위험 평가 접근방법에 대한 설명으로 옳지 않은 것은?

1. 1

   기준(baseline) 접근법은 기준 문서, 실무 규약, 업계 최신 실무를 이용하여 시스템에 대한 가장 기본적이고 일반적인 수준에서의 보안 통제 사항을 구현하는 것을 목표로 한다.

   오답 이유기준선 접근은 조직·업계의 표준 통제를 먼저 적용해 최소 보호 수준을 빠르게 확보한다.
2. 2

   비정형(informal) 접근법은 구조적인 방법론에 기반하지 않고 전문가의 지식과 경험에 따라 위험을 분석하는 것으로, 비교적 신속하고 저비용으로 진행할 수 있으나 특정 전문가의 견해 및 편견에 따라 왜곡될 우려가 있다.

   오답 이유비정형 접근은 전문가 경험에 의존해 빠르고 저렴하지만 누락·편향 위험이 있다.
3. 3

   상세(detailed) 위험 분석은 정형화되고 구조화된 프로세스를 사용하여 상세한 위험 평가를 수행하는 것으로, 많은 시간과 비용이 드는 단점이 있는 반면에 위험에 따른 손실과 보안 대책의 비용 간의 적절한 균형을 이룰 수 있는 장점이 있다.

   오답 이유상세 분석은 자산·위협·취약성·영향을 구조적으로 평가해 비용이 크지만 위험에 맞춘 통제를 선택할 수 있다.
4. 4

   복합(combined) 접근법은 상세 위험 분석을 제외한 기준 접근법과 비정형 접근법 두 가지를 조합한 것으로 저비용으로 빠른 시간 내에 필요한 통제 수단을 선택해야 하는 상황에서 제한적으로 활용된다.

   정답 근거복합 접근은 기준선으로 전반을 보호한 뒤 중요 영역에 상세 분석을 적용하는 방식이므로 상세 분석을 제외한다는 설명이 틀렸다.