ISMS-P 위험평가와 DoA, 처음부터 끝까지 (실무 절차)

ISMS-P 위험평가와 DoA, 처음부터 끝까지 (실무 절차)

정보자산 목록을 다 만들고 나면 다음 관문이 위험평가입니다. 그리고 여기서 많은 담당자가 DoA라는 낯선 용어를 만납니다.

위험평가는 어렵게 느껴지지만 구조는 단순합니다. “무엇이 얼마나 위험한지 점수를 매기고, 어디까지 감수할지 정한 뒤, 넘는 것만 처리한다”입니다.

목차

1. 위험평가는 왜 하나

2. 전체 흐름

3. 위험도는 어떻게 산정하나

4. DoA가 무엇인가

5. 위험을 처리하는 네 가지 방법

6. 이행계획 수립

7. 자주 하는 실수

8. 자주 묻는 질문

위험평가는 왜 하나

자원은 한정돼 있습니다. 모든 위험을 다 없앨 수는 없습니다. 그래서 어디에 먼저 돈과 사람을 쓸지 정하는 작업이 필요합니다.

위험평가의 결과물은 점수표가 아니라 “올해 우리가 무엇을 할 것인가”라는 계획입니다. 점수 매기는 데만 시간을 쓰고 계획이 안 나오면 형식적인 작업이 됩니다.

전체 흐름

위험평가 진행 순서  |  업로드 파일 : i1.png

단계	할 일	산출물
1. 자산 식별	정보자산 목록과 중요도 확정	자산 목록표
2. 위협·취약점 식별	각 자산에 어떤 문제가 있는가	위협·취약점 목록
3. 위험도 산정	점수화	위험평가 결과표
4. DoA 결정	수용 가능한 수준 확정	경영진 승인 문서
5. 위험 처리	감소·회피·전가·수용 선택	위험 처리 계획
6. 이행계획	담당·일정·예산 확정	정보보호 이행계획서

위험도는 어떻게 산정하나

가장 널리 쓰이는 방식은 세 요소를 곱하는 것입니다.

위험도 = 자산 중요도 × 위협 발생 가능성 × 취약점 심각도

요소	묻는 것	예시(3단계)
자산 중요도	이 자산이 얼마나 중요한가	상 3 / 중 2 / 하 1
위협 가능성	그 일이 얼마나 자주 일어나는가	높음 3 / 보통 2 / 낮음 1
취약점 심각도	현재 얼마나 무방비인가	심각 3 / 보통 2 / 경미 1

3×3×3이면 최대 27점이 나옵니다. 산정 방식 자체는 조직이 정하면 됩니다. 중요한 것은 기준을 문서로 남기고 일관되게 적용하는 것입니다.

흔한 함정 — 평가자마다 기준이 달라 같은 상황에 다른 점수가 나오는 경우입니다. 평가 전에 등급별 판단 기준을 예시와 함께 정리해 배포하십시오.

DoA가 무엇인가

DoA(Degree of Assurance)는 수용 가능한 위험 수준입니다. 쉽게 말해 “이 선까지는 감수하겠다”는 기준선입니다.

위험도	판정	조치
DoA 초과	수용 불가	반드시 처리 계획 수립
DoA 이하	수용 가능	'수용'으로 문서화하고 종료

DoA는 반드시 경영진이 승인해야 합니다. “어디까지 위험을 감수할 것인가”는 경영 판단이지 담당자 판단이 아니기 때문입니다. 담당자가 임의로 정하면 심사에서 지적됩니다.

DoA를 낮게 잡으면 처리할 위험이 많아져 부담이 커지고, 높게 잡으면 실효성이 떨어집니다. 첫해에는 조직이 감당 가능한 수준으로 잡고, 이후 단계적으로 낮추는 방식이 현실적입니다.

위험을 처리하는 네 가지 방법

위험 처리 방법 네 가지  |  업로드 파일 : i2.png

방법	내용	예시
감소(Mitigation)	보안 조치를 적용해 위험을 낮춤	방화벽 도입, 암호화 적용, 권한 정리
회피(Avoidance)	위험의 원인이 되는 활동을 중단	해당 기능 종료, 불필요한 수집 항목 삭제
전가(Transfer)	제3자에게 넘김	보험 가입, 전문 업체 위탁
수용(Acceptance)	인지하고 감수	DoA 이하, 조치 비용이 피해보다 큰 경우

실무에서는 감소가 대부분이지만, 회피가 가장 확실한 방법인 경우도 많습니다. 특히 “꼭 필요하지 않은 개인정보 수집을 중단하는 것”은 비용 없이 위험을 없애는 방법입니다.

‘수용’도 정당한 선택입니다. 다만 근거와 승인자가 문서로 남지 않으면 ‘방치’로 보입니다. 왜 수용했는지, 누가 승인했는지를 반드시 기록하십시오.

이행계획 수립

위험 처리 방향이 정해지면 실행 계획으로 옮깁니다.

항목	내용
대상 위험	위험평가 결과표의 항목 번호
처리 방법	감소 / 회피 / 전가 / 수용
구체적 조치	무엇을 할 것인가
담당 부서·담당자	누가 할 것인가
일정	언제까지
소요 예산	얼마가 드는가
완료 확인 방법	무엇으로 완료를 확인할 것인가

예산이 필요한 항목은 예산 편성 시점을 역산해 움직이십시오. 기술적 조치는 담당자가 통제할 수 없는 구매 절차에 묶여 있어, 인증 준비가 지연되는 가장 흔한 원인입니다.

자주 하는 실수

실수	왜 문제인가
점수만 매기고 계획이 없음	평가의 목적이 사라집니다
DoA를 담당자가 정함	경영 판단 사항입니다. 승인 근거가 없으면 지적됩니다
모든 위험을 '감소'로 처리	현실성이 없어 이행되지 않습니다
'수용' 근거 미기록	방치로 보입니다
자산 목록과 연결 안 됨	위험평가가 공중에 뜹니다
매년 같은 결과 복사	환경이 바뀌었는데 위험이 그대로일 수 없습니다

자주 묻는 질문

질문	답
몇 점 만점으로 해야 하나요?	정해진 것은 없습니다. 3단계로 시작해 필요 시 세분화하십시오.
위험평가는 얼마나 자주 하나요?	연 1회 이상이 일반적이며, 중대한 환경 변화 시 추가로 수행합니다.
자산이 수백 개인데 다 해야 하나요?	네. 다만 중요도가 낮은 자산은 그룹으로 묶어 평가할 수 있습니다.
DoA는 매년 바꿔도 되나요?	가능합니다. 다만 변경 사유와 승인 기록이 필요합니다.

마치며

위험평가는 완벽한 점수표를 만드는 작업이 아니라, 우선순위를 정하는 작업입니다. 점수가 조금 어긋나도 우선순위만 맞으면 목적은 달성됩니다.

앞서 다룬 정보자산 목록이 이 작업의 입력값이고, 여기서 나온 이행계획이 보호대책 이행의 근거가 됩니다. 시리즈를 순서대로 보시면 흐름이 잡히실 겁니다.

이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.

태그
#ISMSP #위험평가 #DoA #위험관리 #정보보호관리체계 #인증준비 #보안실무 #KISA