선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 따라서 본 연구에서는 실증을 통해 운영 차원의 산업기밀 보호대책들의 상대적 중요도를 산출하여, 산업보안활동을 위한 물적·인적자원의 투자와 배분에 대한 합리적 의사결정 근거를 제공하고자 한다.
- 민감도 분석(Sensitivity Analysis)은 평가기준의 가중치를 변화시킬 때 평가대안의 우선순위가 어떻게 변동하는지 관찰하는 것이다[8]. 본 연구는 1계층 평가기준들의 가중치 변화에 따라 2계층 산업보안 관리대책들 간의 순위 변동 추이를 파악하기 위해 민감도 분석을 실시하였다. 즉, 중요도가 가장 높게 나타난 1계층 ‘ICT서비스 사용관리’의 가중치를 고정시키고 나머지 두 기준의 가중치를 변화시켰을 때, 2계층 산업보안 관리대책들의 중요도 순위의 변동을 살펴보았다.
제안 방법
- 강경연·박병직·이경훈(2011)은 초고층 건축물에 대한 차량폭발물테러 예방과 피해 경감을 위한 건축계획요소를 도출하고, 통합 가중치를 각각 산정하였다. 3중 방어선 개념을 상위기준으로 하여 주변현황 및 대지조건, 1차 방어선, 2차 방어선, 3차 방어선으로 구분하고 총17개의 건축계획요소를 세부항목으로 하여 AHP분석을 하였다. 그 결과, 테러위험도에 영향이 큰 상위기준은 ‘주변현황 및 대지조건’과 ‘1차 방어선’이었고, 세부항목에서는 ‘해당 건축물의 인접도로에서의 이격거리’, ‘건축물 용도’, ‘건축물 규모’, ‘주변 주요시설수’, ‘도로 및 지상주차공간과 건축물 사이의 이격거리’, ‘구조부재 노출정도’로 순으로 중요도가 높았다.
- 그중 ‘목표 대상/정보의 상세함’의 하위기준을 위험관리방법론의 구체성에 따라 관리지침, 운영지침, 기술지침 등으로 구분하였다.
- 본 연구의 시사점으로는 먼저, AHP기법을 통한 운영수준에서의 산업보안 관리대책 간 상대적 중요도 산정을 통해 보안 자원 투자결정에서의 합리적인 판단근거를 마련하였다. 둘째, 민감도 분석으로 부가적인 응용 모델들을 제시하여 조직에 특유한(specific) 산업보안 관리대책을 실행하도록 지침을 제시하였다. 셋째, 산업보안 인증체계 구축의 기초자료로 활용 가능한 탐색적 연구로서 의미가 있다고 본다.
- 본 연구에 앞서 ISO27001, KISA ISMS, PIMS의 보안영역별 통제사항들을 상호 비교 및 취합하고, 산업보안 관련 문헌들에서의 산업기밀 관리방안들과 선행연구들의 시사점 등을 종합하여 11개 영역 54개 통제사항으로 구성된 ‘산업보안관리 통제 프레임워크’를 도출하였다[18]. 또한 AHP 연구 설문으로 활용하기 전에 객관적 타당성을 담보할 목적으로, 산업보안 전문가들을 상대로 2회의 델파이(Delphi) 조사를 시행하였다. 그 다음 기술적(descriptive) 통계처리와 빈도분석, 전문가 의견일치 정도를 검증하기 위한 켄달(Kendall)의 W검증을 수행하여 최종적으로 확정하였다.
- 본 연구는 산업보안활동에 있어, 운영 수준의 관리 대책에 대한 전략적 우선순위 결정을 위해 델파이 조사로 객관적 타당성이 검증된 관리대책들을 AHP기법으로 분석하였다. 상위기준(1계층) 간 비교평가에서는 ‘ICT서비스 사용관리’가 54.
- 본 연구에 앞서 ISO27001, KISA ISMS, PIMS의 보안영역별 통제사항들을 상호 비교 및 취합하고, 산업보안 관련 문헌들에서의 산업기밀 관리방안들과 선행연구들의 시사점 등을 종합하여 11개 영역 54개 통제사항으로 구성된 ‘산업보안관리 통제 프레임워크’를 도출하였다[18].
- 설문대상은 교수, 기업의 보안관리자, 보안 컨설턴트, 산업보안 석박사과정 재학생과 학위 취득자 등 산업보안전문가 29명으로 하였다. 설문방식은 전자우편으로 설문지를 배포하고 개별 답신을 받는 형식으로 진행하였다. 설문조사는 2013년 1월 25일부터 2월 12일까지 진행되었다.
