사이버 위험을 완전히 확실하게 평가하기는 어렵습니다. 사이버 범죄자의 전술, 자체 네트워크 취약성, 악천후 및 직원 과실과 같이 예측할 수 없는 위험에 대한 완전한 가시성을 기업이 확보하는 경우는 거의 없습니다. 또한 같은 종류의 사이버 공격이라도 회사마다 다른 결과를 초래할 수 있습니다. IBM Cost of a Data Breach 보고서에 따르면 의료 부문의 데이터 유출 비용은 평균 1,010만 달러인 반면, 서비스업의 데이터 유출 비용은 290만 달러에 달합니다.

위험 프레임화는 위험 결정이 내려지는 맥락을 정의하는 행위입니다. 처음부터 위험을 구성함으로써 기업은 위험 관리 전략을 전반적인 비즈니스 전략에 맞출 수 있습니다. 이러한 정렬은 주요 비즈니스 기능을 방해하는 제어 기능을 배포하는 것과 같이 비효율적이고 비용이 많이 드는 실수를 방지하는 데 도움이 됩니다. 

위험을 프레임화하기 위해 기업은 다음과 같은 것을 정의합니다.

프로세스의 범위: 어떤 시스템과 자산을 조사할 계획입니까? 어떤 종류의 위협이 검토됩니까? 프로세스가 진행 중인 일정은 무엇입니까(예: 향후 6개월의 위험, 내년의 위험 등)?

자산 인벤토리 및 우선순위 지정: 네트워크에 어떤 데이터, 디바이스, 소프트웨어, 기타 자산이 있습니까? 다음 중 조직에 가장 중요한 자산은 무엇입니까?

조직 리소스 및 우선순위: 어떤 IT 시스템과 비즈니스 프로세스가 가장 중요합니까?회사는 사이버 위험 관리를 위해 재정 및 기타 어떤 자원을 투입할 예정입니까?

법률 및 규제 요구 사항: 회사가 준수해야 하는 법률, 표준 또는 기타 의무는 무엇입니까? 

이러한 고려 사항과 기타 고려 사항은 위험 결정을 내릴 때 회사에 일반적인 지침을 제공합니다. 이는 또한 회사가 위험 허용 범위, 즉, 허용할 수 있는 위험 유형과 허용할 수 없는 유형을 정의하는 데 도움이 됩니다.

기업은 사이버 보안 위험 평가를 사용하여 위협과 취약성을 식별하고 잠재적 영향을 추정하며 가장 중요한 위험의 우선순위를 지정합니다.

회사가 위험 평가를 수행하는 방법은 프레임화 단계에서 정의된 우선순위, 범위 및 위험 허용 범위에 따라 달라집니다. 대부분의 평가는 다음을 평가합니다. 

위협은 IT 시스템을 방해하거나, 데이터를 훔치거나, 정보 보안을 손상시킬 수 있는 사람과 이벤트입니다. 위협에는 의도적인 사이버 공격(예: 랜섬웨어 또는 피싱)과 직원의 실수(예: 보안되지 않은 데이터베이스에 기밀 정보 저장)가 포함됩니다. 지진 및 허리케인과 같은 자연 재해도 정보 시스템을 위협할 수 있습니다.

취약성은 위협이 악용하여 피해를 입힐 수 있는 시스템, 프로세스 또는 자산의 결함 또는 약점입니다. 취약성은 잘못 구성된 방화벽으로 인해 멀웨어가 네트워크에 침입하거나 해커가 원격으로 디바이스를 장악하는 데 사용할 수 있는 운영 체제 버그와 같이 기술적인 것일 수 있습니다. 사람들이 필요 이상으로 많은 자산에 액세스할 수 있도록 허용하는 느슨한 액세스 제어 정책과 같이 취약한 정책과 프로세스로 인해 취약성이 발생할 수도 있습니다.

영향은 위협이 기업에 미칠 수 있는 영향입니다. 사이버 위협은 중요한 서비스를 중단시켜 다운타임과 매출 손실로 이어질 수 있습니다. 해커는 민감한 데이터를 훔치거나 파괴할 수 있습니다. 사기꾼은 비즈니스 이메일 손상 공격을 사용하여 직원을 속여 돈을 송금하도록 유도할 수 있습니다.

위협의 영향은 조직 외부로 확산될 수 있습니다. 데이터 유출로 인해 개인 식별 정보(PII)가 도난당한 고객도 공격의 피해자입니다.

사이버 보안 위협의 정확한 영향을 정량화하기는 어렵기 때문에 기업에서는 과거 동향 및 다른 조직에 대한 공격 사례와 같은 정성적 데이터를 사용하여 영향을 추정하는 경우가 많습니다. 자산 중요도도 한 가지 요인입니다. 자산이 중요할수록 해당 자산에 대한 공격 비용은 더 커집니다.

위험은 잠재적 위협이 조직에 영향을 미칠 가능성과 해당 위협으로 인한 피해의 정도를 측정합니다. 발생할 가능성이 있고 심각한 피해를 초래할 가능성이 있는 위협이 가장 위험한 반면, 경미한 피해를 유발할 가능성이 없는 위협은 가장 위험하지 않습니다.

위험 분석 중에 기업은 위협 가능성을 평가하기 위해 여러 요소를 고려합니다. 기존 보안 제어, IT 취약성의 특성, 회사가 보유하고 있는 데이터 종류 모두 위협 가능성에 영향을 미칠 수 있습니다. X-Force Threat Intelligence Index에따르면 제조 및 금융 부문의 조직은 운송 및 통신 분야의 조직보다 사이버 공격에 더 많이 직면해 있습니다.

위험 평가는 보안 정보 및 이벤트 관리(SIEM) 시스템과 같은 내부 데이터 소스와 외부 위협 인텔리전스를 활용할 수 있습니다. 또한 공급업체에 대한 공격이 회사에 영향을 미칠 수 있으므로 회사 공급망의 위협과 취약성을 살펴볼 수도 있습니다. 

이러한 모든 요소를 고려하여 회사는 위험 프로필을 구축할 수 있습니다. 위험 프로필은 회사의 잠재적 위험에 대한 카탈로그를 제공하고 중요도 수준에 따라 우선순위를 지정합니다. 위협이 위험할수록 조직에 미치는 영향은 더욱 커집니다. 

조직은 새로운 보안 제어를 모니터링하여 의도한 대로 작동하는지, 관련 규제 요구 사항을 충족하는지 확인합니다. 

또한 조직은 더 광범위한 위협 환경과 자체 IT 생태계를 모니터링합니다. 새로운 위협의 출현, 새로운 IT 자산의 추가 등 어느 한쪽의 변화로 인해 새로운 취약성이 발생하거나 이전에 효과적이었던 제어가 쓸모 없어질 수 있습니다. 지속적인 감시를 유지함으로써 회사는 사이버 보안 프로그램과 위험 관리 전략을 거의 실시간으로 조정할 수 있습니다.