[논문]사이버보안 기술적 대응 직무 역량 프레임워크 제안 및 적용 모델 구현 사례

홍순좌; 박한진; 최영한; 강정민

doi:10.13089/jkiisc.2020.30.6.1167

사이버보안 기술적 대응 직무 역량 프레임워크 제안 및 적용 모델 구현 사례
A Proposal of Cybersecurity Technical Response Job Competency Framework and its Applicable Model Implementation 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.6, 2020년, pp.1167 - 1187

홍순좌 (사이버안전훈련센터) , 박한진 (ETRI부설연구소) , 최영한 (사이버안전훈련센터) , 강정민 (사이버안전훈련센터)

초록
AI-Helper

해킹, 말웨어, 자료 유출 및 도난 등의 사이버 위협은 생활 및 경제, 국가 안보의 중요한 문제가 될 정도로 일상과 밀접한 상황에 직면하고 있다. 국가·산업 차원의 안보 및 경제적 관점에서 사이버 위협 대응은 필수적인 방어책으로 인식하고 있으나, 사이버보안 분야에서의 산·학 기술격차 및 전문인력 부족 문제는 매우 심각한 상황이다. 본 논문에서는 이를 극복하는 방법으로 사이버보안 인력의 직무 역량 개념을 도입하여 사이버보안 기술적 대응 직무 역량(CtrJC) 프레임워크를 제안하고, 국가 및 조직 차원에서 시급히 요구되는 실시간 사이버 위협 대응 기술적 직무 역량(CtrJC-R) 모델을 구현하여 그 타당성을 확인한다.

Abstract ▼ AI-Helper

We are facing the situation where cyber threats such as hacking, malware, data leakage, and theft, become an important issue in the perspective of personal daily life, business, and national security. Although various efforts are being made to response to the cyber threats in the national and industrial sectors, the problems such as the industry-academia skill-gap, shortage of cybersecurity professionals are still serious. Thus, in order to overcome the skill-gap and shortage problems, we propose a Cybersecurity technical response Job Competency(CtrJC) framework by adopting the concept of cybersecurity personnel's job competency. As a sample use-case study, we implement the CtrJC against to personals who are charged in realtime cybersecurity response, which is an important job at the national and organization level, and verify the our framework's effects. We implement a sample model, which is a CtrJC against to realtime cyber threats (We call it as CtrJC-R), and study the verification and validation of the implemented model.

주제어

표/그림 (22)

그림 Fig. 1. The case of Information security technology taxonomy
표 Table 1. Job classification
그림 Fig. 2. Competencies hierarchy
그림 Fig. 3. General job competency and its capabilities
그림 Fig. 4. Cybersecurity job competency and its capabilities
그림 Fig. 5. Cybersecurity technical response job competency
그림 Fig. 6. CtrJC framework
표 Table 2. Cybersecurity jobs classification
그림 Fig. 7. AMCJT concept
그림 Fig. 8. Cybersecurity technical response Job Competency against Realtime cyber threats
그림 Fig. 9. Implementation of CtrJC-R Model
그림 Fig. 10. (Step 1) Structuring jobs for real-time technical response against cyber threats
표 Table 3. Identification of real-time technical response job against cyber threats(level 2, 52)
표 Table 4. Identification of real-time technical response job against cyber threats(level 3, 83)
그림 Fig. 11. (Step 2) Structuring job-associated technologies for real-time technical response against cyber threats
표 Table 5. Cybersecurity technology taxonomy
표 Table 6. AMCJT(Operation of network firewall, JC_01_01_01)
표 Table 7. Capacity for operation of network firewall
표 Table 8. Required capability and diagnosis result
표 Table 9. Evaluation result of technology capability of Operation of network firewall(JC_01_01_01)
표 Table 10. Comprehensive evaluation result of technology capability for 5 jobs(I)
표 Table 11. Comprehensive evaluation result of technology capability for 5 jobs(II)

