위험 감소

• 보안 정책을 적용하거나 보안 투자를 늘리는 등의 방법으로 위험이 발생할 확률을 줄인다.
• (예시) 패스워드 도용의 위험을 줄이기 위하여 개인정보처리시스템의 로그인 패스워드 복잡도와 길이를 3가지 문자조합 및 8글자 이상으로 강제 설정되도록 패스워드 설정 모듈을 개발하여 적용한다.

위험 회피

• 위험이 동반되는 사업을 수행하지 않거나 완전 다른 방법을 사용한다.

• (예시) 회사 홍보용 인터넷 홈페이지에서는 회원 관리에 따른 리스크가 크므로 회원 가입을 받지 않는 것으로 변경하고 기존 회원정보는 모두 파기한다.

위험 전가

• 위험한 사업을 외주로 전환하거나 보험에 들어 위험부담이나 책임을 이전시킨다.
• (예시) 중요정보 및 개인정보 유출 시 손해배상 소송 등에 따른 비용 손실을 줄이기 위하여 관련 보험에 가입한다.

위험 수용

• 위험부담을 일정 수준 감수하고 진행한다.
• (예시) 유지보수 등 협력업체, 개인정보 처리 수탁자 중 당사에서 직접 관리·감독할 수 없는 PG사, 본인확인기관 등과 같은 대형 수탁자에 대하여는 해당 수탁자가 법령에 의한 정부감독을 받거나 정부로부터 보안인증을 획득한 경우에는 개인정보 보호법에 따른 문서체결 이외의 별도 관리·감독은 생략할 수 있도록 한다.

참고 문헌

• 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)