위험 평가를 처음 하는데 어디서부터 하나요: 자산 식별에서 우선순위까지

위험 평가는 겁주기가 아니라 순서 정하기

'위험 평가를 해야 한다'는 말을 들으면 조직의 모든 위험을 빠짐없이 찾아내야 할 것 같아 부담스럽죠. 그러다 보니 시작도 못 한 채 자료만 모으게 되는 경우가 많아요. 이 글에서는 자산 식별부터 우선순위 결정까지, 위험 평가를 실제로 굴릴 수 있는 순서로 정리해 드릴게요.

실제 목적은 생각보다 담백해요. 예산과 인력과 시간이 한정되어 있다는 전제에서, 무엇을 먼저 손대야 하는지 근거 있는 순서를 만드는 일이에요. 그래서 평가 결과물의 핵심은 위험 목록 자체가 아니라 그 목록에 매겨진 우선순위예요.

이게 왜 중요하냐면요, 이 관점을 잡아 두면 보고의 성격도 달라져요. 위험이 몇 건 발견됐다는 보고는 듣는 사람을 불안하게만 만들지만, 어떤 자산의 어떤 위험이 왜 가장 시급하고 그다음은 무엇인지를 제시하는 보고는 의사결정을 가능하게 해요. 위험 평가는 결국 조직이 자원을 어디에 쓸지 정하기 위한 언어라고 이해하시면 정확해요.

출발점은 자산 식별

평가의 첫 단계는 무엇을 지킬 대상으로 볼 것인지 정하는 자산 식별이에요. 서버와 네트워크 장비 같은 하드웨어만 자산인 건 아니에요. 애플리케이션과 데이터베이스, 그 안에 담긴 정보, 문서와 소스코드, 그리고 특정 업무를 아는 사람과 외부 위탁 서비스까지 대상이 돼요. 목록에 없는 자산은 위험 평가에도 대책에도 끝내 등장하지 못해요.

자산 목록을 만들 때는 이름을 적는 것보다 두 가지를 함께 적는 게 훨씬 중요해요. 하나는 담당자이고, 다른 하나는 그 자산의 중요도예요. 중요도는 흔히 기밀성·무결성·가용성 세 관점에서 각각 판단해요. 어떤 자산은 유출되면 치명적이지만 잠깐 멈춰도 견딜 만하고, 어떤 자산은 정보 자체는 공개되어도 무방하지만 멈추면 서비스 전체가 서는 식으로 성격이 다르거든요.

위험 수준을 매기는 두 가지 사고방식

자산이 정리되면 각 자산에 어떤 위협이 있고 어떤 취약점이 그 위협을 현실로 만드는지를 연결해요. 위험은 대체로 위협의 발생 가능성과 그로 인한 영향의 조합으로 표현하고, 여기에 취약점의 정도가 곱해지는 형태로 설명하기도 해요. 표현 방식은 조직마다 다르지만 취지는 같아요. 서로 다른 위험을 같은 잣대 위에 올려 비교할 수 있게 만드는 거예요.

잣대를 만드는 방법은 크게 두 갈래예요. 정성적 방식은 가능성과 영향을 상·중·하 같은 등급으로 나눠 조합표에서 위험 수준을 읽어요. 빠르고 합의하기 쉬운 대신 등급의 경계가 주관에 좌우돼요. 정량적 방식은 손실 금액과 발생 빈도를 수치로 추정해 계산해요. 논리는 명확하지만 입력값 자체가 추정이라, 정밀해 보이는 결과가 오히려 과신을 부르기도 해요. 그래서 실무에서는 정성적 평가를 기본으로 하고 핵심 자산에만 정량적 근거를 덧붙이는 절충이 흔해요.

평가 다음에 오는 네 갈래 선택

위험 수준이 정해지면 각 위험에 대해 어떻게 할지를 결정해요. 선택지는 보통 네 가지로 정리돼요. 통제를 적용해 위험을 낮추는 감소, 해당 활동이나 기능 자체를 하지 않는 회피, 보험이나 계약을 통해 일부를 외부로 넘기는 전가, 그리고 현재 수준을 그대로 안고 가는 수용이에요.

여기서 많이들 헷갈리시는 게 수용이에요. 그냥 딱 잘라 말해서, 수용은 방치가 아니라 결정이에요. 누가 어떤 근거로 이 위험을 안고 가기로 했는지, 그리고 어떤 조건이 되면 다시 검토할지를 남겨야 비로소 수용이 돼요. 기록 없이 넘어간 위험은 나중에 문제가 생겼을 때 판단의 근거를 아무도 설명하지 못하는 상태가 되거든요. 감소를 택한 경우에도 마찬가지로, 어떤 대책을 언제까지 누가 이행하는지가 함께 적혀야 계획이 돼요.

처음 하는 사람이 자주 빠지는 함정

가장 흔한 함정은 완벽한 자산 목록을 만들려다 시작조차 못 하는 경우예요. 자산 식별은 한 번에 끝내는 작업이 아니라 주기적으로 갱신하는 작업이니, 핵심 자산부터 채우고 범위를 넓혀 가시면 돼요. 두 번째는 위험 수준의 기준을 문서로 정하지 않고 감각으로 매기는 경우예요. 기준이 없으면 평가자가 바뀔 때마다 등급이 흔들리고, 작년 결과와 올해 결과를 비교하기 어려워져요.

세 번째는 평가가 보고서 제출로 끝나는 경우예요. 위험 평가의 가치는 그 결과가 대책 계획으로 이어지고, 이행 여부가 다음 평가에서 다시 확인될 때 생겨요. 마지막으로, 기술적 취약점에만 시선이 몰리는 경향도 흔한 편향이에요. 권한 관리가 느슨하거나 퇴사자 계정이 남아 있거나 외부 위탁 업체의 관리 수준을 확인하지 않는 것 같은 관리적 위험이, 실제로는 기술적 결함보다 자주 문제의 출발점이 되거든요.

이제 이렇게 하시면 돼요. 완벽한 목록을 기다리지 마시고, 지금 가장 중요한 자산 열 개만 적어서 담당자와 중요도를 채워 보시면 돼요. 거기에 등급 기준 한 장을 붙이고, 상위 몇 건에 대해 감소·회피·전가·수용 중 무엇을 고를지 정해 기록으로 남기시면 첫 번째 평가는 끝나요. 처음부터 완전할 필요는 없어요. 한 바퀴만 돌려 보면 다음 바퀴는 훨씬 빠르고, 무엇을 먼저 할지 스스로 답할 수 있게 되어 마음도 한결 가벼워져요.