사고 대응, 포렌식)
이번 편 출제 맵 ⭐⭐⭐
| 주제 | 출제 회차 (예시) | 유형 |
| 자산·위협·취약점 개념과 관계, 손실 없는 조건 | 30회 16번, 26회 11번, 12회 8번 | 서술·단답 |
| 대책 / 잔류 위험 / 수용 가능한 위험 수준(DoA) | 22회 12번, 18회 5번 | 단답 |
| 자산 분석 절차 (식별 → 관리자 지정 → 중요도) | 18회 8번, 23회 12번 | 단답 |
| 자산 중요도 설정 개념 + 중요사항 3가지 | 28회 15번 | 서술 |
| 위험분석 접근법 4가지 (기준선·상세·복합) | 29회 9번, 13회 9번, 20회 3번 | 단답 |
| 복합 접근법 개념·장단점 | 27회 13번, 6회 11번 | 서술 |
| 기준선 vs 상세 위험분석 | 22회 14번 | 서술 |
| 정성적 분석 (델파이·시나리오·순위결정) | 30회 10번, 13회 7번, 20회 2번 | 단답 |
| 정량적 분석 (SLE·ALE·ROI) | 4회 16번, 7회 12번, 11회 9번, 21회 15번, 16회 15번 | 서술·실무 |
| 위험관리 절차 (6단계, ISO 31000, PDCA) | 31회 7번, 24회 7번, 26회 12번, 23회 11번 | 단답 |
| 위험 대응 4가지 | 29회 16번, 27회 11번, 25회 11번, 10회 5번 | 서술·단답 |
| 통제 분류 (물리/기술/관리, 예방/탐지/교정) | 30회 11번 | 단답 |
| BCP / DRP / BIA / RTO·RPO | 32회 11번, 13회 10번, 21회 4번 | 단답 |
| 재해복구시스템 4종 (미러·핫·웜·콜드) | 27회 16번, 21회 12번, 10회 7번 | 서술 |
| ISMS-P 인증 기준 3개 영역 | 23회 4번, 14회 10번 | 단답 |
(회차는 기출 원문 파일에서 직접 확인한 예시이며 전수 목록은 아닙니다. 이론 정리 문서의 일부 번호가 원문과 달라서(예: "위협이 현실화돼도 손실이 없는 조건"은 32회가 아니라 30회 16번) 이 글은 원문 기준으로 다시 맞췄습니다. 원문에 정답이 없는 문항은 표준 지식으로 채운 답이라고 표시했어요.)
1. 위험의 구성요소 ⭐⭐⭐
| 용어 | 정의 |
| 자산 (Asset) | 조직이 보호해야 할 가치 있는 모든 것 (정보·H/W·S/W·시설·인력·기업 이미지) |
| 위협 (Threat) | 자산에 손실을 일으킬 수 있는 원치 않는 사건의 잠재적 원인·행위자 |
| 취약점 (Vulnerability) | 위협이 이용할 수 있는 자산의 약점, 정보보호 대책의 미비 |
| 위험 (Risk) | 위협이 취약점을 이용해 자산에 손실을 줄 가능성과 영향 |
| 정보보호 대책 (Safeguard) | 위험을 줄이기 위한 관리적·물리적·기술적 통제 |
| 잔류 위험 (Residual Risk) | 대책을 적용한 후에도 남는 위험 |
| 수용 가능한 위험 수준 (DoA) | 조직이 감수할 수 있는 목표 위험 수준, 경영진 승인 필요 |
위험 = 자산 × 위협 × 취약점 (정보보호 대책이 이를 감소시킴) → 12회 8번 : (A)자산 (B)위협 (C)취약점
26회 11번 정답 : (A) 자산 (B) 위협 (C) 취약점
22회 12번 : (A) 정보보호 대책 (B) 잔류 위험 (C) 수용 가능한 위험 수준(DoA)
18회 5번 : ㄱ 자산 ㄴ 위협 ㄷ 취약점30회 16번 — 자산·위협·취약점 서술 (4문항) ⭐⭐⭐
(1) 자산 : 조직이 보호해야 할 가치가 있는 유·무형의 자원 (서버, DB, 정보, 문서, 인력 등)
(2) 위협 : 자산에 손실·유출·파괴를 일으킬 수 있는 잠재적 원인 (해킹, 악성코드, 내부자 실수, 재해)
(3) 취약점 : 위협이 자산을 침해할 수 있게 해 주는 약점. 즉 "위협과 자산을 이어 주는 연결 고리"
(4) 위협이 현실화돼도 손실이 없을 수 있는 조건 :
① 그 위협이 이용할 취약점이 없는 경우 (패치 완료, 불필요 서비스 제거 등)
② 대책(방화벽·WAF·암호화 등)이 위협을 완전히 무력화하는 경우
→ 위험은 위협·취약점·자산이 모두 있어야 성립한다
(30회 16번 원문 해설에 정리된 내용입니다.)
