보안 수준은 의사결정 구조에서 갈린다
5단계 risk loop, 점수·appetite·RACI와 P0~P3 데이터 분류
보안은 위험을 모두 없애는 일이 아니라 누가 어떤 위험을 어떤 근거로 수용했는지 재현 가능하게 만드는 일입니다. 식별→분석→통제→승인→추적의 5단계와 데이터 수집→저장→추론→보관→파기 수명주기를 연결합니다.
| 등급 | 예시 | 최소 통제 |
|---|---|---|
| P0 | 민감·규제·인증정보 | 2인 승인·강한 암호화·최소 보관 |
| P1 | 개인·계약·고객 데이터 | 목적 제한·접근 로그·파기 SLA |
| P2 | 내부 업무 데이터 | 역할 기반 접근·retention |
| P3 | 공개 정보 | 출처·무결성·라이선스 확인 |
- 자산·흐름 식별데이터와 tool side effect가 어디로 흐르는지 그립니다.
- 점수·appetiteLikelihood×Impact×Exploitability와 허용 한계를 정합니다.
- 수명주기 통제수집·저장·추론·보관·파기에 최소 통제를 배치합니다.
- 승인·추적RACI, 잔여 위험, 재검토 날짜를 기록합니다.