정보보호 위험 관리
위험관리
위험관리란 조직의 자산에 대한 위험을 감수할 수 있는 수준으로 유지하기 위하여 자산에 대한 위험을 분석하고 이러한 위험으로부터 자산을 보호하기 위한 비용 대비 효과적인 보호대책을 마련하는 일련의 과정을 말한다.
위험관리 과정은 첫째 전략과 계획을 수립하고, 둘째 위험을 구성하는 요소들을 분석하고, 셋째 이러한 분석에 기초하여 위험을 평가하여, 넷째 필요한 정보보호대책을 설립하고, 다섯째 이들을 구현할 계획을 수립하는 5가지 세부 정책으로 이루어진다.
보안관리 활동에 있어 가장 핵심적인 부분이다.
- 위험관리의 필요성
위험분석은 자산의 가치와 손실을 측정하여 위험을 평가하고 이를 조직이 수용할 수 있는 수준으로 감소시키기 위하여 적절한 보호대책을 우선순위에 따라 필요한 곳에 설치하도록 함으로써 과도하거나 과소의 투자를 예방한다.
따라서 효과적이고 효율적인 보안을 위해서는 위험분석이 반드시 요구된다.
체계적인 위험분석 과정 없이 보호대책을 수립하게 되면 취약점과 위협에 대한 우선순위가 설정되지 못하여 불필요하거나 과도한 투자가 발생할 수 있다. 또 한편으로는 보호대책을 수립하였음에도 불구하고 위협에 대처하지 못하는 경우가 발생할 수 있다.
보호대책은 시간이 지나면서 그 효과가 감소하게 되므로 조직의 위험 수준을 지속적으로 유지하기 위해서는 지속적이고 반복적인 위험관리가 필요하다.
위험의 구성요소
위험이란 원하지 않은 사건이 발생하여 손실 또는 부정적인 영향을 미칠 가능성을 말한다. 위험의 유형과 규모를 확인하기 위해서는 위험에 관련된 모든 요소들과 그들이 어떻게 위험의 규모에 영향을 미치는지를 분석하여야 한다.
또는 위협의 발생으로 인하여 자산에 실질적으로 가해진 결과이다. 이로 인하여 자산 자체가 파괴되거나 구성 환경이 변경될 수 있으며 자산에 저장되어 있는 정보들이 변조, 폭로, 서비스 거부 등의 피해를 입을 수 있다.
위험은 잠재적인 위협이 현실화되어 나타날 경우 손실액과 이러한 손실이 발생할 확률의 곱으로 정의된다.
위험은 자산, 위협, 취약점의 함수로서 정의된다. 위험 = f(자산,위협,취약점)
- 구성요소
① 자산(Assets)
위험 관리를 수행하는 가장 큰 목적은 조직의 자산을 보호하기 위함이다.
자산은 조직이 사용하고 있는 네트워크 및 시스템을 구성하고 있는 모든 요소(유형과 무형)를 포함한다.
② 위협(Threats)
자산에 손실을 초래할 수 있는 사건의 잠재적 원인이나 행위자로 정의된다.
위협은 일반적으로 위협원천에 따라 크게 자연재해나 장비 고장 등의 환경적 요인에 의한 것과 인간에 의한 것으로 나눌 수 있고 인간에 의한 위협은 다시 의도적인 위협과 우연한 위협으로 나눌 수 있다.
③ 취약점(Vulnerability)
자산의 잠재적 속성으로써 위협의 이용 대상이 되는 것으로 정의되나 때로 정보보호대책의 미비로 정의되기도 한다.
자산에 취약점이 없다면 위협이 발생해도 손실이 나타나지 않는다는 점에서 취약점은 자산과 위협 사이의 관계를 맺어 주는 특성으로 파악할 수 있다.
④ 정보보호대책(Safeguard, Countermeasure)
위험 분석 시 기존에 설치된 보호 대책을 식별하고 이러한 보호 대책의 정상적인 작동 여부를 반드시 확인하여야 하며, 새로운 보호 대책을 검토할 경우 새로운 보호 대책이 기존 보호 대책의 기능을 무효화시키지 않는지 검토하여야 한다.
보호 대책을 선정하기 위해서는 그 보호 대책이 어느 정도 위험을 낮출 수 있으며, 이것이 보호 대책 수립의 비용을 정당화시킬 수 있는지를 반드시 고려하여야 한다.
