[논문]기업의 정보보호수준 측정모델 개발에 관한 연구

이희명; 임종인

doi:10.13089/jkiisc.2008.18.5.161

기업의 정보보호수준 측정모델 개발에 관한 연구
A Study on the Development of Corporate Information Security Level Assessment Models 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.18 no.5, 2008년, pp.161 - 170

이희명 (고려대학교 정보경영공학전문대학원) , 임종인 (고려대학교 정보경영공학전문대학원)

초록
AI-Helper

최근 첨단기술과 핵심정보의 불법적인 유출 및 해킹과 바이러스 등으로 인한 피해사례가 계속 증가하고 있으나, 기업에서의 보안사고 방지와 예방체제는 아직도 미흡한 편이다. 대기업을 중심으로 회사의 중요한 정보를 보존하기 위한 장치로써 정보보호관리체계(ISMS)를 도입하여 운영하고 있으나, 기존의 정보보호수준 진단 및 측정 모델은 주로 ISO 27001에 기반을 둔 정보보호정책과 제도의 수립여부, 또는 IT 분야에 초점을 둔 지표 중심으로 평가를 함으로써 기업의 전반적인 보안수준 평가와 보안사고 예방체제 강화에는 부족한 점이 많았다. 본 논문에 소개 된 정보보호수준 측정모델은 기존의 정보보호관리체계는 물론, 정보보호활동의 성과를 정량적으로 평가하여 각종 보안사고의 예방 및 대응방안 수립에 활용 가능하도록 국내외 사례연구와 함께 경영관리기법으로 많이 사용되고 있는 BSC(Balanced Scorecard)를 적용한 실용성에 초점을 맞추어 개발하였다.

Abstract ▼ AI-Helper

Despite the recent growth in size and frequency of damages caused by illegal information breaches, current business counter-measures and precautionary systems are greatly limited. Some major companies have developed Information Security Management Systems (ISMS) to safeguard their vital information; however, such measures are largely based on the ISO27001 and lacks in many aspects to grasp the holistic corporate security level and reinforce precautionary measures. The information protection level evaluation model introduced in this paper is a pragmatic evaluative tool that can be utilized to devise effective corporate information security precautionary measures and countermeasures, based on the BSC (Balanced ScoreCard) method for an actual and realistic corporate information security level evaluation possible.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 본 논문에서는 다양한 형태의 보안 취약점 발굴과 사전 예방체제의 확립을 위한 도구로써 객관적, 정량적인 방법으로 보안 관리지표를 측정하고, 기업의 정보보호 수준을 종합적으로 평가할 수 있는 정보보호 수준 측정모델과 기준을 제시하고자. 한다.
본 연구에서는 앞서 기존 모델에서 기술된 문제점들에 착안하여, 정보보호 관리체계의 개선방안을 수립하는 동시에 정보보호수준 측정모델을 설계해 나가고자 한다.
이러한 점을 고려하여 본 논문은 기존 정보보호 관리체계의 적용사례를 통해 문제점과 개선방안을 살펴보고, 기업의 정보보호 수준을 정량화하여 지속적인 정보보호 관리체계가 정착화되도록 각 보안영역별로 관리지표를 선정한 후 정량적 측정 모델을 기반으로 정보보호 수준을 실제로 측정해 본 결과까지를 포함한다. 이를 위해 정보보호 수준 측정에 관한 국내외 사례를 분석하였으며 현대 경영관리기법으로 널리 사용중인 균형 성과지표(BSC, Balanced Scorecard)를 활용하여 정보보호성과지표를 도출하고 측정하는 과정을 포함하고 있다.