AI 본문요약
AI-Helper

문제 정의

). 본 논문에서는 사이버보안 기술 보유 능력 중 해킹과 같은 실시간 사이버 위협 대응 기술 보유 능력에 대해 역량 평가 모델을 제안한다. 이를 실시간 사이버 위협에 대한 사이버보안 기술적 대응 직무 역량(CtrJC-R)으로 명명하며, 실시간 위협 대응기술 보유 능력 중심으로 제안된 모델을 구현하여 결과에 대한 타당성을 확인한다.
NICE 프레임워크의 52개 직무 역할에서 보듯이 사이버보안 직무 역량은 다양한 능력을 포함하고 있다. 본 논문에서는 효과적인 전달의 목적을 달성하기 위함과 동시에 객관적, 정량적 평가가 가능한 방법을 개발하는 것을 목표로 사이버보안 직무 중에서도 경영, 관리 등의 비기술적 요소를 배제하고 변별 가능한 기술적 직무에 초점을 두고자 한다.

제안 방법

구현한 모델을 “실시간 사이버 위협에 대한 사이버보안 기술적 대응 직무 역량(CtrJC-R, Cybersecurity technical response Job Competency against Realtime cyber threats) 모델”이라고 하며, 이 모델에 대한 타당성을 검증하고 활용방안을 제안한다.
사이버보안 역량을 정립하기 위해서는 목표를 정의하고, 능력 및 자원을 정의하는 것이 기본적으로 요구되나, 사이버보안의 많은 부분이 변화하고 있으며 학문적 또는 실용적 관점에서 명확한 정의가 어려운 분야이다. 그러므로 사이버보안 분야 전체를 포괄하기에는 한계가 있으므로, 본 논문에서는 사이버보안 중 사이버 방어에 해당되는 업무를 중심으로 적용하고자 한다.
따라서 본 연구에서는 사이버 위협에 대해 기술적 대응을 하는 직무 역량을 객관적·정량적으로 평가하기 위해 사이버보안 기술적 대응 직무에 요구되는 사이버보안 기술 분류를 새롭게 제안하고자 한다(5.2.절 Table 5 참고).
첫 번째 단계는 “사이버보안 직무 역량 개념 정립” 단계이다. 먼저 사이버보안 역량 모델에 대한 기존 관련 연구(3가지 관점, 국가ㆍ조직ㆍ개인)들을 분석하여 현황을 파악한다. 이를 통해 기존 모델들이 내재하고 있는 문제점들과 실용적으로 활용하기 어려운 점을 파악한다.
본 논문에서 제시한 사이버보안 직무 역량의 개념적인 검토를 통해 “사이버보안 기술적 대응 직무 역량(CtrJC) 프레임워크”를 제안하여 기술적 대응 직무에 요구되는 역량에 대해 정의하고 평가할 수 있는 모델을 만들어 낼 수 있는 방법론을 제시하였다
직무별로 요구되는 세부 기능은 기술력을 필요로 하며, 기술력은 정의된 CTT에 의거하여 하위 직무 또는 직무를 구성하는 기능별로 요구되는 기술들을 식별해 나갈 수 있다. 본 논문에서 제안하는 사이버보안 기술 분류는 1차 분류 12종, 2차 분류 34종, 3차 분류 기술 85종을 기반으로 기술을 식별하였다. 세부 내용은 5.
본 논문에서는 직무 역량을 구성하는 능력을 성과 달성 능력(performing capability), 직무 수행 능력(job capability), 기술 보유 능력(technology capability)으로 구분한다. 첫째, 성과 달성 능력은 조직의 목표에 부합하는 성과를 내기 위한 능력으로 정량적으로 표현하기 어려운 요소 중 하나이다.
본 논문에서는 편의상 직무를 레벨1 ~ 레벨5로 분류하는 방식을 적용하며, 다음과 같이 레벨 5 직무 식별이 가능하도록 직무 코드(job code, JC)를 부여한다. 레벨별 코드는 10진수 2자리로 “01”이상의 값을 가지며 마지막 자리를 기준으로 직무 레벨을 파악할 수 있다.
사이버보안 기술적 대응 직무 역량을 평가하기 위해서는 3가지 능력(성과 달성 능력, 직무 수행 능력 기술 보유 능력)에 대한 평가가 모두 요구되나, 기술력 격차 관점과 효과적인 직무 역량 평가 방법론을 기술하기 위해서 본 논문에서는 3가지 능력 중 하나인 기술 보유 능력 및 이에 대한 평가를 예시로 사용하여 초점을 두고 기술하고자 한다.
세 번째 단계는 CtrJC 프레임워크의 모델링 구현 및 타당성 검증 수행을 위하여, 하나의 구현 사례로, 기술적 대응 직무 중 세부 직무인 실시간 사이버 위협에 대한 기술적 대응 직무에 대해 CtrJC 모델을 구현한다. 구현한 모델을 “실시간 사이버 위협에 대한 사이버보안 기술적 대응 직무 역량(CtrJC-R, Cybersecurity technical response Job Competency against Realtime cyber threats) 모델”이라고 하며, 이 모델에 대한 타당성을 검증하고 활용방안을 제안한다.
이 프레임워크의 효과를 확인하기 위해 “실시간 사이버 위협 대응 기술적 직무 역량(CtrJC-R) 모델”을 구현하였다.
이를 통해 기존 모델들이 내재하고 있는 문제점들과 실용적으로 활용하기 어려운 점을 파악한다. 이후 일반적인 직무 및 역량에 대한 개념을 활용하여 사이버보안 직무와 사이버보안 역량에 대해 개별 개념을 정립한 후, 통합적인 관점에서 사이버보안 직무 역량 개념을 규정한다.