이를 위해서 객관적인 평가가 이루어진 보호 대책을 선택하는 것이 바람직하다.
- 위험 구성요소들 간의 관계
위협은 취약점을 공격하여 이용하게 되며 취약점은 자산을 노출시킨다. 또한 자산은 가치를 보유하는데 이러한 위협, 취약점, 자산, 가치는 모두 위험을 증가시킨다.
한편 위험을 파악함으로써 보안 요구사항을 파악할 수 있고 보안 요구사항을 만족시키는 정보보호대책을 선정하여 구현함으로써 위협을 방어할 수 있다. 정보보호대책은 위협을 방어함으로써 위험을 감소시킨다.
- 전체 위험과 잔여 위험
기업이 대책을 마련하는 이유는 그들의 전체적인 위험을 수용할 수 있는 수준으로 감소시키기 위해서이다. 100% 안전한 시스템이나 환경은 존재하지 않으며 이는 남겨진 위험이 있음을 의미한다. 이를 잔여 위험이라 부른다.
잔여 위험은 기업이 어떠한 안전장치도 설치하지 않았을 경우의 전체 위험과는 다르다.
전체 위험과 잔여 위험 그리고 기업이 수용하려는 위험의 유형에는 중요한 차이가 존재한다.
| 위협×취약점×자산 = 전체 위험 (위협×취약점×자산)×통제격차 = 잔여 위험 |
이러한 개념은 또한 '전체 위험 - 대책 = 잔여 위험' 으로 표현될 수도 있다.
위험분석
위험 분석은 자산의 취약점을 식별하고 존재하는 위협을 분석하여 이들의 발생 가능성 및 위협이 미칠 수 있는 영향을 파악해서 보안위험의 내용과 정도를 결정하는 과정이다. 위험 분석의 결과는 적절한 보호 대책을 선정할 수 있는 근거가 된다.
위험분석은 정보기술 보안관리(IT Security Management)를 수행하기 위해서 필수적인 과정 중 하나이다. 위험 관리 중 80% 이상을 위험분석 과정이 차지하고 있으므로 실질적으로 갖아 핵심은 위험분석 과정이라고 할 수 있다.
사전 위험분석
위험분석 수준을 선택하기 위해서는 사전 위험분석을 수행해야 한다. 수준이 결정되면 기준 접근법, 상세 위험분석 등에서 위험분석 방법을 선택해야 한다.
사전 위험분석의 목적은 효과적인 위험분석을 수행하기 위해서 현재 구성되어 있는 네트워크 및 시스템 환경에 적합한 위험분석 수준을 결정하는 것이다.
사전 위험분석에서 고려해야 할 사항은 위험분석 대상의 자산과 해당 자산의 업무상 중요도 및 보안성 결여로 인한 문제가 조직에 미치는 위험 등이다.
위험분석 방법론
- 기준 접근법(Baseline Approach, 기본통제 방법)
모든 시스템에 대해 표준화된 보안대책의 세트를 체크리스트 형태로 제공한다. 이 체크리스트에 있는 보안대책이 현재 구현되어 있는지를 판단하여 없는 것을 구현하는 방식을 취한다.
BS 7799(또는 ISO 17799)를 사용한 갭 분석이 이러한 예가 될 수 있다.
베이스라인 접근법은 보다 조직화된 위험 평가 접근법을 구현할만한 자원을 갖지 못한 작은 조직에 사용하도록 권고되는 것이 일반적이다.
· 장점
위험분석 시행에 필요한 자원과 비용을 줄일 수 있고 보안대책을 시행하는데 필요한 시간과 노력을 최소화할 수 있다. 또한 동일한 조치를 조직 내의 시스템들에 대해 반복 적용할 수 있다.
· 단점
가장 큰 단점은 조직의 특징과 조직 내의 시스템이 사용되는 방법에 따라 달라질 수 있는 위험의 차이를 고려할 수 없다는 점이다.
기본통제의 수준이 너무 높으면 지나치게 높은 수준의 보안요구로 인해 비용이 과다하게 지출되고, 너무 낮으면 필요한 보안요구를 간과하여 취약점을 그대로 노출시킬 수 있다. 그러므로 기본통제 방식은 조직의 요구사항을 반영하여 적절한 수준으로 조정되어야 한다.
