52. 위험 완화 (Risk Mitigation)

핵심 인사이트 (3줄 요약)

본질: 위험 완화 (Risk Mitigation)는 위험의 발생 확률이나 영향도를 줄이기 위해 보안 통제와 운영 통제를 적용하는 대응 전략이다.

가치: 방화벽, 암호화, 백업, 모니터링, 교육처럼 여러 통제를 조합해 Defense in Depth (심층 방어)를 만든다.

판단 포인트: 완화는 가장 실용적인 전략이지만, 비용 대비 효과와 잔여 위험 (Residual Risk)을 같이 봐야 한다.

Ⅰ. 개요 및 필요성

위험 관리에서는 식별한 위험에 어떻게 대응할지 결정해야 한다. 완화는 그중 가장 흔한 전략으로, 위험을 완전히 없애지는 못해도 현실적으로 감당 가능한 수준으로 낮춘다. 즉 "0으로 만들기"가 아니라 "견딜 수 있게 줄이기"다.

회피는 범위를 없애고, 전가는 책임을 넘기고, 수용은 그대로 받아들이는 전략이다. 하지만 실제 조직에서는 완화가 가장 자주 쓰인다. 왜냐하면 직접 통제할 수 있고, 조직의 보안 성숙도를 높이기 때문이다.

📢 섹션 요약 비유: 위험 완화는 비 올 때 우산, 장화, 방수 가방을 함께 챙기는 것과 같다. 비를 없애진 못해도 덜 젖게 만들 수 있다.

Ⅱ. 아키텍처 및 핵심 원리

위험 완화는 보통 위험 평가 후 통제 선택, 구현, 검증, 잔여 위험 확인 순서로 진행된다. 통제는 예방, 탐지, 교정으로 나눌 수 있고, 서로 다른 층에서 함께 작동해야 효과가 크다.

┌──────────────────────────────────────────────────────────────┐
│                 위험 완화의 반복적 제어 흐름                │
├──────────────────────────────────────────────────────────────┤
│ 위험 식별 → 평가(확률/영향) → 통제 선택 → 구현              │
│                    │                                          │
│                    ▼                                          │
│               효과 검증 → 잔여 위험 재평가                  │
└──────────────────────────────────────────────────────────────┘

통제 유형	역할	예시
예방 통제	사고 자체를 막음	접근 제어, 방화벽, 암호화
탐지 통제	사고를 빨리 찾음	로그, IDS, SIEM
교정 통제	사고 후 복구	백업, 패치, 롤백
억제 통제	피해 확대를 막음	세그멘테이션, 격리

위험 완화의 핵심은 하나의 통제로 끝내지 않는 것이다. 예를 들어 비밀번호 정책만 강화하는 것보다 MFA, 이상징후 탐지, 계정 잠금, 교육을 함께 두는 편이 훨씬 강하다. 이것이 심층 방어다.

📢 섹션 요약 비유: 위험 완화는 문 하나만 잠그는 게 아니라, 현관문, 경비실, CCTV를 함께 두는 아파트 보안과 같다.

Ⅲ. 비교 및 연결

완화는 다른 대응 전략과 비교해야 의미가 선명해진다. 회피는 위험 원인을 아예 없애는 것이고, 전가는 보험이나 계약으로 부담을 나누는 것이고, 수용은 남은 위험을 받아들이는 것이다.

전략	의미	장점	한계
완화	위험 수준을 낮춤	가장 실용적	완전 제거는 어려움
회피	위험 활동 중단	확실한 제거	사업 기회 손실
전가	비용/책임 이전	재무적 완충	사고 자체는 남음
수용	위험을 받아들임	비용이 적음	통제 약함

또한 완화는 ARO (Annual Rate of Occurrence), SLE (Single Loss Expectancy), ALE (Annual Loss Expectancy)와 직결된다. 기대 손실이 큰 위험부터 통제하는 것이 합리적이며, 완화 조치의 비용이 기대 손실 감소분보다 크면 재검토해야 한다.

📢 섹션 요약 비유: 위험 대응은 화재 대책과 같다. 불이 날 집 자체를 없애면 회피, 소화기를 두면 완화, 보험을 들면 전가, 그냥 두고 조심하자면 수용이다.

Ⅳ. 실무 적용 및 기술사 판단

실무에서는 위험을 모두 다루지 않는다. 우선순위를 정하고, 고위험부터 완화한다. 이후 통제를 실제로 배포한 뒤, 로그와 지표를 보고 효과가 있는지 확인한다. 안 되면 통제를 보강하거나 다른 전략으로 바꾼다.

체크리스트

위험의 확률과 영향이 수치화되었는가?
선택한 통제가 예방/탐지/교정 중 어디에 해당하는가?
통제 비용이 기대 손실 감소보다 합리적인가?
잔여 위험에 대한 승인과 기록이 남았는가?

안티패턴

통제 하나만 넣고 "이제 안전하다"고 말하는 경우
효과 검증 없이 규정만 늘리는 경우
잔여 위험을 문서화하지 않는 경우

기술사 관점에서는 "완화가 왜 적합한가"를 설명해야 한다. 특히 제로 트러스트, 백업, 암호화, 모니터링, 교육처럼 여러 통제를 조합한 이유를 논리적으로 말할 수 있어야 한다.

📢 섹션 요약 비유: 위험 완화는 자동차에 안전벨트, 에어백, ABS를 같이 다는 것과 같다. 하나만으로는 부족하다.

Ⅴ. 기대효과 및 결론

위험 완화는 조직이 스스로 위험을 줄일 수 있는 가장 현실적인 수단이다. 완벽한 제거는 아니지만, 피해 규모를 줄이고 사고를 빨리 발견하며, 복구 가능성을 높인다.

따라서 위험 완화는 "가장 실용적인 기본값"이다. 비용과 효과를 따져서 통제를 조합하고, 잔여 위험을 관리하는 것이 핵심이다.

📢 섹션 요약 비유: 위험 완화는 넘어질 가능성을 줄이는 보호장구 세트다. 완벽하진 않지만 가장 실용적이다.

📌 관련 개념 맵

개념	연결 포인트
ARO	발생 빈도 추정치
SLE	단일 사고 손실
ALE	연간 기대 손실
잔여 위험	통제 후 남는 위험
Defense in Depth	여러 층의 통제를 조합하는 방식

📈 관련 키워드 및 발전 흐름도

위험 식별
    │
    ▼
위험 평가 (ARO / SLE / ALE)
    │
    ▼
통제 선택
    │
    ▼
예방 · 탐지 · 교정 통제 구현
    │
    ▼
효과 검증 / 잔여 위험 재평가

이 흐름은 위험을 "통제 가능한 수준"으로 낮추는 실무 순서를 보여준다.

👶 어린이를 위한 3줄 비유 설명

위험 완화는 넘어지지 않게 준비하는 거예요.
헬멧, 무릎 보호대, 연습이 모두 도움이 돼요.
그래서 다쳐도 덜 아프고 다시 빨리 일어날 수 있어요.