게시일: 2023년 12월 5일
기고자: Teaganne Finn, Amanda Downie
위험 완화는 위험 관리 프로세스의 핵심 단계 중 하나로, 비즈니스나 조직이 빈번하게 직면하는 프로젝트 목표에 대한 위협을 줄이는 방법을 계획하고 개발하는 전략을 말합니다.
위험 완화는 위험 수준을 최소화하고 견딜 만한 수준으로 낮추는 데 사용되는 기술과 전략의 정점입니다. 조직은 위협과 재난을 무력화하는 조치를 취함으로써 운영상의 차질을 제거하고 제한할 수 있는 강력한 위치에 설 수 있습니다.
위험 완화의 목표는 위협을 제거하는 것이 아닙니다. 그보다는 피할 수 없는 재해에 대비하고 재해가 비즈니스 연속성에 미치는 영향을 완화하는 데 중점을 둡니다. 잠재적 위험은 사이버 공격, 토네이도나 허리케인 같은 자연재해, 재정적 불확실성, 법적 책임, 전략적 관리 오류, 사고 등 다양한 유형이 포함됩니다.
IBM 뉴스레터 구독하기
일반적인 위험 사례가 발생하면 상황에 따라 조직에 해가 될 수 있습니다. 조직이 문제를 처리할 준비가 되어 있지 않을 경우 사소한 문제가 치명적인 문제로 발전해 비즈니스에 막대한 재정적 부담을 안겨줄 수 있고, 최악의 경우 비즈니스를 폐쇄해야 할 수도 있습니다.
이러한 상황을 방지하는 가장 좋은 방법은 위험 완화 계획을 마련하는 것입니다. 그러면 사고가 발생할 경우를 대비해 조직이 입게 될 피해를 완화하는 비상 계획을 가질 수 있게 됩니다. 위험 완화는 일부 재해의 불가피성에 중점을 두며, 주로 위협을 피할 수 없는 경우에 사용됩니다. 위험 완화 계획의 목적은 최악의 상황에 대비하고 하나 또는 그 이상의 재해가 발생할 수 있다는 사실을 받아들이는 것입니다. 이러한 사실을 인식했다면 경영진이 책임을 지고 위험 완화 계획을 수립하고 어떤 재난이 발생하더라도 대비할 수 있도록 준비해야 합니다.
넓은 관점에서 보면, 위험 완화에는 조직이 위험을 평가하고 이후 이러한 위험을 완화하기 위한 종합적인 계획을 수립할 팀과 프로세스, 기술이 필요합니다. 프로젝트 관리팀은 위험을 평가하는 최고의 비즈니스 전략입니다.
위험 완화 프로세스는 모든 조직에 일률적으로 적용할 수 있는 것이 아니며, 모든 조직의 프로세스는 서로 다릅니다. 하지만 철저한 위험 완화 계획을 세울 때 참조할 수 있는 기본적인 단계는 있습니다. 이러한 단계에는 반복되는 위험 인식, 특정 위험의 우선순위 지정, 수립된 계획 실행과 모니터링 등이 포함됩니다.
위험 완화의 첫 번째 단계는 위험 식별 단계로, 이 단계에서는 어떤 위험이 존재하는지 파악하고 조직과 운영, 직원에 대한 위협을 평가합니다. 이때 데이터 위험, 데이터 유출 등의 사이버 보안 위협, 재무 위험, 자연재해, 조직과 비즈니스 운영을 방해할 수 있는 잠재적으로 유해한 이외의 위험 이벤트를 비롯해 다양한 비즈니스 위험을 고려하는 것이 중요합니다.
식별된 위험 목록을 작성했다면 다음 단계에서는 위험 완화팀이 각 위험을 평가해 위험을 정량화합니다. 이 단계에서는 위험의 수준을 설정하며, 위험의 영향을 줄이기 위해 실행 중인 조치, 프로세스, 제어 환경을 확인하는 작업도 이 단계에 포함되는 경우가 많습니다.
위험 평가를 통해 발생할 수 있는 위험의 심각도를 개별적으로 비교해 중요도와 결과에 따라 순위를 매깁니다. 어떤 위험이 조직과 직원들에게 가장 치명적인 영향을 미치는지 결정해야 하기 때문에 이 단계는 매우 중요합니다. 또한, 이 단계에서는 각 영역에서 받아들일 수 있는 위험 수준을 설정합니다. 이를 통해 비즈니스를 위한 기준을 마련해 비즈니스 연속성에 필요한 자원을 더 잘 준비할 수 있습니다.
위험과 각 위험 수준은 여러 가지 요인에 따라 달라질 수 있습니다. 위험이 끊임없이 변화하기 때문에 모니터링 단계는 위험 완화 계획에서 중요합니다. 조직은 위험을 모니터링함으로써 심각도가 증가하는 시기와 감소하는 시기를 판단해 이에 따라 조치를 취할 수 있습니다. 조직은 위험을 추적할 수 있는 견고한 지표를 갖춰야 합니다. 이 추적은 조직이 다양한 규정과 컴플라이언스 요구 사항을 준수하는 데 도움이 됩니다.
위험을 평가하고, 우선순위를 정하고, 이를 평가했다면 이제 계획을 실행할 차례입니다. 이 단계에서는 조직 전체에 걸쳐 모든 적절한 조치를 취해야 합니다. 직원들은 위험 완화 계획의 면면에 대한 설명을 듣고 교육을 받아야 합니다. 정기적인 테스트와 분석을 빈번하게 수행해 계획이 최근 상황에 맞게 유지되고 규정을 준수하는지 확인해야 합니다.
