최소 단어 이상 선택하여야 합니다.
최대 10 단어까지만 선택 가능합니다.
다음과 같은 기능을 한번의 로그인으로 사용 할 수 있습니다.
NTIS 바로가기한국전자거래학회지 = The Journal of Society for e-Business Studies, v.16 no.1, 2011년, pp.133 - 151
송정석 (중앙대학교 경영경제대학) , 전민준 (중앙대학교 경영학과) , 최명길 (중앙대학교 경영경제대학)
To solidate information security, Korea government introduces information security governance. The public institutions and agencies in korea have begun to recognize the importance of information security governance. For solidating information security governance, the government has tried to establis...
핵심어 | 질문 | 논문에서 추출한 답변 |
---|---|---|
조직 거버넌스의 핵심적인 부분인 정보보호 거버넌스는 무엇을 포함하는가? | 정보보호 거버넌스체제에서 최고경영층이 조직의 정보보호 수행에 있어서 핵심적 역할을 한다. 조직 거버넌스의 핵심적인 부분인 정보보호 거버넌스는 정보보호에 대한 최고경영층의 헌신된 관리 및 지도력, 적절한 조직의 구조, 사용자 교육, 필요한 정책, 절차, 프로세스 기술 및 정보보호 집행 메커니즘 등을 포함한다[4]. | |
정보보호 거버넌스에서 순환 구조는 무엇으로 구성되는가? | 정보보호 거버넌스의 핵심적 특징 중 하나는 순환 구조이다. 순환 구조는 최고경영층의 정보보호에 대한 지원에서부터 정보보호의 핵심 전략화, 정보보호정책 수립 및 정보보호에 적합한 조직 구조 확립, 정보보호를 위한 적합한 권한과 책임 부여 등의 프로세스 구성된다[23]. | |
정보보호 거버넌스의 핵심적 특징 중 하나는 무엇인가? | 정보보호 거버넌스의 핵심적 특징 중 하나는 순환 구조이다. 순환 구조는 최고경영층의 정보보호에 대한 지원에서부터 정보보호의 핵심 전략화, 정보보호정책 수립 및 정보보호에 적합한 조직 구조 확립, 정보보호를 위한 적합한 권한과 책임 부여 등의 프로세스 구성된다[23]. |
김정덕 외 1인, "정보보호 거버넌스 이슈 및 연구과제", 정보보호학회지, 제17권, 제4호, 2007, pp. 2-8.
따라서 정보보호 거버넌스는 최고 경영층의 관점에서 정보보호를 총괄적으로 취급하는 프로세스라고 정의할 수 있다[1].
김정덕, 이경석, "ISO/IEC JTC1 SC27의 정보보호관리 국제표준화 동향", 정보보호학회지, 제18권, 제4호, 2008, pp. 1-4.
김지숙 외 2인, "민간기업과 공공기관의 정보보호 관리체계 차이 비교", 한국정보보호학회논문지, 제20권, 제2호, 2010, pp. 117-129.
국가정보원은 전자정부법 제27조 제3항(정보통신망 등의 보안대책 수립·시행)[3] 동법 시행령 제35조(전자문서의 보관유통 관련 보안조치) 및 제36조(이행여부 확인), 공공기록물 관리법 시행령 제5조(전자기록물 보안관리)에 의거하여 공공기관을 대상으로 ‘정보보안 관리실태 평가’를 실시하고 있다[3].
국가정보원은 ISO/IEC 27002를 토대로 한 평가항목에 보안환경 변화를 고려하여 매년 새로운 평가항목을 제시한다[3].
최명길 외 1인, "정보보호 패러다임 변화 및 정보보호동향에 대한 고찰", 한국정보보호학회논문지, 제17권, 제4호, 2007, pp. 12-17.
조직 거버넌스의 핵심적인 부분인 정보보호 거버넌스는 정보보호에 대한 최고경영층의 헌신된 관리 및 지도력, 적절한 조직의 구조, 사용자 교육, 필요한 정책, 절차, 프로세스 기술 및 정보보호 집행 메커니즘 등을 포함한다[4].
많은 연구결과에서 최고 경영자의 적극적인 지원은 새로운 기술과 제도의 도입 또는 좋은 정책 개발의 성공 여부를 예측할 수 있는 척도라고 언급되고 있다[4].
최명길 외 2인의 연구는 동 요인이 정보보호 성숙도 수준에 영향을 미친다고 실정하고 있다[4].
조직은 새로운 제도의 도입으로 조직의 성과가 개선될 수 있을 것이라는 인식이 있다면 기꺼이 새로운 제도를 선택한다[4].
조직의 정보보호 수준의 향상은 조직의 문화와 밀접한 관련이 있다[4].