제안 방법

먼저, 가장 기본이 되는 기반지표는 기업의 정보보호체계를 각 영역별로 측정하기 위한 원칙과 기준을 중심으로 지표를 선정하였으며, 이행지표는 실제 업무 수행과정에서 정보보호 규정이나 프로세스를 실천하는 정도를 측정할 수 있는 지표를 선정하였고, 마지막으로 결과지표는 기반지표와 이행지표의 최종결과보안 수준의나는 보안수준의 결과치를 보여줄 수 있는 지표를 선정하였다.
본 연구에서는 3가지 지표를 기반으로 측정모델을 구성하였으며, 각 지표의 측정은 PDCA 진단방법론을 기초로 5단계 수준 진단에 의해 종합적인 평가를 하도록 설계하였다.
본 측정모델은 기존 모델과 대비해 볼 때, 정성적이고 편향적인 IT 중심의 기술보안 관점에서 벗어나 다양한 관리지표 POOL을 활용하여 각 기업의 특성에 맞는 객관적이고 종합적인 정보보호 수준 진단 및 평가체제구축을 통더욱더보다 더 개관적이고 분석적인 방법으로 정보보호의 취약부문을 사전에 탐지하여 보안사고를 예방할 수 있는 효과를 거둘 수 있도록 설계되었다.
셋째, 정보보호 수준 측정모델의 객관성을 확보하기 위한 정량화는 기업의 정보보호 관리체계를 직접 운영하는 주관부서인 보안관리자 파트와, 실제 정보보호 기준을 실천하고 준수하는 임직원 파트를 구분하여 각 대상별로 운영 모델을 제시하였다.
이러한 2가지 개념을 전제로, 각 기업에 적합한 프로세스를 최적화해야 한다는 핵심 결론을 도출하였으며, 프로세스 기반의 측정모델을 설계하였다.
이러한 BSC 이론을 응용하여 본 정보보호 측정모델을 설계하면서, 3가지의 구성요소로 종합지표를 구성하였다. 먼저, 가장 기본이 되는 기반지표는 기업의 정보보호체계를 각 영역별로 측정하기 위한 원칙과 기준을 중심으로 지표를 선정하였으며, 이행지표는 실제 업무 수행과정에서 정보보호 규정이나 프로세스를 실천하는 정도를 측정할 수 있는 지표를 선정하였고, 마지막으로 결과지표는 기반지표와 이행지표의 최종결과보안 수준의나는 보안수준의 결과치를 보여줄 수 있는 지표를 선정하였다.
그러나, 현실적으로 많은 지표를 운영하기 위해 수반되는 인력이나 비용의 부담 때문에 적당한 수준에서 관리지표를 선정하여 운영해야만 한다. 이러한 문제점을 해결하기 위하여 지표 Pool을 통해 한계 수치를 모니터링 하거나 핵심지표를 선정하는 방법을 병행함으로써 특정 영역에 집중되는 관리지표의 쏠림 현상을 방지하고 대표성을 유지할 수 있게 설계하였다.
이를 위해 정보보호 수준 측정에 관한 국내외 사례를 분석하였으며 현대 경영관리기법으로 널리 사용중인 균형 성과지표(BSC, Balanced Scorecard)를 활용하여 정보보호성과지표를 도출하고 측정하는 과정을 포함하고 있다.
즉, 국내외 선진기업에서 사용 중인 보안 수준 진단 및 측정모델의 사례와 ISO₂₇0()l을 기반으로 한 평가모델을 바탕으로 종합적인 지표 POOL을 작성하여 측정모델을 설계한 후, 수차례 테스트와 Data의 신뢰성 검증 등을 통하여 각 기업에서 범용적으로 활용할 수 있는 수준까지 개선을 하였다.
지금까지 살펴본 내용을 간략히 요약해 보면, 본 연구 논문에서는 각 기업체에서 겪고 있는 다양한 형태의 보안사고 위험을 줄이기 위한 측정 도구로써, 객관적이고 실질적으로 적용할 수 있는 정보보호 수준 측정 모델 및 관리기준을 정립하였다.
첫째, 기존의 정보보호 수준 측정에서 통제항목 적용 시, 평가자(컨설턴트 등)간의 측정기준 차이를 프로세스 접근방식을 사용함으로써 해결하였다. 정확하고 객관적인 수준측정을 위해 평가자는 평가대상을 정확히 이해한 후, 실제로 기업에 어떻게 보안통제가 적용되고 있는지 측정을 해야 한다.

이론/모형

또한 현재 최신 경영관리기법으로 널리 사용되고 있는 균형성과지표(BSC, Balanced Scorecard) 방법론을 정보보호 관리지표 설계와 기준 정립에 활용하였다.