2. 자산 분석 · 중요도 ⭐⭐⭐
자산 분석 절차 : 자산 식별(목록화) → 자산 관리자 지정(책임자) → 자산 중요도 평가 → 자산관리대장 작성·갱신
18회 8번 : ㄱ = 정보자산 식별(분류 기준 수립 후 목록 관리) ㄴ = 중요도에 따른 등급
23회 12번: (A) 자산 식별 (B) 자산 중요도 평가(기밀성·무결성·가용성 측면)
(18회·23회 원문에 정답이 없어, 문제 설명문과 표준 절차 기준으로 정리)
28회 15번 — 자산 중요도 설정 개념 + 중요사항 3가지 (서술)
원문 해설의 핵심은 아래와 같습니다.
개념 : 정보자산이 손상·유출·파괴됐을 때 조직에 미치는 영향을 기밀성(C)·무결성(I)·가용성(A) 관점에서
평가해 자산별 가치를 산정하는 것. 이후 위험평가에서 고위험 자산을 우선 선별하는 기준이 됨
중요사항 3가지 (원문 해설)
① 비즈니스 영향도 반영 + 평가 기준 표준화 : 구매 가격이 아니라 마비·유출 시의 재무 손실, 서비스 중단 시간,
법규 위반, 평판 실추를 보고, C·I·A별 등급(예: 1~3등급, 상·중·하)과 가중치를 기준서로 표준화
② 자산 간 의존성(연관성) 고려 : 연계된 타 시스템에 미치는 연쇄 파급 효과까지 반영
③ 주기적 재평가와 최신성 유지 : 중요도는 고정값이 아니므로 시스템 환경 변화·서비스 개편·법 개정,
신규 시스템 도입·인프라 이전 같은 변경이 생기면 자산 목록과 중요도를 즉시 재평가해 현행화(세 항목 모두 28회 15번 원문 해설 기준입니다.
시험에서는 "CIA 기준 평가, 표준화된 기준, 의존성, 정기 재평가" 키워드를 넣으세요.)
2회 13번 : 정보자산 그룹핑 = 유사한 자산을 묶어 위험분석 대상을 단순화하는 것
→ 장점 : 분석 시간·비용 감소, 동일한 대책 적용 가능 (원문에 정답 없음, 표준 지식 기준)3. 위험분석 접근법과 정성/정량 ⭐⭐⭐
접근법 4가지 — 29회 9번 (정답 확인) ⭐⭐⭐
| 접근법 | 설명 | 장단점 |
| 기준선 (Baseline) | 모든 시스템에 표준 보호 수준 (국내외 표준·법령·가이드)을 정하고 대책 선택 |
시간·비용 적음 / 조직 특성 미반영 (과소·과잉) |
| 비공식 (Informal, 전문가 판단) | 전문가의 경험·판단 | 신속·저비용 / 주관적 |
| 상세 위험분석 (Detailed) | 자산분석·위협분석·취약점분석을 단계별로 수행 | 정확 / 시간·비용·전문 지식 많이 필요 |
| 복합 (Combined) | 고위험 영역은 상세, 나머지는 기준선 | 비용 효율 + 정확성 / 고위험 영역을 잘못 설정하면 비용 낭비 |
29회 9번 정답 : (A) 기준선 접근법 (B) 상세 위험 분석 (C) 복합 접근법
13회 9번 = 기준선 접근법 설명문 (표준·법령 기준, 조직 특성 미반영)
20회 3번 : A 기준선 B 상세 위험분석 C 복합 접근법 (원문 정답 없음, 설명문 기준)27회 13번 — 복합 접근법의 개념·장점·단점 (서술)
개념 : 기준선 접근법과 상세 위험분석의 장점을 결합. 먼저 전체를 기준선으로 평가해 고위험 영역을 가려내고,
그 영역만 상세 분석 (원문 해설은 정성→정량 2단계 구조로도 설명)
장점 : ① 비용·시간 절감 ② 고위험 영역을 빠르게 식별해 집중 투자 가능
단점 : ① 고위험 영역을 잘못 판단하면 비용 낭비·위험 간과 ② 방법론 선정·조정이 어려움22회 14번 — 기준선 vs 상세 위험분석 (서술)
기준선 : 표준 체크리스트 기준 → 빠르고 저렴하나 조직 특성 반영이 부족