- 비정형화된 접근법(Informal Approach, 비형식화된 접근법)
조직 IT 자산에 대한 위험을 분석하기 위해 정형화되고 구조화된 위험 평가 프로세스를 사용하는 대신 위험을 분석하는 개인의 지식과 전문성을 활용하여 실용적인 위험 분석을 실시한다.
비정형 접근법은 전문가 의존형 접근법으로 불리기도 한다. 위험 분석을 실시하는 전문가는 내부 전문가일 수도 있고 외부의 보안 컨설턴트일수도 있다.
이 접근은 중소규모의 조직(내지는 소규모)에 일반적으로 추천되는데 이런 조직에서는 IT 시스템이 조직의 업무 목표를 달성하는데 필수적이지 않아 위험 분석에 따르는 추가 비용이 정당화되기 어렵다.
· 장점
가장 큰 장점은 위험 분석을 수행하는 개인들의 지식과 전문성을 활용하므로 위험 분석이 비교적 빠르게 수행될 수 있고 비용이 적게 드는 것이다.
· 단점
구조화된 프로세스가 아닌 개인들의 지식과 전문성에 의존하므로 일부 위험들이 적절하게 평가되지 않을 수 있고 결과적으로 조직을 취약한 상태로 방치할 가능성이 있다.
위험 평가를 수행하는 개인의 주관적 판단에 따라 결과가 왜곡될 수 있어서 제안되는 대책 또는 통제 수단들의 정당성 결여로 연결될 수 있다.
- 상세 위험 분석(Detailed risk analysis)
가장 포괄적인 접근법은 정형화되고 구조화된 프로세스를 사용하여 조직의 IT 시스템에 대해 상세한 위험 평가를 수행하는 것이다. 모든 중요한 위험이 식별되고 그로 인한 영향이 고려되는 것을 보장한다.
이 프로세스는 자산의 식별, 자산에 대한 위협 및 취약점의 식별, 위험이 일어날 가능성 및 조직에 미칠 결과 그리고 조직에 노출되는 위험을 결정하는 여러 단계를 거친다.
· 장점
IT 시스템의 보안 위협에 대해 가장 상세하게 살펴보며 제안된 통제에 따르는 지출에 대해 정당화가 확실하다.
또한 IT 시스템이 발전하고 변화함에 따라 이러한 시스템을 연속적으로 관리하는데 필요한 가장 좋은 정보를 제공한다.
· 단점
시간, 자원, 분석 수행에 필요한 전문성 측면에서 비용이 상당히 든다. 분석에 소요되는 시간 때문에 시스템에 따라서는 적절한 수준의 보안을 제공하는데 지연이 발생할 수도 있다.
- 통합된 접근법(Combined Approach, 복합 접근법)
복합 접근방법은 고위험 영역을 식별하여 이 영역은 상세 위험분석을 수행하고 다른 영역은 베이스라인 접근법을 사용하는 방식이다.
복합 접근법의 목적은 조직 내의 IT 자산에 대해 적정 수준의 보호를 가능하면 빨리 제공한 다음 시간을 두고 중요 시스템들에 대한 위험을 보다 구체적으로 평가하여 보호 대책을 조정하는 것이다.
· 장점
상세 위험 분석 접근법 적용의 지연 발생으로 인한 문제점을 베이스라인 접근법과 비정형 접근법을 초기 적용함으로써 해결할 수 있는 장점이 있다.
조직의 규모, 특성, 자원 가용 여부 등 상황에 맞게 위험 평가를 유연하게 적용할 수 있는 장점이 있다.
· 단점
초기 위험 평가(베이스라인 접근법)가 정확하지 않을 경우 조직을 일정 시간 동안 취약한 상태로 방치할 수 있다.
고위험 영역이 잘못 식별되었을 경우 위험분석 비용이 낭비되거나 부적절하게 대응될 수 있다.
상세 위험 분석
상세 위험분석 방식은 네트워크 및 시스템이 조직의 업무상 중요도가 높거나 자산 가치가 클 경우에 적용된다.
자산 분석, 위협 분석, 취약점 분석, 대응책 분석, 위험산출 등의 일련의 과정을 상세 위험분석이라고 하며 일반적으로 위험분석을 수행한다고 하는 것은 상세 위험분석을 수행함을 의미한다.
자산 분석
자산 분석은 조직의 자산규모를 파악하고 자산의 가치 및 중요도를 산출하며 자산과 업무처리와의 관계도 알아낼 수 있다.
