초록 ▼

용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

국내에서 정보시스템과 개인정보 관리에 대한 인증으로 기업에서는 ISMS-P를 준수하고 있다. ISMS-P 인증을 받기 위해서 기관은 정보시스템에 대한 취약성을 안전하게 조치하여야 한다. 그러나 정보시스템의 종류가 다양해지고 수가 증가함에 따라 정보시스템 취약성의 수동적인 관리는 많은 어려움이 수반된다.
국내 기관들은 리눅스 쉘 프로그래밍 기반의 스크립트와 에스 에스알사의 솔리드 스텝을 통해서 서버 보안 기준을 준수해왔다. 그러나 쉘 프로그래밍 기반 스크립트들을 사용하기 위해선 보안 담당자가 정보시스템에 물리적으로 접근해야 하기 때문에 오랜 시간이 걸리게 되며 솔리드 스텝은 새로운 장비의 도입 또는 보안 기준이 변경에 따라 솔루션의 ...

국내에서 정보시스템과 개인정보 관리에 대한 인증으로 기업에서는 ISMS-P를 준수하고 있다. ISMS-P 인증을 받기 위해서 기관은 정보시스템에 대한 취약성을 안전하게 조치하여야 한다. 그러나 정보시스템의 종류가 다양해지고 수가 증가함에 따라 정보시스템 취약성의 수동적인 관리는 많은 어려움이 수반된다.
국내 기관들은 리눅스 쉘 프로그래밍 기반의 스크립트와 에스 에스알사의 솔리드 스텝을 통해서 서버 보안 기준을 준수해왔다. 그러나 쉘 프로그래밍 기반 스크립트들을 사용하기 위해선 보안 담당자가 정보시스템에 물리적으로 접근해야 하기 때문에 오랜 시간이 걸리게 되며 솔리드 스텝은 새로운 장비의 도입 또는 보안 기준이 변경에 따라 솔루션의 패치가 요구된다. 이러한 문제점 해결책의 대안으로 취약성 관리의 자동화를 고려할 수 있다. 이를 위해 본 논문에서는 보안 표준을 기반으로 정보시스템 취약성 관리를 자동화할 수 있는 프로토콜인 SCAP을 통해서 ISMS-P 기술적 영역에 대한 자동화 타당성을 제시하였다.
본 논문에서는 ISMS-P 검증 대상 중 서버보안 기준에 한하여 SCAP 적용 타당성을 검증하였다. 첫째로 SCAP의 구성 및 환경을 분석하고 서버 보안 기준에 대한 SCAP 검증 방안을 제시하였다. 둘째로 제시한 SCAP 검증 방안을 이용하여 실험 환경을 구성하여 실제로 실험을 수행하여 가능성을 검증하였다. 마지막으로 현재 서버 보안 기준 준수를 검증하기 위해 사용되는 도구인 스크립트 기반 검증과 솔리드 스텝과의 비교 분석을 통하여 SCAP 적용의 타당성을 검증하였다. 이를 통하여 서버 보안 기준 준수 평가에 SCAP이 효율적인 대안이 될 수 있다는 결론을 도출하였다

Abstract ▼ AI-Helper

ISMS-P is currently dominant as domestic information security criteria for information systems and personal information management. Organizations for ISMS-P certification should safeguard vulnerabilities to information systems. However, as information systems become more diverse and complex, the man...

ISMS-P is currently dominant as domestic information security criteria for information systems and personal information management. Organizations for ISMS-P certification should safeguard vulnerabilities to information systems. However, as information systems become more diverse and complex, the manual management of information system vulnerabilities leads to many difficulties.
Domestic vendors have managed server-related vulnerabilities through scripts based on Linux shell programming or have introduced SSR's SolidStep solution. However, using shell programming-based scripts takes a long time because the security officer needs to physically access the information systems. On the other hand, Using Soildstep is highly dependent on the change frequency of new equipments or security criteria changes. In this paper, we study how to automatically evaluate the compliance to the technical domain of ISMS-P with SCAP, which is a protocol that can automate information system vulnerability management based on security standards.
For obtaining the goal of verifying SCAP applicability to evaluation of compliance to server security criteria from ISMS-P, we first analyze the components and environment of SCAP and then propose a scheme for the feasibility of SCAP application. Next we implement the proposed scheme with SCAP. Finally, we perform comparison analysis with other tools such as script and Solidstep. According to the results, we can say that SCAP is a good candidate for the evaluation of compliance with server security criteria.