상세 : 자산·위협·취약점을 구체적으로 분석 → 정확하나 시간·비용·노력이 큼
(22회 원문에 정답이 없어 표준 지식 기준)정성적 위험분석 — 우선순위를 정하는 주관적 분석
| 기법 | 핵심 키워드 |
| 델파이법 | 전문가 집단 · 익명으로 의견 교환 · 반복 · 합의 — 30회 10번 정답: 델파이법 |
| 시나리오법 | "어떠한 사건도 예상대로 실행되지 않는다" · 미래 위험 예측 · 랜드(RAND) 연구소 — 13회 7번 |
| 순위결정법 | 비교우위 결정표에 위험 항목을 나열해 우선순위 — 20회 2번 |
2회 2번 · 20회 2번 : A 델파이법(전문가 토론) B 시나리오법 C 순위결정법 (원문에 정답이 없어 키워드 기준)
9회 8번 : 전문가 집단 구성 후 토론으로 위험 분석 → 델파이법정량적 위험분석 — 수치(금액)로 계산 ⭐⭐⭐
AV : 자산 가치
EF : 노출 계수 (위협 발생 시 손실 비율, %)
SLE : 단일 예상 손실액 = AV × EF ← 위협 "1회" 발생 시 손실 (금액)
ARO : 연간 발생률 (1년에 몇 번 발생하는가)
ALE : 연간 예상 손실액 = SLE × ARO
대책 도입 효과 = (적용 전 ALE) − (적용 후 ALE)
순이익 = 효과 − 연간 대책 비용
ROI(%) = 순이익 ÷ 대책 비용 × 100
⚠️ 일부 요약본은 "ALE = SLE(위험발생확률) × ARO(손실크기)"처럼 SLE와 ARO 설명을 서로 바꿔 써 놓았습니다.
올바른 정의 : SLE = 1회 손실 금액, ARO = 연간 발생 빈도
11회 9번 정답 : (A) EF(노출 계수) (B) ARO(연간 발생률)4회 16번 — 화재 시나리오 계산 ⭐⭐⭐
5년에 한 번 화재, 전체 자산 40억, 화재 시 손해 30%, 소방 방재 시설, 화재 보험(1억, 최대 10억 보상)
1) AV = 40억원
2) EF = 30%
3) SLE = 40억 × 0.3 = 12억원
4) ARO = 1/5 = 0.2 (5년에 한 번)
5) ALE = 12억 × 0.2 = 2.4억원
6) 대책 : 소방 방재 시설 설치 = 위험 감소 / 화재 보험 가입 = 위험 전가
(원문에 정답이 없어 공식 기준으로 계산한 풀이입니다)16회 15번 — 표 채우기 + 대책 선택 (실무형)
자산현황 대책A 대책B
AV(만원) 100,000 100,000 100,000
EF(%) 80 20 80
SLE ① ② ③
ARO(%) 50 50 25
ALE ④ ⑤ ⑥
ALE 감소 - 30,000 40,000
대책비용 - 17,000 4,000
적용 이익 - ⑦ ⑧
① SLE = 100,000 × 80% = 80,000
② SLE = 100,000 × 20% = 20,000
③ SLE = 100,000 × 80% = 80,000
④ ALE = 80,000 × 50% = 40,000
⑤ ALE = 20,000 × 50% = 10,000 (④ − ⑤ = 30,000 → 표의 "ALE 감소"와 일치)
⑥ ALE = 80,000 × 25% = 20,000 (④ − ⑥ = 20,000 ← 표에는 40,000으로 적혀 있음)
⑦ 이익 = 30,000 − 17,000 = 13,000
⑧ 이익 = 40,000 − 4,000 = 36,000 (표의 ALE 감소 40,000 기준)
선택 : 대책 B⚠️ 16회는 복원본이라 대책 B의 ALE 감소(40,000)가 공식 계산값(20,000)과 맞지 않습니다.