자산의 분석 과정은 다음과 같다.
① 자산의 식별
먼저 정보보호관리체계 범위 내의 자산을 다음과 같이 분류하여 조사한다.
| 자산 유형 | 설명 |
| 데이터 | 전산화된 정보를 말한다. 데이터 파일, 데이터베이스 내의 데이터 등이 해당된다. |
| 문서 | 종이로 된 정보를 말한다. 보고서, 계약서, 메뉴얼, 각종 대장 등이 해당된다. |
| 소프트웨어 | 패키시 소프트웨어, 시스템 소프트웨어, 응용 프로그램 등이 해당된다. |
② 3단계 자산 평가
자산의 평가 방법에는 여러가지가 있으나 가장 단순하게 3단계로 자산의 비밀성, 무결성, 가용성 측면의 중요도를 평가할 수 있다.
비밀성과 무결성은 주로 데이터에 의해 결정되고 가용성은 서비스에 의해 결정된다. 따라서 각 자산의 비밀성과 무결성을 결정하기가 모호한 경우는 그 자산에 관련된 데이터의 중요도 중 가장 높은 것을 따르며 가용성은 관련 응용 서비스 또는 업무의 가용성 중요도 중 가장 높은 것을 따라 결정할 수 있다.
③ 자산의 그룹핑
조사된 자산을 비밀성, 무결성, 가용성 평가 결과에 기초하여 자산 유형, 보안특성, 중요도가 같은 것들을 묶어서 공통 자산 그룹으로 명시한다.
이것은 관련 위협 및 취약점 평가와 위혐 평가를 수행할 때 위에서 말한 3가지 특성에 근거하여 결과가 달라지므로 같은 결과가 나오는 자산에 대하여 동일한 작업을 여러 번 반복하지 않기 위해서이다.
만일 자산의 수가 적고 결과가 다양하여 이후의 분석에 걸리는 시간 차이가 크지 않다면 굳이 그룹핑을 하지 않아도 된다.
위협 분석
위협 분석은 자산에 피해를 가할 수 있는 잠재적인 요소인 위협을 파악하고 발생할 가능성 등을 분석하는 과정으로 위험을 산출하는데 있어 중요한 단계이다.
특히 자산과 취약점 간의 관계를 정의함으로써 향후 위협이 미칠 대상을 고려하게 된다.
취약점 분석
취약점 분석은 자산 분석을 통하여 도출된 자산의 속성과 중요도를 바탕으로 자신이 가지고 있는 취약점을 식별하고 취약점이 전체적인 위험에 미칠 수 있는 영향을 분석하는 것이다.
자산의 잠재적 위험을 산출하고 평가하기 위한 사전 작업으로 자산의 취약점 및 자산과 취약점의 관계를 파악하여 자산에 취약점이 미치는 영향을 알아낸다.
대응책 분석
대응책 분석이란 네트워크 및 시스템을 새로 구축하는 경우와 운영 중인 자산에 필요한 대응책을 조사하여 이들 대응책들의 기본 기능 수행여부를 파악하는 것을 말한다.
위험 평가
위험평가는 자산 분석, 취약점 분석, 위협 분석, 대응책 분석을 통하여 얻은 데이터와 분석 결과를 바탕으로 위험을 측정하고 평가한 후 대응책을 제시해주는 위험분석의 최종 단계이다.
위험평가 과정은 정량적 또는 정성적 위험평가 방법을 사용하여 위험을 나타내고 이를 바탕으로 위험이 높은 것부터 낮은 것가지 순위를 정한다.
위험순위를 바탕으로 가장 위험한 자산과 그 자산에 필요한 대응책을 도출하며, 대응책 실시비용과 감소된 위험수준을 고려하는 비용효과분석을 실시한다.
잔류 위험 평가
잔류 위험평가는 위험분석 결과에 대한 종합적인 평가를 하기 전에 추천한 대응책을 적용할 때 보안 정책에 명시되어 있는 허용 위험수준을 만족하는지 검증하는 것이다.
만약 만족시키지 못한다면 허용 가능한 위험수준까지 낮출 수 있도록 필요한 대응책을 마련해야 한다. 만일 보안 예산 등에제약이 있다면 경영층의 결정이 필요하다.