- 2(20%)이하이면 용인할 수 있는 수준이며, 이를 초과하는 경우에는 일관성이 부족한 것으로 보았다[4][13]. 연구주제의 탐색적 성격과 응답자들의 AHP기법에 대한 평가 숙련도를 감안하여, 본 연구에서는 일관성 비율 허용기준을 0.2이하로 채택하였다. 이에 따라 응답자료들의 신뢰성을 모두 확인한 결과, 전체 29명의 설문참여자 중 유효한 21명의 응답자료를 선별하였으며 나머지 8명의 응답자료는 분석대상에서 제외하였다.
- 운영 실무차원의 산업보안 관리대책을 AHP기법을 이용하여 연구한 사례를 발굴하기는 어려우므로 유사 영역인 일반 정보보호분야를 중심으로 산업보안과 그 연관분야의 논의를 살펴본다. 먼저, S.
- AHP 개발자인 Saaty는 다수의 의견을 종합하는 집단의사결정에 AHP를 적용할 경우, 개별 쌍대비교 응답결과를 기하평균(geometric mean)으로 계산하여 행렬을 구성한 후에 집단의 가중치로 산정하는 방식을 권하였다[11]. 이에 따라 21명의 개별 설문항목 평가값들의 기하평균을 구한 다음, 최종적으로 단일의 집단의견 중요도와 일관성 비율을 산출하였다.
- 그 다음 기술적(descriptive) 통계처리와 빈도분석, 전문가 의견일치 정도를 검증하기 위한 켄달(Kendall)의 W검증을 수행하여 최종적으로 확정하였다. 이중 운영수준의 보안대책인 3개 영역 17개 통제사항을 설문항목으로 하여 AHP분석을 시행하였다. 분석을 위한 계층구조는 [그림 1]과 같이 최상위계층은 연구 목표, 제1계층은 3개의 상위기준, 제2계층은 17개의 하위기준들로 구성된다.
- 즉, 중요도가 가장 높게 나타난 1계층 ‘ICT서비스 사용관리’의 가중치를 고정시키고 나머지 두 기준의 가중치를 변화시켰을 때, 2계층 산업보안 관리대책들의 중요도 순위의 변동을 살펴보았다.
대상 데이터
- 설문대상은 교수, 기업의 보안관리자, 보안 컨설턴트, 산업보안 석박사과정 재학생과 학위 취득자 등 산업보안전문가 29명으로 하였다. 설문방식은 전자우편으로 설문지를 배포하고 개별 답신을 받는 형식으로 진행하였다.
- 설문방식은 전자우편으로 설문지를 배포하고 개별 답신을 받는 형식으로 진행하였다. 설문조사는 2013년 1월 25일부터 2월 12일까지 진행되었다. 유효한 설문응답자의 인구통계적 특성은 [표 1]과 같으며, 'SPSS 17'을 이용하여 기술적 분석과 빈도분석을 실시한 결과이다.
- 2이하로 채택하였다. 이에 따라 응답자료들의 신뢰성을 모두 확인한 결과, 전체 29명의 설문참여자 중 유효한 21명의 응답자료를 선별하였으며 나머지 8명의 응답자료는 분석대상에서 제외하였다. 그 다음, 21명 각각의 의견을 하나로 취합하였다.
데이터처리
- 또한 AHP 연구 설문으로 활용하기 전에 객관적 타당성을 담보할 목적으로, 산업보안 전문가들을 상대로 2회의 델파이(Delphi) 조사를 시행하였다. 그 다음 기술적(descriptive) 통계처리와 빈도분석, 전문가 의견일치 정도를 검증하기 위한 켄달(Kendall)의 W검증을 수행하여 최종적으로 확정하였다. 이중 운영수준의 보안대책인 3개 영역 17개 통제사항을 설문항목으로 하여 AHP분석을 시행하였다.
- 응답자료들은 AHP분석 프로그램인 'EC 2000‘을 이용하여 가중치 산출, 일관성 여부, 그리고 민감도 분석을 하였다.
이론/모형
- 따라서 본 연구는 ‘운영수준의 산업보안 관리대책의 실행 우선순위’를 결정하기 위하여 AHP기법을 주요 연구방법론으로 채택하였다.
성능/효과
- 17개의 평가기준 중 ‘사용자 관리(0.234)’가 운영수준에서 가장 중요한 산업보안 관리대책으로 평가되었다.
- 9개의 위험평가요소 중 ‘인가되지 않은 복사’와 ‘비인가된 접근’이 가장 위험한 것으로 나타났다.