대상 데이터

정보보호 분야는 NCS에 별도 분류체계 없이 22개 정보기술(SW) 하위 세분류 중 `보안 엔지니어링`만이 정보보호 직무로 정의돼 다양한 직무 반영이 어려웠다. 2017년 1월 한국인터넷진흥원(KISA) 주관으로 한국정보보호산업협회(KISIA) 등 산업계와 함께 정보보호 분야 직무 3종을 NCS에 신규로 개발하여 추가하였다. 정보보호 분야 직무는 정보보호 관리ㆍ운영, 정보보호 진단ㆍ분석, 보안사고 분석대응으로 세분화하고 있으나, 전문인력 관리 및 육성 등에서 활용하는 것은 아직 부족한 측면이 있다.

이론/모형

AMCJT를 제대로 구현하기 위해서는 직무와 기술 분야에 대한 전문가적인 관점에서 식별해야 하므로 이 자체도 복잡하고 어려운 연구 주제이다. 본 논문에서는 레벨3 직무 1종을 선정하여 AMCJT를 구현하고 CtrJC-R모델을 검증하는데 활용한다.

성능/효과

사례로 구현된 모델은 사이버 위협에 대응하는 기술적인 역량을 식별, 평가가 가능한 모델로서 정부, 산업계 및 학계에서 사이버보안 전문인력 역량을 확인 및 양성하는 기초로 활용할 수 있는 방법론이다. 여기서 구현된 분야는 NICE 프레임워크의 52개 업무 역할 중 6개 정도로 제한될 정도로 일부를 구현한 모델이다.
여기서 제안하는 모델은 NICE 프레임워크를 세부적으로 분석하여 기술적인 역량을 평가하는 방법론을 제시하고 가상적 데이터를 기반으로 객관성이 보장되는 정량적인 역량 평가 결과를 보여주는 방법을 확인할 수 있다. 이 모델이 갖는 의미는 크게 3가지로 분류해서 설명할 수 있다.
본 논문에서는 사이버보안 기술 보유 능력 중 해킹과 같은 실시간 사이버 위협 대응 기술 보유 능력에 대해 역량 평가 모델을 제안한다. 이를 실시간 사이버 위협에 대한 사이버보안 기술적 대응 직무 역량(CtrJC-R)으로 명명하며, 실시간 위협 대응기술 보유 능력 중심으로 제안된 모델을 구현하여 결과에 대한 타당성을 확인한다.
은 직무별 전체 등급 및 직무 종합 등급을 확인할 수 있다. 이와 같이 실시간 사이버위협 대응 기술적 직무 역량 모델 구현을 통해 개별직무 및 여러 직무의 종합적인(예, 특정 전담 부서) 기술 보유능력을 정량적으로 확인할 수 있다.

