위협 모델의 잔여 위험을 언제 수용하거나 설계를 바꾸나요?

잔여 위험은 완화책이 있다는 이유로 0이 되지 않습니다. 자산 영향과 공격 경로를 고정하고 공격 가능성, 완화 실패 시 탐지 가능성, 복구 가능성, 운영 비용을 함께 비교합니다. 관리자 export에 범위 제한·승인·필드 최소화·감사를 둬도 계정 탈취와 승인 오류의 위험은 남습니다. 낮음으로 숨기지 않고 누가 어떤 조건으로 수용하는지 기록합니다.

남은 피해가 자산의 허용 한도를 넘거나, 완화 실패를 탐지·복구할 수 없거나, 운영 비용이 실제 준수를 막으면 설계를 바꿉니다. export를 전면 허용하고 사후 로그만 남기기보다 tenant·기간·필드를 서버에서 제한하고 짧은 승인 만료와 즉시 회수를 둡니다. 민감 자산에는 토큰화·데이터 분리·보관 기간 축소도 검토합니다.

결정 기록에는 위협 ID, 완화, 시험 결과, 남은 가정, 책임자, 재검토 조건을 넣습니다. 새 provider나 export 범위가 추가되거나 key가 유출되면 이전 수용 결정을 재평가합니다. 임계 수치는 제품 자산 가치와 규정·계약을 확인해 정합니다.

수용과 설계 변경의 경계는 시험 결과로도 정합니다. 예를 들어 export 승인 로그는 남지만 승인자와 실제 대상 범위가 연결되지 않는다면 탐지 가능성이 낮아 수용 근거가 약합니다. 반대로 제한된 범위와 짧은 만료로 최대 노출량을 계산하고, 정기적으로 거절 시험과 복구 훈련을 통과한다면 남은 위험을 조건부로 수용할 수 있습니다.

특히 “탐지할 수 있다”와 “복구할 수 있다”를 같은 것으로 보지 않습니다. 민감한 export가 로그에 남아도 이미 외부로 나간 원문을 회수할 수 없다면 영향은 여전히 큽니다. 그래서 수용 조건에는 최대 노출량, 승인 만료, 알림 지연, 복구 연습 주기를 넣고, 조건을 만족하지 못하면 자동으로 범위를 줄이거나 기능을 중단하는 선택을 둡니다.

수용 기록은 추상적인 ‘중간 위험’이 아니라 실행 조건을 가져야 합니다. 예를 들어 TM-EXP-04의 자산은 개인정보 export, 최대 노출량은 tenant 1개·24시간, 승인 TTL은 10분, 알림 지연 목표는 5분, 책임자는 보안 승인자라고 적습니다. 월간 거절 시험에서 범위 밖 필드가 한 번이라도 반환되거나, 복구 훈련에서 외부로 나간 export를 회수할 수 없다는 사실이 확인되면 수용을 중단하고 필드 제거·기능 중지로 전환합니다. 로그가 남는다는 사실만으로 이미 발생한 disclosure를 복구했다고 판단하지 않습니다.