위험분석은 조직의 특성을 반영하여 자산분석, 위협분석, 취약성 분석을 통하여 조직의 주요 자산에 대한 위험도를 분석하고 적절한 대응책을 제시하는 것을 목적으로 한다. 하지만, 기존의 TTA 위험분석 방법론은 전체의 개략적인 흐름은 제시하고 있으나, 각 단계에서의 구체적인 행위를 제시하지 못하고 있다. 즉 위협분석 단계에서는 어떠한 기준으로 각 위협을 어떻게 분류하여야 하는가하는 문제와 분류된 위협을 어떤 방식으로 위험도 계산에 반영해야하는가에 대한 구체적인 제시가 미흡한 현실이다. 또한 취약성 분석 단계에서는 발견되는 취약성을 어떠한 항목을 기준으로 분류하여야 하며, 발견되는 각 자산별 취약성을 위험분석의 위험도 산정에 어떤 과정을 통하여 반영해야하는가에 대한 제시 역시 미흡하다. 따라서 본 논문에서는 기존 TTA의 방법론에서 제시하고 있지 않은 위협분석과 취약성 분석 단계에서의 정량적인 평가가 가능한 방법론을 제시한다. 이를 위하여 본 논문에서는 자산 가치 평가에 조직의 비즈니스 프로세스를 기준으로 업무 영역 분류를 통한 유형자산 가치분석과 무형자산 가치분석을 수행하고 이를 바탕으로 취약성을 분석하고 위험도를 계산하였다 이러한 방법은 국내 정보시스템의 현실을 반영하고, 환경적 취약성과 기술적 취약성의 영향력을 반영하여, 조직의 자산별로 수치화된 위험도 산정을 가능하게 한다. 이는 위험분석 평가 대상조직의 자산별 위험도 분석이 가능하게 한다.
위험분석은 조직의 특성을 반영하여 자산분석, 위협분석, 취약성 분석을 통하여 조직의 주요 자산에 대한 위험도를 분석하고 적절한 대응책을 제시하는 것을 목적으로 한다. 하지만, 기존의 TTA 위험분석 방법론은 전체의 개략적인 흐름은 제시하고 있으나, 각 단계에서의 구체적인 행위를 제시하지 못하고 있다. 즉 위협분석 단계에서는 어떠한 기준으로 각 위협을 어떻게 분류하여야 하는가하는 문제와 분류된 위협을 어떤 방식으로 위험도 계산에 반영해야하는가에 대한 구체적인 제시가 미흡한 현실이다. 또한 취약성 분석 단계에서는 발견되는 취약성을 어떠한 항목을 기준으로 분류하여야 하며, 발견되는 각 자산별 취약성을 위험분석의 위험도 산정에 어떤 과정을 통하여 반영해야하는가에 대한 제시 역시 미흡하다. 따라서 본 논문에서는 기존 TTA의 방법론에서 제시하고 있지 않은 위협분석과 취약성 분석 단계에서의 정량적인 평가가 가능한 방법론을 제시한다. 이를 위하여 본 논문에서는 자산 가치 평가에 조직의 비즈니스 프로세스를 기준으로 업무 영역 분류를 통한 유형자산 가치분석과 무형자산 가치분석을 수행하고 이를 바탕으로 취약성을 분석하고 위험도를 계산하였다 이러한 방법은 국내 정보시스템의 현실을 반영하고, 환경적 취약성과 기술적 취약성의 영향력을 반영하여, 조직의 자산별로 수치화된 위험도 산정을 가능하게 한다. 이는 위험분석 평가 대상조직의 자산별 위험도 분석이 가능하게 한다.
The risk analysis's aim is analyze the risk for the asset of organization with asset assessment, vulnerability assessment, threat assessment. existing TTA risk analysis methodology model propose to overall flow, but can not propose to detail behavior or each level. That is, step of risk analysis is ...
The risk analysis's aim is analyze the risk for the asset of organization with asset assessment, vulnerability assessment, threat assessment. existing TTA risk analysis methodology model propose to overall flow, but can not propose to detail behavior or each level. That is, step of risk analysis is insufficient in classification of threat and detail proposal of considered the risk with classified threat. So this paper propose that analysis and evaluate the vulnerability and threat assessment with determinated quantity. this paper consider current national information system and threat of environment and technology. So can estimate the risk with determinated quantity. Finally, analyze the asset risk of organization.