후속연구

유사하게 국내의 직무능력표준(NCS)의 정보보호 분야를 거론할 수 있으나, 독자적인 채용 조직 및 체계를 갖추기 어려운 중소기업 대상의 적용을 가정하여 시작하였다. 또한 정보보호 분야의 정확한 기술적 수요 및 공급 등의 분석이 부족하여 현실성이 부족하며, 신규 채용에만 적용한다는 한계점이 존재한다. 미국 NICE 프레임워크는 연방기관의 직무에 준하는 업무 역할 52종을 선정하여 작업, KSA를 제시하고 있으나, 그 수준이 추상적인 관계로 해당 기관은 자체적인 인력 채용 및 유지 방법론을 갖추어야 한다.
직무별로 직무ㆍ기술 연관 매트릭스가 작성되면 직무 역량을 평가할 준비가 된 것이다. 물론 평가는 객관적인 방법론이 요구되나 본 논문에서는 세부적으로 다루지 않고 향후 연구가 요구되는 분야이다.
본 논문에서는 평가 단계를 식별하는 정도이며, 구체적 구현은 추후 연구로 남겨둔다.
여기서 구현된 분야는 NICE 프레임워크의 52개 업무 역할 중 6개 정도로 제한될 정도로 일부를 구현한 모델이다. 사이버보안 인력의 역량 평가를 위해서 본 논문의 프레임워크를 도입하여 자체 모델을 만들어 낸다면 전문가들이 공감하고 인정할 수 있는 역량 평가가 가능할 것으로 기대하며, 추후 연구의 주제로 남겨둔다.
이와 같은 문제점을 해결하기 위해서 요구되는 전문인력의 역량을 정확히 식별하여 갖춰야할 역량을 제시하고 보유 역량을 정확히 평가할 수 있는 방법론이 요구된다.

참고문헌 (27)

Oltsik, J. "The cybersecurity skills shortage is getting worse". ESG Blogs, 10 Jan. 2019. Accessed Nov. 2020. www.esg-global.com/blog/the-cybersecurity-skills-shortage-is-getting-worse
(ISC)2, "Strategies for building and growing strong cyber security teams: (ISC)2 Cybersecurity Workforce Study", 2019. Accessed Nov. 2020. https://www.isc2.org/Research/2019-Cybersecurity-Workforce-Study
NIST, SP 800-181, "National Initiative for Cybersecurity Education (NICE) Cybersecurity Workforce Framework", Aug. 2017,
Cyberseek, "cyberseek", https://www.cyberseek.org/ accessed Nov. 2020.
ENISA, "Cybersecurity Skills Development in the EU", 26 Mar. 2019.
Soonjwa Hong, "A Study on the Framework of Comparing New Cybersecurity Workforce Development Policy Based on the ATE Programs of U.S.", Journal of the Korea Institute of Information Security & Cryptology 28(1), pp. 249-267, Feb. 2018.