어느 쪽을 쓰더라도 결론은 같아요. 표 값 기준 B = 36,000, 계산값 기준 B = 20,000 − 4,000 = 16,000이고 A = 13,000이라 B 선택.
시험에서 표가 서로 어긋나 보이면 "표에 주어진 ALE 감소 값 기준"이라고 한 줄 적어 두면 안전합니다.
(원문에 정답이 없어 위 계산으로 정리한 풀이입니다)ROI 계산 — 7회 12번, 21회 15번
7회 12번 : 연수익 5천만 원인 사이트를 위험을 완전히 제거하는 데 연 1억 원이 든다면 ROI는?
ROI = (5천만 − 1억) ÷ 1억 × 100 = −50% → 투자 효과가 없으므로 도입 부적절
21회 15번: 1) SLE = 1회 손실 2) SLE = AV × EF 3) ALE 계산에는 ARO 필요 4) ROI = (연간 손실 제거 이익 − X) ÷ X × 100
(두 문항 모두 원문에 정답이 없어 공식 기준으로 정리)4. 위험관리 절차 ⭐⭐
위험관리 6단계 — 31회 7번 (정답 확인)
위험 관리 전략 및 계획 수립 → (1) 위험분석 → (2) 위험평가 → 정보보호 대책 선정 → 정보보호 계획 수립 → (3) 정보보호 대책 구현 및 운영위험관리 3단계 / ISO 31000 / PDCA
23회 11번 : (A) 위험 분석(자산·위협·취약점으로 위험 종류·규모 결정) (B) 위험 평가(위험도 산출·우선순위) → 대책 선정
24회 7번 : ISO 31000 → (A) 위험 식별 (B) 위험 분석 (C) 위험 평가 (위험 허용 수준 DoA 결정)
26회 12번 정답 : (A) 위험 관리 (B) 위험 식별(분석) (C) 위험 대응(처리) → 위험관리 = 식별(분석) → 평가 → 처리
6회 7번 : ISMS 라이프사이클 PDCA → (A) Plan (B) Do (C) Check, 조치 = Act
(23회·24회·6회는 원문에 정답이 없어 설명문 기준)5. 위험 대응 전략 4가지 ⭐⭐⭐ (서술 단골)
| 전략 | 의미 | 예시 |
| 위험 수용 (Acceptance) | 위험을 인정하고 손실을 감수, 별도 통제 없이 진행 | 잔류 위험이 DoA 이하 |
| 위험 감소 (Reduction) | 대책을 구현해 위험 수준을 낮춤 | 방화벽·WAF·시큐어 코딩·백신·패치 |
| 위험 회피 (Avoidance) | 위험이 있는 프로세스·사업 자체를 포기 | 위험 서비스 중단, 다른 방법 사용 |
| 위험 전가 (Transfer) | 잠재적 손실을 제3자에게 이전 | 보험 가입, 아웃소싱 |
29회 16번 (서술) 원문 해설 : 위험 감소 / 회피 / 전가(전이) / 수용 4가지를 각각 의미와 예시로 서술
27회 11번 정답 : 위험 수용 (어떤 대책으로도 위험을 완전히 제거할 수 없으므로 일정 수준 이하는 받아들임)
25회 11번 : 위험 감소 / (A) 수용 (B) 회피 (C) 전가(전이)
10회 5번 : 위험( 괄호 ) = 보험·아웃소싱 → 전가(전이)
13회 8번 : 보험·아웃소싱 → 위험 전가
3회 10번 · 8회 10번 : ① 감소 ② 회피 ③ 전가 ④ 수용
5회 9번 : 위험을 인지했지만 별도 통제 없이 진행 → 위험 수용
20회 16번 : 1) 위험수용의 의미 2) 정량적 평가기준(ALE 등) 3) 회피 시 처리 4) 전가 2가지 = 보험·아웃소싱
21회 3번 : 수용 가능한 수준으로 경감된 위험 = 잔류 위험, "위험이 낮으면 그냥 두는 것이 원칙"은 O (수용은 DoA 이하일 때만)
1회 13번 : 회피 = 위험 있는 사업 포기, 전이 = 보험·외주로 손실 이전 (자산·위협·취약점 관점으로 서술)
(29회 16번·27회 11번은 원문에 해설이 있고, 나머지는 설명문 기준으로 정리)정보보호 통제(대책) 분류 — 30회 11번
구현 수단별
물리적 통제 : 시설·설비·장비의 무단 접근·손상 방지 (출입통제, 잠금장치, CCTV)
기술적(논리적) 통제 : 승인받지 않은 자가 정보통신망으로 접근하지 못하게 (방화벽, ACL, 암호화)
관리적 통제 : 정책·지침·교육·직무 분리
시점별
예방 : 사고 전 차단 / 탐지 : 사고 즉시 감지(IDS, 로그 검토) / 교정 : 복구·피해 최소화(백업, BCP/DRP)
