위험 평가 접근방법에 대한 설명으로 옳지 않은 것은? | [9급 지방직 정보보호론] 23년 1회차 기출문제 상세 페이지
1[9급 지방직 정보보호론] 23년 1회차
위험 평가 접근방법에 대한 설명으로 옳지 않은 것은?
1
기준(baseline) 접근법은 기준 문서, 실무 규약, 업계 최신 실무를 이용하여 시스템에 대한 가장 기본적이고 일반적인 수준에서의 보안 통제 사항을 구현하는 것을 목표로 한다.
2
비정형(informal) 접근법은 구조적인 방법론에 기반하지 않고 전문가의 지식과 경험에 따라 위험을 분석하는 것으로, 비교적 신속하고 저비용으로 진행할 수 있으나 특정 전문가의 견해 및 편견에 따라 왜곡될 우려가 있다.
3
상세(detailed) 위험 분석은 정형화되고 구조화된 프로세스를 사용하여 상세한 위험 평가를 수행하는 것으로, 많은 시간과 비용이 드는 단점이 있는 반면에 위험에 따른 손실과 보안 대책의 비용 간의 적절한 균형을 이룰 수 있는 장점이 있다.
4
복합(combined) 접근법은 상세 위험 분석을 제외한 기준 접근법과 비정형 접근법 두 가지를 조합한 것으로 저비용으로 빠른 시간 내에 필요한 통제 수단을 선택해야 하는 상황에서 제한적으로 활용된다.
해설
복합 접근법은 기준 접근법과 상세 위험 분석을 조합한 방법이므로, 상세 위험 분석을 제외한다는 설명은 옳지 않다.
복합 접근법은 먼저 고위험 시스템을 가려내 상세 위험 분석을 적용하고, 나머지에는 기준 접근법을 적용해 비용과 효과의 균형을 맞춘다.
- 기준 접근법: 기준 문서·실무 규약 등으로 기본적·일반적 수준의 보안 통제를 구현하는 방법으로 옳다.
- 비정형 접근법: 전문가의 지식·경험에 의존해 빠르고 저렴하지만 전문가 편견에 따른 왜곡 우려가 있다는 설명이 옳다.
- 상세 위험 분석: 정형화된 절차로 시간·비용이 많이 들지만 손실과 대책 비용의 균형을 맞출 수 있다는 설명이 옳다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.