성능/효과

둘째, 각 기업은 IS027002에서 제시하는 정보보호 요건을 무조건적으로 도입하기보다는, 기업의 특성과 조직 내부에 적합하도록 실행과 측정이 가능한 형태로 변환하여 적용하여야 한다.
둘째, 보안지표가 일부 영역에 국한되어 적용되는 문제점을 해결하기 위하여 지표 Pool을 구성하고 측정된 값이 대표성을 지닐 수 있도록 프로세스와의 연계성을 강화하였다.
둘째, 이행지표는 개별지표의 실천으로 보안 활동의 이행 수준이 향상되는 것을 측정하는 지표로서 규정이나 지침, SOP 등으로 구성되어 있으며보안 수준이준이 높을수록 점수가 높아지게 된다.
둘째, 정보보호 수준 진단 측정 모델을 통해 기존 평가표 형식의 문제점(문서화 집중이나 문서량 증가, 실질적인 보안통제 관리 방법의 부족 등)을 해결할 수 있다.
셋째, 결과지표는 보안 활동의 이행에 따른 보안사고의 감소 수준을 나타내는 지표로서, 수준 미달시 패널티항목으로 적용되기 때문에 보안 수준이 향상 될수록 차감 점수가 작아지게 된다.
셋째, 주요 개선사항(보안지표 점수 저조항목)에 핵심적인 역량을 집중하도록 업무체계를 개선하며, 시스템 고도화를 통해 보안 위협의 조기경보(위험관리)와 정 电1?-호■ 포털을 위한 연계환경 구축이 가능해 진다.
첫째, 기존 모델은 대부분 단순히 각 보안영역별(관리, 기술, 물리) 관리지표를 선정하고 운영함으로써 가장 기초적인 정보보호체계의 기반이 다소 미약하더라도 결과지표 중심의 평가를 통하여 일정 수준 이상의 보안 수준 평가점수를 획득할 수 있었다. 그러나 신규 모델에서는 보다 엄격한 3단계 모델 적용 방법을 통하여 우선적으로 가장 기본적인 정보보호 관리체계를 측정할 수 있는 기반지표를 선정하고 운영함으로써 보다 견실한 보안 관리의 기반을 마련하고, 다음에 이행지표의 철저한 실행과 측정, 그리고 최종적인 결과로써의 보안사고 예방을 진단할 수 있는 결과지표를 종합한 평가제도를 통하여 명실상부한 정보보호 수준을 명확히 알 수 있다.
첫째, 정보보호 수준 진단을 통해 정보보호 관리시스템의 관리범위 설정이 편리해지고 부별 역할 및 책임 정의와 그에 따른 업무 표준화 작업이 가능해 진다.

후속연구

그러나, 본 연구에서 소개된 측정모델 역시 부분적인 한계점을 지니고 있기 때문에 보다 실용적이고 합리적인 모델로 발전하기 위해서는 지속적인 활용과 함께 보완작업을 거쳐야 한다고 본다.
향후에도 본 측정모델을 각 기업에 실제 적용하면서 지속적인 유지 및 보완작업을 해나감으로써, 보다 실용적이고 정교한 정보보호 수준 측정 도구로 활용될 수 있도록 개선되었으면 한다.

참고문헌 (11)

한국정보보호진흥원, 2007 정보시스템 해킹.바이러스 현황 및 대응, 한국정보보호진흥원 2007
첨단 산업기술 보호동향 (8호), 2007. 9 국가정보원
ISO/IEC27001：2005(FDIS) Information Security Management System Requirements
최선태, 기업보안 관리전략, 인포더 2008
concert, 2008 Security Forecast 발표자료, 2008. 3
Robert S. Kaplan & David P. Norton, 전사적 전략경영(SEM)을 위한 SFO, 한언 2001. 8
Robert S. Kaplan et. al., 가치실현을 위한 통합 경영지표 BSC, 한언 2007. 6
SP800-53(Rev.2)：Recommended Security contorls for Federal Information Security, 2007. 10 NIST
ISO/IEC 27004(Draft) Information Security Management measurement
SP800-55：Security Metrics Gudie for Information Technology Systems 2003, NIST
ISO/IEC 27002(FDIS) The Code of Practice for Inforamtion Security Management

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

기업의 정보보호수준 측정모델 개발에 관한 연구
A Study on the Development of Corporate Information Security Level Assessment Models 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

참고문헌 (11)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

기업의 정보보호수준 측정모델 개발에 관한 연구 A Study on the Development of Corporate Information Security Level Assessment Models 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

참고문헌 (11)

이 논문을 인용한 문헌

저자의 다른 논문 :

임종인 (171)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

기업의 정보보호수준 측정모델 개발에 관한 연구
A Study on the Development of Corporate Information Security Level Assessment Models 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper