위협·취약점·위험은 어떻게 다른가

한 문단에 뒤섞여 나오는 세 단어

보안 기사를 읽다 보면 위협, 취약점, 위험이라는 세 단어가 거의 같은 뜻처럼 번갈아 등장합니다. '새로운 보안 위협 발견', '심각한 위험이 있는 취약점', '위협에 노출될 위험' 같은 표현이 한 문단 안에 함께 나오기도 합니다. 일상 대화라면 문제될 것이 없지만, 보안 업무에서는 이 셋이 서로 다른 층위를 가리키는 개념이라 섞어 쓰면 논의가 엉킵니다.

구분이 흐릿하면 대응도 흐릿해집니다. 위협에 대한 대응, 취약점에 대한 대응, 위험에 대한 대응은 담당자도 방법도 비용도 다릅니다. 세 단어를 정확히 놓는 것은 용어를 외우기 위해서가 아니라, 눈앞의 문제를 누가 어떤 방식으로 처리해야 하는지 갈라내기 위해서입니다.

출발점은 자산 — 무엇을 지키는지부터

세 단어를 설명하기 전에 하나가 더 필요합니다. 자산입니다. 자산은 지킬 가치가 있는 대상 전부를 말합니다. 고객 정보가 담긴 데이터베이스, 서비스를 돌리는 서버, 직원의 노트북, 출입 시스템, 오래 쌓아 온 신뢰와 평판까지 자산에 들어갑니다. 보안의 모든 논의는 '무엇을 지키는가'에서 시작하기 때문에, 자산이 정해지지 않으면 나머지 세 단어는 공중에 떠 있게 됩니다.

현장에서 자산 정리가 어려운 이유는 목록을 만드는 일 자체보다 그 목록이 계속 변하기 때문입니다. 새 서비스가 열리고, 시험용으로 잠깐 띄운 서버가 그대로 남고, 부서가 임의로 만든 공유 폴더에 중요한 파일이 쌓입니다. 관리 목록에 없는 자산은 점검 대상에서도 빠지고, 사고는 대체로 그렇게 빠진 자리에서 시작됩니다. 자산 식별이 보안 업무의 첫 단계로 꼽히는 이유입니다.

위협은 없앨 수 없고, 취약점은 손댈 수 있다

위협은 자산에 나쁜 일을 일으킬 수 있는 잠재적 원인입니다. 침입 시도처럼 의도를 가진 것뿐 아니라 실수로 파일을 지우는 일, 정전, 화재, 장비 노후도 위협입니다. 위협의 중요한 특징은 우리가 없앨 수 없다는 점입니다. 지진을 없앨 수 없듯, 악의를 가진 누군가가 세상에 존재한다는 사실 자체는 우리 통제 밖에 있습니다.

취약점은 그 위협이 실제로 통하게 만드는 우리 쪽의 약한 지점입니다. 오래 패치되지 않은 소프트웨어, 초기 비밀번호를 그대로 둔 장비, 퇴사자 계정이 남아 있는 상태, 한 번도 복구를 시험해 보지 않은 백업 절차가 모두 취약점입니다. 위협과 달리 취약점은 대체로 우리가 손댈 수 있는 영역이고, 그래서 실무 대응의 상당 부분이 여기에 모입니다.

위험은 이 둘이 만나 실제 피해로 이어질 가능성과 그 크기입니다. 흔히 '위험 = 위협 × 취약점 × 영향'이라는 형태로 쓰는데, 이는 정확한 계산식이라기보다 빠진 요소가 없는지 확인하는 사고의 틀입니다. 취약점이 있어도 그 시스템에 아무도 닿을 수 없다면 위험은 작아지고, 위협이 강해도 잃을 것이 거의 없다면 역시 위험은 작아집니다.

뉴스 한 줄을 우리 상황으로 번역하기

'널리 쓰이는 서버 소프트웨어에서 심각한 취약점이 공개됐다'는 기사를 봤다고 해봅시다. 이 문장이 알려 주는 것은 취약점 하나뿐입니다. 그것이 우리에게 위험인지 아닌지는 세 가지를 더 확인해야 정해집니다. 우리가 그 소프트웨어를 쓰고 있는가, 그것이 외부에서 닿을 수 있는 위치에 있는가, 그리고 그 시스템이 멈추거나 노출됐을 때 우리가 입는 피해가 어느 정도인가.

같은 취약점이라도 인터넷에 열린 결제 시스템에 있는 것과 외부와 끊긴 내부 시험 장비에 있는 것은 전혀 다른 위험입니다. 반대로 취약점의 심각도 등급이 낮아도 그 시스템이 회사 전체의 인증을 담당한다면 위험은 커집니다. 기사에 적힌 심각도는 위험이 아니라 취약점 자체의 성질에 매긴 점수라는 점을 기억하면, 헤드라인에 휩쓸리지 않고 우리 자산 기준으로 판단할 수 있습니다.

구분이 되면 대응이 갈린다

세 단어를 구분하면 해야 할 일도 자연스럽게 나뉩니다. 위협은 없앨 수 없으니 감시하고 예측하는 대상입니다. 어떤 수법이 늘고 있는지 살피고 로그와 알림을 보는 활동이 여기 해당합니다. 취약점은 줄일 수 있으니 찾아내고 고치는 대상입니다. 정기 점검, 패치 적용, 불필요한 기능과 계정 정리가 여기 해당합니다.

위험은 판단하고 선택하는 대상입니다. 발견된 모든 취약점을 즉시 고칠 인력과 시간은 어느 조직에도 없기 때문에, 무엇을 먼저 고치고 무엇을 당분간 감수할지 정해야 합니다. 이 선택을 근거 있게 내리는 절차가 위험 평가이고, 그 결과를 기록으로 남겨 조직이 함께 책임지게 만드는 것이 관리체계입니다. 결국 세 단어를 구분하는 일은 그 모든 절차의 첫 단추입니다.