30회 11번 정답 : (A) 물리적 통제 (B) 기술적 통제6. 업무 연속성(BCP) · 재해복구(DR) ⭐⭐⭐
BCP (Business Continuity Planning) : 재해·장애에도 핵심 업무를 유지하도록 하는 업무 연속성 계획
32회 11번 정답 : BCP
13회 10번 : 재해복구·업무복구·비상계획 등 비즈니스 연속성 계획, 하위로 BIA·RTO·RPO 설정 → BCP
DRP (Disaster Recovery Plan) : IT 자원(시스템·응용·설비)의 복구에 초점, 대체 사이트에서 복구
BIA (Business Impact Analysis) : 업무 중단 시 영향·손실을 분석해 복구 우선순위와 목표 시간 결정
RTO (복구 목표 시간) : 중단 후 서비스를 복구하기까지 허용되는 최대 시간
RPO (복구 목표 시점) : 허용할 수 있는 데이터 손실 범위 (어느 시점의 데이터까지 복구하는가)21회 4번 : BCP 5단계 중 2~4단계 (원문에 정답 없음. 교재마다 표현이 달라 대표적인 5단계 기준)
① 프로젝트 범위 설정 및 기획 → ② 사업 영향 분석(BIA) → ③ 복구 전략 개발 → ④ 복구 계획 수립·구현 → ⑤ 테스트 및 유지보수
→ 2~4단계 = 사업 영향 분석 / 복구 전략 개발 / 복구 계획 수립재해복구 센터 4종 — 27회 16번 / 21회 12번 (서술) ⭐⭐⭐
| 유형 | 방식 | 복구 시간(RTO) | 비용 |
| 미러 (Mirror) | 주 센터와 동일 구성, 데이터 실시간 동기화(Active-Active) | 즉시 (0에 가까움) | 최고 |
| 핫 (Hot) | 주 센터와 동일 수준의 IT 자원, 데이터를 최신으로 유지(Active-Standby) | 수 시간 이내 | 높음 |
| 웜 (Warm) | 중요 업무 위주로 일부 자원만 보유 | 수일 | 중간 |
| 콜드 (Cold) | 장소·설비만 확보, 재해 시 장비·SW를 가져와 설치 | 수 주 | 낮음 |
10회 7번 : (A) 백업장치·테이프만, 중요 IT 자원만 부분 보유 → 웜 사이트
(B) 주 센터와 동일한 IT 자원, 데이터 최신 유지 → 핫 사이트
(C) 장소만 확보, IT 자원 미확보 → 콜드 사이트 (원문에 정답 없음, 설명문 기준)
27회 16번 (서술, 원문 해설)
(1) 미러 사이트 정의 : 주 센터와 완전 동일한 H/W·S/W·최신 데이터를 실시간 동기화로 운영하는 가장 높은 수준의 DR
(2) 장점 2개 : RPO ≈ 0 (데이터 손실 거의 없음) / RTO ≈ 0 (즉시 failover로 업무 재개)
단점 2개 : 구축·유지 비용이 매우 높음 / 실시간 동기화·인프라 변경 관리가 복잡
(3) RTO가 가장 오래 걸리는 방식 : 콜드 사이트 — 장비 구매·설치 후 데이터 복원이 필요하기 때문⚠️ 복구 속도와 비용은 비례 : Mirror(빠름·비쌈) → Hot → Warm → Cold(느림·저렴)
⚠️ RTO = 시간, RPO = 데이터 시점
백업(전체·차등·증분)과 3-2-1 규칙은 10편에서 다뤘습니다.7. ISMS · ISMS-P 인증 ⭐⭐
ISMS : 정보보호 관리체계 인증 (관리체계 수립·운영 + 보호대책 요구사항)
ISMS-P : ISMS + 개인정보 처리 단계별 요구사항
23회 4번 (ISMS-P 인증 기준 3개 영역, 원문에 정답 없음 — 인증 기준 구성 기준)
① 관리체계 수립 및 운영
② 보호대책 요구사항
③ 개인정보 처리 단계별 요구사항
14회 10번 : ISMS-P 기준 문구
1. 정보자산을 식별·분류하고 (A: 중요도)를 산정한 후 목록을 최신으로 관리
2. 대내외 환경분석으로 유형별 (B: 위협 정보)를 수집하고 위험을 평가, 수용 가능한 위험은 (C: 경영진)의 승인을 받아 관리
(원문에 정답이 없어 문구 의미 기준)
관리체계 4단계(PDCA) : 관리체계 기반 마련 → 위험 관리 → 관리체계 운영 → 점검 및 개선⚠️ ISO/IEC 27001은 국제 표준이고, ISMS·ISMS-P는 KISA가 운영하는 국내 인증제도입니다.
