연간 보안 예산이 제한적인 상황에서 어떤 항목을 먼저 투자해야 효과적인지 고민입니다. 위험 기반 우선순위 설정 방법을 알려주세요.