- AHP분석 결과, 정보보호 운영 실무에서 참고할 수 있는 ‘운영지침’이 가장 선호되는 선택기준으로 나타났다.
- 그 결과, ‘시스템·네트워크 정보보호’부문과 ‘응용 정보보호’분야의 인력 양성이 가장 시급한 것으로 나타났는데, 정보보안 실무에서 이와 같은 분야의 관리대책들이 우선적으로 실행 및 개발되어야 함을 방증하는 것으로 볼 수 있다.
- 그 결과, 테러위험도에 영향이 큰 상위기준은 ‘주변현황 및 대지조건’과 ‘1차 방어선’이었고, 세부항목에서는 ‘해당 건축물의 인접도로에서의 이격거리’, ‘건축물 용도’, ‘건축물 규모’, ‘주변 주요시설수’, ‘도로 및 지상주차공간과 건축물 사이의 이격거리’, ‘구조부재 노출정도’로 순으로 중요도가 높았다.
- 그 다음, [그림 8]과 같이 ‘물리/환경적 보안’의 가중치를 처음보다 두 배 높이면 그 하위기준인 ‘보호구역 설정 및 출입/접근통제’는 전체 순위가 5→2위로, ‘업무설비 방재/대테러 보호 배치’는 16→4위로, ‘전원 등 유틸리티 상시 확보’는 15→7위로 향상되어 보호대책으로써의 중요도가 매우 높아지는 것을 확인하였다.
- 다음으로 민감도 분석결과, ‘ICT시스템/통신망 접근통제’의 가중치를 초기치보다 2배 높이면 ‘운영체제 접근통제’, ‘애플리케이션 접근통제’, ‘유무선 네트워크 접근통제’의 전체 순위가 상위권으로 진입함을 확인하였다.
- 3%의 순서로 나타났다. 따라서 개인화 된 ICT서비스가 산업기밀 침해의 통로나 수단이 되지 않도록 실제 운영 차원의 산업보안활동에서 우선적으로 관리되어야 함을 확인할 수 있었다. ‘ICT서비스 사용관리’의 하위기준에서는 ‘사용자 관리’가, ‘ICT시스템/통신망 접근통제’에 대한 하위기준에서는 ‘운영체제 접근통제’가, ‘물리/환경적 보안’에 대한 하위기준에서는 ‘보호구역 설정 및 출입/접근통제’가 가장 중요한 관리대책으로 평가받았다.
- 먼저, 전체 우선순위는 ‘사용자 관리 > 인터넷 접속관리 > 운영체제 접근통제 > 전자우편/메신저 관리 > 보호구역 설정 및 출입/접근통제 > 애플리케이션 접근통제 > 악성 소프트웨어 통제 > 유무선 네트워크 접근통제 > 문서(출력물) 관리 > 클라우드 컴퓨팅 관리 > 정보처리단말 유지보수/변경관리 = 전자적 저장매체 관리 = 업무설비 방재/대테러 보호 배치 > 이동 컴퓨팅 관리 > 전원 등 유틸리티 상시 확보 > 업무설비 반출입 및 폐기/재사용 관리 > 사무실 보호’순으로 나타났다.
- 본 연구의 시사점으로는 먼저, AHP기법을 통한 운영수준에서의 산업보안 관리대책 간 상대적 중요도 산정을 통해 보안 자원 투자결정에서의 합리적인 판단근거를 마련하였다. 둘째, 민감도 분석으로 부가적인 응용 모델들을 제시하여 조직에 특유한(specific) 산업보안 관리대책을 실행하도록 지침을 제시하였다.
- 전체 관리대책들의 중요도는 ‘사용자 관리 > 인터넷 접속관리 > 운영체제 접근통제 > 전자우편/메신저 관리 > 보호구역 설정 및 출입/접근통제 > 애플리케이션 접근통제 > 악성 소프트웨어 통제> 유무선 네트워크 접근통제 > 문서(출력물) 관리 >클라우드(Cloud) 컴퓨팅 관리 > 정보처리단말 유지보수/변경관리 = 전자적 저장매체 관리 = 업무설비 방재/대테러 보호 배치 > 이동(Moblie) 컴퓨팅 관리 > 전원 등 유틸리티 상시 확보 > 업무설비 반출입 및 폐기/재사용 관리 > 사무실 보호’순으로 나타났다.