⚠️ 인증 기준 항목 수(ISMS 80개 / ISMS-P 102개)나 의무 인증 대상 기준(매출·이용자 수)은 개정될 수 있으니
시험 직전 KISA 최신 기준을 한 번 확인하세요. 이 글은 숫자를 단정하지 않습니다.단답 키워드 표 ⭐⭐⭐
| 질문 | 답 |
| 위험을 구성하는 3요소 | 자산 · 위협 · 취약점 |
| 대책 적용 후 남는 위험 | 잔류 위험 |
| 조직이 수용 가능한 목표 위험 수준 | DoA |
| 표준·법령 기준 최소 수준, 시간·비용 적음 | 기준선 접근법 |
| 고위험은 상세, 나머지는 기준선 | 복합 접근법 |
| 전문가 익명 의견 반복 합의 | 델파이법 |
| "예상대로 실행되지 않는다" 근거 | 시나리오법 |
| 위험 항목 비교우위 결정표 | 순위결정법 |
| SLE 공식 | AV × EF |
| ALE 공식 | SLE × ARO |
| 보험·아웃소싱 | 위험 전가(전이) |
| 위험 사업 포기 | 위험 회피 |
| 손실을 감수하고 진행 | 위험 수용 |
| 시설·설비 무단 접근 방지 통제 | 물리적 통제 |
| 정보통신망 접근 통제 | 기술적 통제 |
| 업무 중단 시 영향 분석 | BIA |
| 복구 목표 시간 / 시점 | RTO / RPO |
| 실시간 동기화, Active-Active | 미러 사이트 |
| 장소만 확보 | 콜드 사이트 |
| ISMS-P 인증 기준 3영역 | 관리체계 수립·운영 / 보호대책 / 개인정보 처리 단계 |
서술형 답안 구조 ⭐⭐⭐
위험분석 접근법 비교 (정의 → 장점 → 단점)
기준선 : 표준 체크리스트 / 장점 신속·저비용 / 단점 조직 특성 미반영
상세 : 자산·위협·취약점 단계 분석 / 장점 정확 / 단점 시간·비용 큼
복합 : 고위험만 상세 / 장점 비용 효율 / 단점 고위험 영역 오판 시 낭비위험 대응 4가지 (각각 정의 + 예시)
수용(감수) · 감소(대책 구현) · 회피(사업 포기) · 전가(보험·아웃소싱)자산·위협·취약점 (개념 + 관계 + 조건)
자산(보호 대상) → 위협(손실 원인) → 취약점(위협이 이용하는 약점)
손실 없는 조건 : 취약점 없음, 또는 대책이 위협을 무력화재해복구 센터 (정의 + 장단점 + RTO 비교)
미러(즉시·최고비용) → 핫(수 시간) → 웜(수일) → 콜드(수 주·저비용)자산 중요도 평가
CIA 기준 평가 → 평가 기준 표준화 → 자산 간 의존성 고려 → 주기적 재평가⚠️ 함정 모음
⚠️ SLE = AV × EF (1회 손실 금액) / ARO = 연간 발생률 / ALE = SLE × ARO. 요약본에서 SLE·ARO 설명이 바뀐 곳이 있음
⚠️ 순이익 = (ALE 감소) − (대책 비용). ALE 감소 자체가 이익이 아님
⚠️ 연 단위로 통일 (5년에 한 번이면 ARO = 0.2)
⚠️ 위험 전가는 "책임 이전"이지 "위험 제거"가 아님 (보험도 사고는 그대로 발생)
⚠️ 위험 수용은 잔류 위험이 DoA 이하일 때만, 경영진 승인 필요
⚠️ 델파이는 "익명 + 전문가 + 반복", 시나리오법은 "미래 상황 가정"
⚠️ RTO(시간)와 RPO(데이터 시점)를 바꿔 쓰지 않기
⚠️ 미러 사이트의 단점은 비용만이 아님 → 동기화·관리 복잡도도 같이 쓰기 (실무적으로는 주 센터의 오류·감염도 실시간 복제될 수 있음)