이 단계와 이후의 단계는 조정이 필요할 수 있습니다. 팀이 새로운 것을 배우거나 위험의 우선순위가 바뀌면 계획을 변경해야 합니다. 위험 관리 전략을 지속적으로 평가하면 취약점을 발견할 수 있고 의사 결정 프로세스가 향상됩니다.
위험 완화 프로세스와 마찬가지로 조직에서 위험 완화 계획을 수립하는 데 사용하는 전략이나 접근 방식도 조직에 따라 다릅니다. 하지만 일반적으로 위험에 대처할 때 다음과 같은 테크닉을 사용합니다.
위험 회피
위험 회피 전략은 위험이 발생하지 않도록 조치를 취해 위험을 완화하는 방법입니다. 이 접근 방식을 사용하면 조직이 다른 자원이나 전략을 희생해야 할 수 있습니다. 투자를 하지 않거나 제품 라인을 가동하지 않아 손실을 피하는 행위를 그 예로 들 수 있습니다.
위험 감소
이 접근 방식은 조직이 위험 완화 분석을 완료하고 위험 발생 가능성이나 영향을 줄이기 위한 조치를 취하기로 결정한 이후에 실행합니다. 이 방식은 위험을 제거하는 것이 아니라 위험을 받아들이고 손실을 억제해 확산을 방지하기 위해 할 수 있는 일을 하는 데 중점을 둡니다. 의료 업계에서 예방적 치료를 보장하는 건강 보험을 적용하는 것을 그 예로 들 수 있습니다.
위험 전가
위험 전가는 재산 피해나 부상과 같은 특정 위험을 보장하기 위해 보험에 가입하는 것과 같이 제삼자에게 위험을 전가하는 것을 말합니다. 이 방식은 위험을 조직에서 다른 사람(대부분의 경우 보험 회사)에게 이전합니다.
위험 수용
이 전략은 위험보다 보상이 더 클 수 있다는 가능성을 받아들이는 것을 말합니다. 이 전략은 영구적일 필요는 없으며, 일정한 기간 동안 다른 위험과 위협에 우선적으로 대처하는 것이 최선의 전략일 때 사용합니다. 모든 위험을 제거하는 것은 사실상 불가능하며 남아 있는 위험을 '잔여 위험' 또는 '잔존 위험'이라고 합니다.
위험 완화 계획을 개발하려면 조직 전체에서 다양한 것을 조율해야 합니다. 위험 완화 계획에 접근하고 실행하는 것에 관한 모범 사례는 다음과 같습니다.
이해관계자들에게 정보 제공
조직 전체에 위험을 알리는 것은 위험 완화 계획에서 중요한 부분입니다. 조직 전체에 걸친 열린 소통은 조직뿐만 아니라 관련된 모든 직원에게도 매우 중요합니다. 조직에 큰 영향을 미치는 주요 위험의 경우 명확하게 전달하고 모든 부서에 모니터링해야 합니다.
강력한 위험 문화 구축
위험 문화는 경영진에서부터 시작됩니다. 위험 문화는 개인이 모인 집단이 가지고 있는 위험에 대한 집단적 가치와 신념을 말합니다. 철저한 컴플라이언스를 위해서는 비즈니스 리더와 경영진이 위험 문화를 명확하게 전달해야 합니다. 컴플라이언스의 중요성은 최고위층이 확고하게 수립해야 하며 조직 전체가 공유해야 합니다.
위험 도구 확립
위험을 모니터링할 수 있는 강력한 제어 환경과 지표를 마련해야 합니다. 위험 평가 프레임워크와 같은 관리 도구는 지속적인 모니터링에 도움이 될 수 있습니다. 위험 평가 프레임워크는 어떤 위험이 높고 어떤 위험이 낮은지 모니터링하며 관련 기술·비기술 이해관계자들에게 보고서를 제공합니다.
정기적인 위험 평가
조직의 위험 개요서를 최신 상태로 유지하는 것은 매우 중요합니다. 정보에 기반한 의사 결정을 내리고 위험을 관리하는 강력한 실행 계획을 세울 수 있으려면 조직의 리더에게 가장 최신 데이터와 보고서가 필요합니다.
IBM Security QRadar Suite는 AI 및 자동화 기능이 적용된 통합 분석 환경을 제공해 경고 조사 및 대응 워크플로우 전반에 걸쳐 보안 분석을 지원하는 현대화된 보안 기술의 집약체입니다.
지능적이고 통합된 사이버 위협 관리 솔루션을 사용하면 철저한 방어를 유지하고, 진화된 위협을 탐지하며, 정확하고 신속하게 대응하고, 중단으로부터 복구하는 데 도움이 될 수 있습니다.
성공적인 위험 관리 전략을 개발하고 구현하는 동시에 위험 평가 수행, 규정 준수, 컴플라이언스 확보 프로그램을 개선하세요.
사이버 보안 전문가가 사이버 공격을 방지하고 사이버 위협을 탐지하며 보안 인시던트에 대응하기 위해 위협 관리를 어떻게 사용하는지 알아보세요.
사이버 공격과 기타 디지털, 물리적 위협으로부터 정보 시스템을 보호하기 위해 기업들은 사이버 보안 위험을 어떻게 관리하고 있을까요? 그 방법을 알아보세요.
GRC를 사용해 거버넌스, 위험 관리, 업계와 정부 규정 컴플라이언스를 관리하는 방법을 알아보세요.
하이브리드 멀티클라우드 환경에서 복잡한 비즈니스 운영을 관리하는 전략을 살펴보세요.
2023년 데이터 유출 비용 보고서에서 조직이 데이터 유출을 방지하는 데 도움이 될 수 있는 재정적 영향과 보안 조치를 살펴보세요.
인사이트를 통해 위협 행위자들이 사이버 공격을 실행하는 방법을 살펴보며 글로벌 관점에서 사이버 공격의 위험을 파악하세요.