리스크 평가라는 말이 어렵게 들리는 이유
건강검진표에는 '건강합니다'가 아니라 수치와 등급이 적혀 있습니다. 리스크 평가도 똑같습니다. NIST SP 800-30과 ISO 27005가 위험을 어떻게 숫자로 바꾸는지 풀어봅니다. RMF·NIS2 시리즈 2편.
건강검진을 받고 나면 며칠 뒤에 종이 한 장이 옵니다. 거기에 “당신은 건강합니다”라고 적혀 있지는 않습니다. 대신 숫자가 줄줄이 적혀 있죠. 공복혈당 몇, 콜레스테롤 몇. 그 옆에 정상 · 주의 · 이상 같은 등급이 붙습니다.
처음엔 답답합니다. 나는 아픈 건지 아닌 건지 알고 싶은데, 종이는 숫자만 내놓으니까요. 그런데 이 종이가 “건강합니다”라는 한마디보다 훨씬 쓸모 있습니다. 숫자는 작년 것과 견줄 수 있고, 등급은 뭐부터 손볼지 정해주기 때문입니다.
리스크 평가라는 말이 어렵게 들리는 이유가 딱 이겁니다. 우리는 보안을 “안전하다 / 위험하다” 두 칸으로 생각하는데, 리스크 평가는 검진표처럼 수치와 등급으로 말합니다.
두 칸이 아니라 격자
사실 NIST SP 800-30은 미국 표준기관이 만든 위험평가 방법론입니다. 핵심은 한 줄로 줄일 수 있습니다. 발생 가능성과 영향도를 교차해서 위험을 정량화합니다. 정량화라는 말은 어렵게 들리지만, 숫자와 등급으로 매긴다는 뜻입니다.
가능성은 “이 일이 실제로 벌어질 확률이 얼마나 되나”입니다. 영향도는 “벌어지면 얼마나 아픈가”입니다. 검진표로 치면 가능성은 나이·가족력 같은 조건이고, 영향도는 그 수치가 나빠졌을 때 몸에 생기는 일입니다.
사실 가로세로 각각 다섯 단계입니다. 매우 낮음 · 낮음 · 보통 · 높음 · 매우 높음. 세로가 발생 가능성, 가로가 영향도이고 두 축이 만나는 칸이 위험 등급입니다. NIST SP 800-30 부록의 Table I-2 가 이 표이고, SecurityHero RMF 는 이것을 그대로 씁니다.
칸을 하나씩 짚어보면 보이는 게 있습니다. 오른쪽 위 구석만 빨갛습니다. 가능성이 아무리 높아도 영향도가 낮으면 왼쪽 초록에 남고, 영향도가 아무리 커도 가능성이 낮으면 아래쪽 초록에 남습니다. 둘 다 높아야 빨개집니다.
자주 일어나지만 별일 아닌 것과, 거의 안 일어나지만 터지면 회사가 흔들리는 것은 서로 다른 칸에 앉습니다. 두 칸짜리 사고방식으로는 이 차이가 안 보입니다.
왜 남이 만든 기준표를 쓰나
사실 ISO 27005는 국제표준화기구가 만든 정보보안 위험관리 표준입니다. RMF는 NIST SP 800-30과 ISO 27005 두 방법론을 함께 씁니다.
검진표를 생각하면 이유가 분명합니다. 병원마다 자기 기준으로 “주의”를 매기면, 그 종이는 그 병원 안에서만 통합니다. 기준표가 공용이어야 다른 병원에서도, 보험사에서도 읽힙니다.
사실 1편에서 본 것처럼 NIS2 제21조는 리스크 관리 조치를 문서로 남기고 감사에서 입증하도록 합니다. 그 문서를 읽는 사람은 우리 회사 사람이 아닙니다. EU 고객의 보안 담당자, 심사원, 감독기관입니다.
| 건강검진표 | 리스크 평가 리포트 |
|---|---|
| 혈압·혈당 수치 | 점검 항목별 발견 사항 |
| 정상 · 주의 · 이상 | 위험 등급 |
| 나이 · 가족력 | 발생 가능성 |
| 나빠지면 생기는 일 | 영향도 |
| 어느 병원이나 같은 기준표 | NIST SP 800-30 · ISO 27005 |
그래서 RMF는 뭘 하나
사실 SecurityHero RMF는 Prowler로 AWS 자산·IAM·네트워크를 점검한 결과에 EPSS와 NIST SP 800-30 / ISO 27005 방법론을 결합해 위험 등급을 정량화합니다. EPSS는 그 취약점이 실제로 악용될 가능성을 점수로 매기는 지표입니다. 위 표의 세로축, 그러니까 “발생 가능성”을 감으로 찍지 않고 데이터로 채우는 자리에 들어갑니다.
EPSS 이야기는 다음 편에서 제대로 다룹니다. 고칠 것이 수천 개일 때 무엇부터 손대는가 하는 문제입니다.
추정 실무에서 리스크 평가가 부담스러운 이유는 방법론이 어려워서가 아니라고 봅니다. 격자를 채울 데이터를 사람이 손으로 모아야 해서입니다. 검진표도 피를 뽑아야 나옵니다. 채혈이 자동이면 남는 일은 결과를 읽는 것뿐입니다.
짚고 넘어갈 것
- 이 글은 법률 자문이 아닙니다. 우리 회사가 NIS2 적용 대상인지, 어느 정도 위험 등급이면 감독기관이 충분하다고 볼지는 여기서 답할 수 없습니다. 법률 전문가가 판단할 일입니다.
- 위 표는 척도일 뿐, 산정 절차 전체가 아닙니다. 무엇을 가능성으로 보고 무엇을 영향도로 볼지 정하는 과정은 NIST SP 800-30과 ISO 27005 문서 자체를 봐야 합니다.
- RMF 리포트는 인증서가 아닙니다. 제출과 검토에 쓰는 근거자료입니다. 인증서 발급, 사고 신고(NIS2 제23조 등), 법적 대리는 포함하지 않습니다.
시리즈 목차
- EU에 물건 팔려면 왜 보안 서류를 내야 하나
- 리스크 평가라는 말이 어렵게 들리는 이유 ← 지금 글
- 고칠 게 3천 개인데 뭐부터 하나
- 아무것도 설치하지 않고 어떻게 점검하나
- “데이터가 국경을 넘지 않습니다”가 무슨 뜻인가
- 서류 하나로 여러 나라를 상대하기