셋째, 공공기관의 정보보호 거버넌스에 영향을 미치는 요인은 기관 구성원의 정보보호 업무에 대한 인식 및 정보보호 문화이다[4].
최명길 외 2인, "정보보호정책 성숙도 수준에 영향을 미치는 요인에 관한 연구", 한국정보보호학회논문지, 제18권, 제3호, 2008, pp. 131-142.
동 요인을 토대로 최명길 외 연구는 최고경영층의 지원은 조직의 정보보호정책의 성숙도에 영향을 미치는 중요한 요인이라 실증하고 있다[5].
첫째, 공공기관의 정보보호 거버넌스 수준에 영향을 미치는 중요한 요인으로 최고 경영층의 지원이다[5].
최고경영층의 정보보호에 대한 관심은 기관장의 정보보호에 대한 관심 및 정보화를 책임지는 기관의 정보화최고담당관의 정보보호에 대한 관심으로 나타날 것이다[5].
이 요인은 선행연구에서 제시된 정보보호와 조직성과와의 관련성을 기반으로 도출한 요인이다[5].
‘기관 구성원의 정보보호 업무에 대한 인식 및 정보보호 문화’ 요인을 설명하는 하위 요인은 정보보호 예산의 적절성[18], 기관 구성원의 정보보호 활동에 대한 우호성[10], 기관장의 정보보안 담당부서에 필요한 권한 부여[10], 정보보호는 어렵다는 기관 구성원 인식[5] 등이다.
한국정보보호진흥원, "ISMS 인증제도 소개", 2007, pp. 6-19.
ISMS는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조를 근거로 한국인터넷진흥원이 정보통신 서비스제공자, 정보통신서비스를 위해 물리적 시설을 제공하는 자, 민간사업자 등 인증대상기관이 수립·운영하고 있는 ISMS의 기술, 물리, 관리적 정보보호 대책이 인증심사기준에 적합한지를 평가하여 인증하는 제도이다[6].
정보보호관리체계 인증제도는 행정기관이 정보보호를 위해 필요한 관리적·기술적·물리적 기준에 적합한 정보보호관리체계를 갖추었는지 심사하여 인증기준에 따라 적절히 운영되고 있는 경우 인증서를 부여하고, 지속적으로 사후관리를 수행하는 체계이다[6].
한근희, "전자정부 정보보호관리체계(GISMS) 적용 정책", 한국정보보호학회논문지, 제19권, 제5호, 2009, pp. 119-131.
관리과정은 ISO의 PDCA(Plan-Do-Check-Act)에 따라 4개 관리과정에 대하여 15개 요구사항으로 구성되며, 동 요구사항 달성 여부를 점검하기 위해 39개 점검 항목을 제시한다[7].
행정기관용 정보보호 관리체계 인증제도는 전자정부서비스에 적용된 후, 중앙행정기관의 정보보호 관리체계를 수립하여 운영하는 경우를 고려하여 개발되었다[7].
Ahmad Abu-Musa, "Exploring Information Technology Governance in Developing Countries : An Empirical Study", The International Journal of Digital Accounting Research, Vol. 7, No. 13, 2007, pp. 71-117.
정보보호는 업무 성과 개선과 관련이 있음으로 궁극적으로 기관의 경쟁력 향상[8], 기관의 신뢰성 향상[9]과 관련이 있다.
Ahmad Abu-Musa, "Information Security Governance in Saudi Organizations : An Empirical Study," Information Management and Computer Security, Vol. 18, No. 4, 2010, pp. 226-276.
Allen J. H. and Westby, J. R., "Governing for Enterprise Security (GES) : Implementation Guide, Article 1 : Characteristics of Effective Security Governance," White Paper, Carnegie Mellon University, Pittsbugh, P.A.
‘기관 구성원의 정보보호 업무에 대한 인식 및 정보보호 문화’ 요인을 설명하는 하위 요인은 정보보호 예산의 적절성[18], 기관 구성원의 정보보호 활동에 대한 우호성[10], 기관장의 정보보안 담당부서에 필요한 권한 부여[10], 정보보호는 어렵다는 기관 구성원 인식[5] 등이다.
Beatty, R. C., Shim, J. P., and Jones, M. C., "Factors Influencing Corporate Web Site Adoption : a Time-Based Assessment," Information and Management Vol. 38, 2001, pp. 337-354.
Birman, "KP, The Next-Generation Internet : Unsafe at Any Speed," IEEE Computer, Vol. 30, No. 8, 2000, pp. 54-60.
정보보호는 기술적 이슈, 전략적 이슈 및 법적인 이슈를 포함한다[12].
Corporate Governance Task Force, "Information Security Governance : a Call to Action," April 2004.