- 최진혁·박준석(2010)은 접근통제 등 물리적 보안을 중심으로, 산업보안활동의 효과성 제고를 위해 CPTED(Crime Prevention Through Environmental Design: 환경설계를 통한 범죄예방) 개념의 적용이 유용하다는 긍정적 인식이 존재함을 확인하였다. 즉, 산업보안활동에 동 개념을 적용하면 산업스파이 범죄 위험을 감소시켜 그 예방과 산업기밀 보호에 유효할 수 있음을 실증하였다. 정일훈·양진석(2010)은 CPTED의 구성요소를 물리적 요소(접근통제·감시성·영역성), 사회적 요소(신뢰도·친밀도·사회적 유대)로 나누고 AHP분석을 통해 전자가 후자보다 다소 우위에 있으며, 그중 ‘감시성’과 ‘접근통제’가 상대적으로 더 중요함을 확인하였다.
- 총17개의 하위요소 중에서는 ‘범죄 대상물에 대한 접근통제’와 ‘공·사영역의 공간적 구별’이 높은 가중치를 보였다.
후속연구
- 연구의 한계점과 향후 과제로는 첫째, 학문적 태동기에 있는 산업보안의 특성상 전문가 풀(pool)이 다소 부족하여 완전한 일반화에는 어느 정도 한계가 있다. 동 분야의 통섭적 지식과 경험을 겸비한 전문인력들이 일정 수준 배출되면 이들을 대상으로 추가 연구가 필요하다. 둘째, 개별 관리대책들에 대한 구체적인 측정지표(metric)가 만들어져야 한다.
- 제1그룹은 10∼20%대의 높은 가중치를 보인 ‘사용자 관리’, ‘인터넷 접속관리’이며, 제2그룹은 5∼7%대인 ‘운영체제 접근통제’, ‘전자우편/메신저 관리’, ‘보호구역 설정 및 출입/접근통제’, ‘애플리케이션 접근통제’, ‘악성 소프트웨어 통제’, ‘유무선 네트워크 접근통제’이고, 제3그룹은 3%대 이하인 ‘문서(출력물) 관리’, ‘클라우드 컴퓨팅 관리’, ‘업무설비 반출입 및 폐기/재사용 관리’, ‘전자적 저장매체 관리’, ‘정보처리단말 유지보수/변경관리’, ‘이동 컴퓨팅 관리’, ‘전원 등 유틸리티 상시 확보’, ‘업무설비 방재/대테러 보호 배치’, ‘사무실 보호’이다. 따라서, 중요도가 높이 평가된 제1그룹의 관리대책 구현에 조직 역량과 자원을 우선적으로 집중시키고, 보유하고 있는 산업기밀 관련 실물자산의 규모를 감안하여 중요도가 상대적으로 낮게 평가된 2그룹과 3그룹의 관리대책들을 순차적 또는 선별적으로 구현하는 방식으로 산업보안활동에 투자를 해야 할 것이다.
- 둘째, 개별 관리대책들에 대한 구체적인 측정지표(metric)가 만들어져야 한다. 셋째, 우선순위는 평가자들의 경험적 판단에 의해 산출된 결과이므로 실제 산업별 내지 조직별 현장업무 특성이나 그에 따른 보안관리대책의 중요도 차이 등을 본 연구결과와 비교, 검증하는 사례연구가 수행되어야 한다.
- 전략적 성격의 조직·제도 차원이 아닌 운영수준의 보안관리대책은 기존 정보보호관련 인증체계들의 통제사항과 공통되는 점이 있으나 산업보안전문가들의 시각에서 그 상대적 중요도를 실증하였다. 연구의 한계점과 향후 과제로는 첫째, 학문적 태동기에 있는 산업보안의 특성상 전문가 풀(pool)이 다소 부족하여 완전한 일반화에는 어느 정도 한계가 있다. 동 분야의 통섭적 지식과 경험을 겸비한 전문인력들이 일정 수준 배출되면 이들을 대상으로 추가 연구가 필요하다.
- 그 다음, [그림 8]과 같이 ‘물리/환경적 보안’의 가중치를 처음보다 두 배 높이면 그 하위기준인 ‘보호구역 설정 및 출입/접근통제’는 전체 순위가 5→2위로, ‘업무설비 방재/대테러 보호 배치’는 16→4위로, ‘전원 등 유틸리티 상시 확보’는 15→7위로 향상되어 보호대책으로써의 중요도가 매우 높아지는 것을 확인하였다. 현물처럼 물리적인 형상을 갖춘 기밀자산을 상대적으로 많이 보유한 조직에서는 이러한 변경 모델을 산업보안 운영 업무에 적용해야 할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.