위험처리 전략
위험 수용(Risk Acceptance)
현재의 위험을 받아들이고 잠재적 손실 비용을 감수하는 것을 말한다. 어떠한 대책을 도입하더라도 위험을 완전히 제거할 수는 없으므로 일정 수준 이하의 위험은 어쩔 수 없는 것으로 인정하고 사업을 진행하는 것이다.
이것은 보통 위험을 처리하는데 들어가는 과도한 비용 또는 시간에 기인한다. 관리층은 위험이 조직에 발생시키는 결과에 대한 책임을 받아들여야 한다.
위험 감소(Risk Reduction/Mitigation)
위험 수준을 낮추는 대책은 위험 결과를 낮추는 대책과 위험 발생 가능성을 낮추는 대책으로 나눌 수 있다.
위험 결과를 낮추는 대책은 위험이 실제로 발생했을 때 조직에 해가 되는 결과를 낮추는 대책으로 자료 백업 프로세스 확립, 재난 복구 계획 확립, 중요 장치의 이중화 등이 있다.
위험 발생 가능성을 낮추는 대책은 자산의 취약점이 실제로 이용될 수 있는 가능성을 낮추는 통제수단을 구현하는 것으로 예를 들면 방화벽 설치, 강한 인증 수단 적용 등이 있다.
위험감소 대책을 채택할 시 대책은 비용이 소요되기 때문에 이 비용과 실제 감소되는 위험의 크기를 비교하는 비용효과 분석을 실시한다.
위험 전가(위험 전이, Risk Transfer)
위험에 대한 책임을 제3자와 공유하는 것이다.(위험전이는 비용을 동반함)
이것은 위험에 대비하여 보험을 들거나 다른 기관과 계약을 맺거나 또는 위협이 발생시키는 위험과 비용을 공유하는 협력 관계나 공동 벤처 구조를 활용함으로써 이루어진다.
위험 회피(Risk Avoidance)
위험 회피는 위험이 존재하는 프로세스나 사업을 수행하지 않고 포기하는 것이다.
자산 매각이나 설계변경 등 다른 대안을 선택하여 해당 위험이 실현되지 않도록 하는 것이다. 이것은 보통 편리함이나 유용한 기능 수행 능력의 상실을 초래할 수 있다.
정량적 위험분석과 정성적 위험분석
정량적 위험분석(quantitative risk analysis)
정량적 위험분석은 위험 분석 프로세스의 모든 요소에 대하여 금전적 가치와 숫자값을 부여하는데 사용된다.
분석 내의 각 요소(자산가치, 위협 빈도, 취약의 심각성, 피해 영향, 안전장치 비용, 안전장치 실효성, 불확실성, 개연성 항목)는 정량화되고 공식에 입력되어 전체 및 잔여 위험을 판단한다. 이것은 정성적 분석과 비교하여 보다 과학적이거나 수학적인 접근방식이다.
- 자동 위험 분석 방식(Automated Risk Analysis Methods)
위험 분석 공식에 입력하기 위해 필요한 모든 데이터를 수집하고 그 결과를 올바르게 해석하는 작업이 수작업으로 진행된다면 어려운 일이 될 수 있다. 이러한 작업을 보다 쉽고 정확하게 만들어 주는 여러 자동 위험 분석 도구가 존재한다.
수집된 데이터는 다시 사용될 수 있어 분석 수행시간을 크게 줄여준다. 위험분석팀은 경영진에 제출하기 위해 보고서와 포괄적인 그래프를 출력할 수 있다.
- 정량적 위험분석의 단계
1. 자산에 가치 부여하기: 각각의 자산에 대한 가치를 결정한다.
2. 각각의 위협에 대한 잠재적 손실 계산하기
· 노출계수(어떤 자산에 대해 실현된 위험으로 인해 침해가 발생할 때 조직이 입게 되는 손실 비율) 계산
· SLE(Single Loss Expectancy/한 번의 침해로 발생한 손실액) 계산 -> SLE = 자산가치 × 노출계수
3. 위협 분석의 수행
· ARO(Annualized Rate of Occurrence/1년 동안의 시간 단위에서 특정한 위협이 발생할 수 잇는 빈도를 추정하는 값) 계산
4. 개별 위협마다 전체 손실 예상액 도출
· ALE(Annualized Loss Expectancy) 계산 -> ALE = ARO × SLE
5. 위험 감소, 위험 전이, 위험 수용
정성적 위험분석(qualitative risk analysis)
구성요소와 손실에 대해 숫자와 화폐적 가치를 부여하는 대신, 다양한 위험 가능성의 시나리오에 정성적 방법을 투영시켜 위협의 심각성과 자산 중요성의 순위를 정한다.