원문보기 상세보기
Korea Information Security Industry Association, "Survey on Information Security", Jan. 2020.
Korea Information Security Industry Association, "Survey for Information Security Industry in Korea: Year 2019", Dec. 2019.
Risto Hansen, "Cyber security capability assessment", Master's Thesis of Tallinn University of Technology, Nov. 2016.
PwC & Iron Mountain, "Beyond Cyber Threats: Europe's First Information Risk Maturity Index" Mar. 2012.
McKinsey Digital, "Risk and responsibility in a hyperconnected world", Jan. 2014. Accessed Nov. 2020. https://www.mckinsey.com/business-functions/mckinsey-digital/our-insights/risk-and-responsibility-in-a-hyperconnected-world-implications-for-enterprises
Global Cyber Security Centre, "Cybersecurity Capacity Maturity Model for Nations (CMM) Revised Edition", Mar. 2016. accessed Nov. 2010. https://gcscc.ox.ac.uk/the-cmm
Rafael Dean Brown, "Towards a Qatar Cybersecurity Capability Maturity Model with a Legislative Framework" Jornal of International Review of Law, Vol. 2018 No. 4, Mar. 2018. DOI https://doi.org/10.29117/irl.2018.0036

상세보기
US Department of Energy, "Cybersecurity Capability Maturity Model (C2M2) Program". Accessed Nov. 2020. https://www.energy.gov/ceser/energy-security/cybersecurity-capability-maturity-model-c2m2-program
NIST, "Cybersecurity Framework Version 1.1". Accessed Nov. 2020. https://www.nist.gov/cyberframework/framework
NIST, "Framework for Improving Critical Infrastructure Cybersecurity Version 1.1", Apr. 2018.
H. S Venter and J. H. PE loff, "A taxonomy for information security technologies", Computers & Security Volume 22, Issue 4, pp. 299-307, May 2003.

상세보기
Language Technologies Institute of Carnegie Mellon University, "Cybersecurity Taxonomy". accessed Nov. 2020. http://www.cs.cmu.edu/-dklaper/cybersecurity/website/
David Klaper, Eduard Hendrik Hovy, "A taxonomy and a knowledge portal for cybersecurity", Proceedings of the 15th Annual International Conference on Digital Government Research, pp. 79-85, June 2014.
Vrije Universteit Brussel, "Taxonomy of Security Products, Systems and Services.", Deliverable 1.2 CRISP project, Apr. 2014. accessed Nov. 2020. https://www.trilateralresearch.com/wp-content/uploads/2018/09/CRISP-D1.2-Taxonomy-of-Security-Products-Systems-Services_REVISED.pdf
European Commission, Joint Research Centre(JRC), "A Proposal for a European Cybersecurity Taxonomy", 2019. accessed Nov. 2020. https://publications.jrc.ec.europa.eu/repository/bitstream/JRC118089/taxonomy-v2.pdf
Kyoo-wang Kyeong, "A Study on the Performance-based job Analysis Method based on NCS", Doctorial Thesis of Graduate School of Korea National University of Transportation, pp. 8-9, Dec. 2018.
Lee, Min Kyung, "A Study on Improvement of Project Competency for Small IT Companise through SWOT-AHP Analysis", Master's Thesis of Hanayang University, pp 5-6, Aug. 2018.
Javidan, M. "Core competence: What Does it Mean in Practice?", Long Range Planning, 31(1), pp. 60-71. Feb. 1988. https://doi.org/10.1016/S0024-6301(97)00091-5

상세보기
The Korean Association For Regional Information Society, Development of job analysis techniques for efficient organization management, Prism of Ministry of the Interior and Safety, pp. 5-6, Dec. 2008. accessed Nov. 2020.
Younghan Choi, Insook Jang, Inteck Whoang, Taeghyoon Kim, Soonjwa Hong, Insung Park, Jinsoek Yang, Yeongjae Kwon, Jungmin Kang, "Design and Implementation of Cyber Range for Cyber Defense Exercise Based on Cyber Crisis Alert", Journal of the Korea Institute of Information Security & Cryptology 30(5), pp. 805-821, Oct. 2020.

원문보기 상세보기
The NATO Cooperative Cyber Defence Centre of Excellence, "Locked Shields," accessed Nov. 2020. https://ccdcoe.org/exercises/locked-shields/

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증