⚠️ 16회 15번처럼 복원본 표는 값이 어긋날 수 있으니 주어진 값 기준임을 밝힐 것기출 Q&A
Q. (26회 11번) 위험을 구성하는 요소 (A), (B), (C)는?
A. (A) 자산 (B) 위협 (C) 취약점
Q. (30회 10번) 전문 지식을 갖춘 전문가 집단이 익명으로 의견을 주고받으며 취약점을 토론하는 위험분석 기법은?
A. 델파이법
Q. (27회 11번) 어떤 대책을 도입해도 위험을 완전히 제거할 수 없으므로 일정 수준 이하의 위험은 받아들이고 사업을 진행하는 위험 대응 방식은?
A. 위험 수용 (Risk Acceptance)
💡 실무에서는?
20년 인프라/보안 SI 경험에서 위험평가는 "숫자 놀이"가 되기 쉬워요.
실제 프로젝트에서는 정량 분석을 전부 하기보다 자산 중요도를 CIA로 먼저 등급화하고, 고위험 자산만 상세하게 파고드는 복합 접근법에 가깝게 진행합니다.
위험 대응에서는 감소가 가장 많고, 예산이 부족할 때 쓰는 현실적인 선택이 전가(보험·아웃소싱)와 수용이에요.
수용할 때는 반드시 경영진이 서명한 잔류 위험 승인서를 남겨 둡니다.
DR센터는 비용 때문에 대부분 핫~웜 수준에서 타협하고, 핵심 시스템만 미러로 가는 구성이 많습니다.
시험의 "RTO가 가장 긴 방식은?" 문제가 실제로는 "이 시스템의 복구 목표 시간을 어디에 맞출까"의 비용 논의와 같아요.
핵심 정리
✅ 위험 = 자산 × 위협 × 취약점, 대책 적용 후 남는 위험 = 잔류 위험, 목표 수준 = DoA(경영진 승인)
✅ 접근법: 기준선(저비용·특성 미반영) / 상세(정확·고비용) / 복합(고위험만 상세) / 비공식(전문가 판단)
✅ 정성적: 델파이(익명 전문가) · 시나리오 · 순위결정 / 정량적: SLE = AV × EF, ALE = SLE × ARO
✅ 순이익 = (전 ALE − 후 ALE) − 대책 비용, ROI = 순이익 ÷ 대책 비용
✅ 대응 4가지: 수용 · 감소 · 회피 · 전가(보험·아웃소싱)
✅ 통제: 물리 / 기술 / 관리, 예방 / 탐지 / 교정
✅ BCP(업무 연속) · DRP(IT 복구) · BIA(영향 분석) · RTO(시간) · RPO(데이터 시점)
✅ DR센터: 미러(즉시) → 핫(수 시간) → 웜(수일) → 콜드(수 주), 속도 ↔ 비용 비례
✅ ISMS-P 3영역: 관리체계 수립·운영 / 보호대책 요구사항 / 개인정보 처리 단계별 요구사항📌 참고: 2027년 출제기준 개편에서 실기 4-1-5 개인정보 처리 시스템 위협요인이 추가됩니다.
위험분석에 개인정보 관점이 더 들어오는 방향이에요. 이번 11/14 시험은 현행 기준입니다.
다음 편에서는 법적 준거성 (개인정보보호법·정보통신망법)으로 이어집니다!
궁금한 점은 댓글로 남겨주세요!
반응형