The risk analysis's aim is analyze the risk for the asset of organization with asset assessment, vulnerability assessment, threat assessment. existing TTA risk analysis methodology model propose to overall flow, but can not propose to detail behavior or each level. That is, step of risk analysis is insufficient in classification of threat and detail proposal of considered the risk with classified threat. So this paper propose that analysis and evaluate the vulnerability and threat assessment with determinated quantity. this paper consider current national information system and threat of environment and technology. So can estimate the risk with determinated quantity. Finally, analyze the asset risk of organization.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
TTA에서의 위험분석은 시스템의 위험을 평가하고 비용대비 대응책을 제시하여 시스템의 보안 정책과 보안 대응책구현 계획을 수립하는 위험관리의 핵심 역할을 담당하는 것을 주요 목적으로 한다. TTA에서 제시하는 위험분석 프로세스는 (그림 3)과 같다[1].
단점과 특징을 가지고 있으나 기본적으로 객관적이지 못 한결 과를 생성한다는 문제점을 가지고 있다. 본 논문에서는 기존의 방법론에서 제시하고 있는 프로세스의 문제점을 분석하고 이러한 문제점을 해결하면서 보다 객관적이고 정량적인 위험분석 결과를 생성할 수 있는 개선된 프로세스를 제시하고 이의 우월성을 증명하고자 한다.
본 논문은 정규화 된 식과 그래프의 형태를 가지고 TTA 방법론과의 비교 분석을 하였다. 향후, 각 방법론에 대하여 실제 위험분석의 경우에 대하여, 구체적인 평가 값과 그 영향을 비교하여 정규화 된 식을 증명하는 연구가 진행되어져야 할 것으로 보인다.
가설 설정
。현재 본 방법론에서 제시하는 위협의 분류등급을 고려하여, 이은 mN 9의 범위에 있는 정수를 가지고 변화한다고 가정하며, ne mWnNl의 범위에 있는 정수값을 가진다고 가정한다.
있다. 아래에서 표현되는 변수 중 전체 취약성의 등급 총 개수를 m등급이라고 하고, 각 등급은 양의 정수 평가값을 가진다고 가정한다. 또한 등급의 최저값을 n이라고 한다.
제안 방법
이 경우 분류된 취약성 등급의 최대값은 (m+n-1)로 표현될 수 있다. 또한 본 방법론에서는 위협과 취약성의 일관성을 위하여, 동일하게 비즈니스 프로세스를 고려하여 분류를 수행하고 있다. 따라서 현재 본 방법론에서 제시하는 위협의 분류 단계인 3등급을 적용할 때, mW 9의 범위에 있는 정수를 가지고 mMnWl의 범위에 있는 정수값을 가지고 변화값을 적용한다.
이러한 관점에서 조직의 비즈니스 프로세스를 아래와 같은 형태로 분류하여 자산 가치 산정에 반영하도록 한다. 본 논문에서는 비즈니스의 프로세스를 3단계 레벨로 평가하기로 한다. 그러나 이 레벨은 평가자에 따라그 값의 범위를 정하여 사용할 수 있다.
위에서 채택된 VULNERABIUTY_FACTOR가 위험분석평가 대상조직의 관리자가 수용할 수 있을 때까지 반복하여, 이에 대한 결과를 산출하도록 한다.
위의 그림과 같이 특정 조직의 시스템 위험분석 평가자가 선정한 VULNERABILITY_FACTOR를 선별한 후, 이를 이용하여 각 자산의 위험도를 산정하고, 평가 결과에 반영하도록 한다.
제시하는 위협분석에서는 반드시 자산 가치 평가에 조직의 비즈니스 프로세스를 기준으로 업무 영역 분류를 통한 유형자산 가치 분석과 무형자산 가치 분석을 수행하도록 한다.
미정부의 정보시스템에 관련된 자에게만 교육이 이루어지고 있는 방법론이다. 한 기관의 잠재적인 취약성을 분석하는 방법론이며, 취약성 발견 시에 그에 대한 적절한 대응책을 제시할 수 있도록 하였다. 다음와 (그림 2)와 같이 총 3개의 단계로 구성되며, 각 단계에 대한 설명은<표 2>과 같다.
성능/효과
기존 TTA의 방법론에 의하여 변화할 수 있는 영역이, 제안하는 논문의 방법보다 큼을 직관적으로 확인할 수 있다.