정성적 위험분석 기술은 판단, 직관 그리고 경험을 포함한다.
정성적, 정량적 위험분석 방법 장단점 비교
| 구분 | 정량적 위험분석 | 정성적 위험분석 |
| 장점 | 객관적인 평가기준이 적용된다. 정보의 가치가 논리적으로 평가되고 화폐로 표현되어 납득이 잘 된다. 위험관리 성능평가가 용이한다. 위험 평가 결과가 금전적 가치, 백분율, 확률 등으로 표현되어 이해되기 쉽다. |
계산에 대한 노력이 적게 든다. 정보자산에 대한 가치를 평가할 필요가 없다. 비용/이익을 평가할 필요가 없다. |
| 단점 | 계산이 복잡하여 분석하는데 시간, 노력, 비용이 많이 든다. 수작업의 어려움으로 자동화 도구를 사용할 시 신뢰도가 벤더에 의존한다. |
위험평가 과정과 측정기준이 지극히 주관적이어서 사람에 따라 달라질 수 있다. 측정결과를 화폐가치로 표현하기가 어렵다. 위험완화 대책의 비용/이익 분석에 대한 근거가 제공되지 않고, 문제에 대한 주관적인 지적만 있다. 위험관리 성능을 추적할 수 없다. |
- 정성적 방법의 종류
· 과거자료 분석법: 미래 사건의 가능성을 예측하는 방법으로 과거의 자료를 통해 위험발생 가능성을 예측한다. 위협에 대한 과거자료가 많을수록 정확도가 높아진다. 과거게 일어났던 사건이 미래에도 일어난다는 가정이 필요하며 과거의 사건 중 발생빈도가 낮은 자료에 대해서는 적용이 어렵다는 단점이 있다.
· 수학공식 접근법: 위협의 발생 빈도를 계산하는 식을 이용하여 위험을 계량하는 방법으로 과거자료의 획득이 어려울 경우 위협 발생 빈도를 추정하여 분석하는데 유용하다.
· 확률 분포법: 미지의 사건을 추정하는데 사용하는 방법으로 확률적 편차를 이용하여 최저, 보통, 최고의 위험 분석을 예측할 수 있다. 정확성은 낮음
· 점수법: 위험 발생 요인에 가중치를 두어 위험을 추정하는 방법이다. 소요되는 시간이 적고 분석해야 할 자원의 양이 적다는 장점이 있다. 정확성이 낮음
- 정성적 위험분석
· 델파이법: 시스템에 관한 전문적인 지식을 가진 전문가 집단이 위험을 분석 및 평가하여 정보시스템이 직면한 다양한 위협과 취약점을 토론을 통해 분석하는 방법이다. 시간과 비용을 절약할 수 있으나 전문가의 지식과 토론만으로 위협요소 등을 추정하기 때문에 정확도가 낮다.
· 시나리오법: 어떤 사건도 기대대로 발생하지 않는다는 사실에 근거하여 일정조건 하의 위협에 대해 발생가능한 결과를 추정하는 방법이다. 적은 정보를 가지고 전반적인 가능성을 추론할 수 있고, 위험 분석팀과 관리층 간의 원할한 의사소통도 가능케 한다. 그러나 발생가능한 사건의 이론적인 추측에 불과하고 정확성, 완성도, 이용 기술 수준 등이 낮다.
· 순위결정법: 비교 우위 순위 결정표에 위험 항목들의 서술적 순위를 결정하는 방법이다. 즉, 각각의 위협을 상호 비교하여 최종 위협 요인의 우선순위를 도출하는 방법이다. 이 방법은 위험 분석에 소요되는 시간과 분석해야 하는 자원의 양이 적다는 장점이 있으나 위험 추정의 정확도가 낮다는 단점이 있다.
· 퍼지 행렬법: 자산, 위험, 보안체계 등 위험분석 요소들을 정성적인 언어로 표현된 값을 사용하여 기대손실을 평가하는 방법이다. 즉, 자산 가치의 크고 적음을 화폐가치로 표현하고 위협발생확률의 높고 낮음을 변수로 표현하여 수학적으로 계산하는 방법이다.