Corporate Governance Task Force[13]는 조직의 다양한 거버넌스 프로그램에 정보보호를 포함하기 위해서 정보보호는 내부통제에 일부로 포함되어야 하며, 전략적 측면으로 다루어져야 한다고 강조한다[13].
Faily S. and Fle'chais, I., "Designing and Aligning e-Science Security Culture with Design," Information Management and Computer Security, Vol. 18, No. 5, 2010.
기관장의 정보보호에 대한 관심은 기관의 정보보호 위협요인에 대한 인식을 제고해 줄 수 있다[14].
Fulford, H. and Doherty, N. F., "The Application of Information Security Policies in Large UK-based Organizations : an Exploratory Investgation," Information Management and Computer Security, Vol. 11, No. 3, 2003, pp. 106-114.
Huang, S.-M., Lee, C. L., and Kao, A. C., "Balancing Performance Measures for Information Security Management: a Balanced Scorecard Framework," Industrial Management and Data Systems, Vol. 106, No. 2, 2006, pp. 242-255.
ISO17799, "A Code of Practice for Information Security," 2005.
ISO27002는 조직의 일상적 활동 및 기능과 통합 정보보호대책을 제시하고 있다[17].
ITGI, "Information Security Governance, Guidance for Boards of Directors and Executive Management, 2nd Ed., IT Governance Institute, Rolling Meadows, IL, 2006.
‘기관 구성원의 정보보호 업무에 대한 인식 및 정보보호 문화’ 요인을 설명하는 하위 요인은 정보보호 예산의 적절성[18], 기관 구성원의 정보보호 활동에 대한 우호성[10], 기관장의 정보보안 담당부서에 필요한 권한 부여[10], 정보보호는 어렵다는 기관 구성원 인식[5] 등이다.
B. Ives and Learmouth, G. P., "The Information Systems as a Competitive Weapon," Communications of the ACM, Vol. 27, No. 12, 1984, pp. 586-603.
Joshi, K., "The Measurement of Fairness or Equity Perceptions of Management Information Systems Users," MIS Quarterly, Vol. 13, No. 3, 1989, pp. 343-358.
Maria Karyda, Evangelos Kiountouzis, and Spyros Kokolakis, "Information Systems Security Polices : a Contextual Perspectives," Computers and Security, Vol. 24, No. 3, 2004, pp. 246-260.
National Cyber Security Summit Task Force, Information Security Governance : a Call to Action, Corporate Governance Task Force Report, April, CS1/05-0047, available at www.technet.org/resources/IfoSecGov4_04.pdf.
기관장의 정보보호에 대한 관심은 기관의 정보보호를 위협하는 위협 요인을 파악할 수 있을 것이다[22].
Solm, B., "Information Security_The Forth Wave," Computers and Security, Vol. 25, 2006, pp. 165-168.
Jeff Smith, H. S., Milberg, J. S., Burke, J., "Information Privacy : Measuring Individuals' Concerns about Organizational Practices," MIS Quarterly, Vol. 20, No. 2, 1996, pp. 167-196.
Swindle O. and Coner B., "The Link Between Information Security and Corporate governance," May 2004.
Swindle and Conner는 정보보호는 최고경영진의 위험관리 노력, 보고체계, 책임을 강조하는 전사적 거버넌스로 다루어야 한다고 강조한다[25].
조직이 성숙한 정보보호정책의 수립과 이행을 통해 업무수행 비용 감소, 효율성 증가, 향상된 서비스 제공, 조직의 신뢰성 및 경쟁력 증가, 기존의 문제 해결, 새로운 사업 기회 획득 가능성 증가 등의 가능성 증가를 인식하면 정보보호 정책 수행을 적극적으로 추진할 수 있다[25].
기존 연구는 정보보호 정책의 적극적인 수행은 조직성과 개선에 영향을 미친다고 밝히고 있다[25].
Symon, V., "A Review of Information Systems Evaluation : Content, Context and Process," Journal of Information Systems, Vol. 1, No. 3, 1991, pp. 205-212.
Whitman M. E. and Mattford H. J, "Principles of Information Security," Course Technology, 2003, pp. 153-90.
조직의 최고경영층이 전사적 정보보호 정책 및 계획을 수립하여 정보보호에 대한 책임과 의지를 보여주고, 조직의 임무, 목표, 전사적 정보보호 전략 수행을 지원해야 한다[27].
정보보호 거버넌스는 기업 운영의 3가지 주요 요소(인적자원, 프로세스, 기술)에 대한 역할과 책임을 분명하게 해주는 효과가 있다[27].
William, "Information Governance," Information Security Technical Report, Vol. 6, No. 3, 2001, pp. 60-70.
*원문 PDF 파일 및 링크정보가 존재하지 않을 경우 KISTI DDS 시스템에서 제공하는 원문복사서비스를 사용할 수 있습니다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.