넷째, 특히 취약성 수준 평가에서 중요한 A.L.E의 산출에서 중요한 E.F(Exposure Factor)의 산출 방식은 매우 정성적으로 표현하고 있다. TTA의 방법론에서는 사용되는 E.
둘째, 유형별 취약성과 자산별 취약성의 식별과 관찰을 동일한 관점에서 시작하지 않음으로 인하여, 식별된 각 취약성을 조직의 자산이 가지는 위험도에 반영하는함에 있어, 평가자의 주관이 많은 부분을 차지하게 된다. 즉 자산별 취약성 수준과 유형별 취약성 수준을 평가하고 수치화 시킬 수 있는 객관적인 기준을 제시하지 않아, 평가자의 주관에 따라 특정 취약성이 부각이 될 수 있으며, 특정 취약성은 무시될 수 있다.
따라서 본 논문은 취약성 분석 및 위협 분석 수행 시에 평가자의 주관 개입을 최소화함으로써 어떤 평가자가 수행하더라도 그 결과의 내용이 객관적이고 정량화되어 있다. 평가자의 주관이 최대한 배제되었기 때문에 생성되는 보호 대책 또한 큰 영향을 발생시킬 수 있는 취약점을 중심으로 수립될 수 있는 장점이 있다.
셋째, 취약성의 등급 기준 및 수준 평가에 있어, 동일한 5 등급의 취약성 수준 평가 기준을 제시하고 있다. 즉 TTA에서는 개별 취약성의 추상적인 등급을 제시할 뿐, 각 취약성이 가지는 보안요소(기밀성, 무결성, 가용성)의 측면에서 개별 취약성이 가지는 요소를 단단하여 평가할 수 있는 점이 부족하다.
제시한 위협의 영향도 산출법은 위협의 손실가치와 관련되는 취약성의 관계쌍으로 정의되어, 기존의 TTA에서 제시하는 위협 영향도 산출법보다 상대적으로 매우 작은 편차를 보이게 되어, 위험분석 평가자의 주관에 따르는 영향을 최소화시킴을 확인할 수 있다.
첫째, 현재 TTA에서 제시하는 취약성 분석방법에서는 취약성의 유형을 제시하지 않고 평가자의 주관에 따라 정의하고 있다. 이러한 방법은 기관에 따라, 혹은 기관의 시스템에 따라 그 유형의 기준이 달라지게 되어, 비즈니스 프로세스를 고려한 시스템 사이에서도, 상대적인 취약성 분석 및 위험분석이 어렵게 되는 문제를 야기하게 된다.
후속연구
그러나 지금까지 개발된 위험분석 방법론들은 개발된 지 이미 많은 시간이 흘러 현재의 정보통신시스템에 부적합한 경우도 있으며, 이론적인 요소에 치우쳐 실제 환경에 적용하는 데에 어려움이 많은 것이 사실이다. 따라서 본 논문에서 제안한 위험분석 방법론은 이러한 시기에 현실 적용에 유리한 방법이며, 이를 기반으로 여러 특수성을 감안하여 새로운 방법을 연구하는 데에도 기초자료로 이용될 수 있을 것이다.
방법론과의 비교 분석을 하였다. 향후, 각 방법론에 대하여 실제 위험분석의 경우에 대하여, 구체적인 평가 값과 그 영향을 비교하여 정규화 된 식을 증명하는 연구가 진행되어져야 할 것으로 보인다.
참고문헌 (15)
TTA, 공공정보시스템 보안을 위한 위험분석 표준 - 개념과 모델, TTAS.KO-12.007, 1998.11
ISO/IEC TR 13335, 2000
British Standards Institution(BSI), BS7799, 1999
ISO17799-What is ISO17799(the ISO Security Standard)?, http://www.iso17799software.com, 2002. 8
Implementing BS7799 - A Blueprint
Where to find Consultants & Experties for ISO 17799 Worldwide, 2002. 8
How ISO17799 Work, http://www.gammassl.co.uk/bs7799/works.html, 2002. 8
David Brewer, Risk Assessment Models and Evolving Approaches, http://www.gammassl.co.uk/topics/IAAC.htm, 2000. 7
David Brewer, Easy Ways to Manage your Risk, http://www.gammassl.co.uk, 1999. 6
※ AI-Helper는 부적절한 답변을 할 수 있습니다.