[논문]공공부문 보안취약점 감사 효율화 방안에 관한 연구

김현석

doi:10.13089/jkiisc.2022.32.1.109

[국내논문] 공공부문 보안취약점 감사 효율화 방안에 관한 연구
A Study on the Efficiency of Auditing for Security Vulnerabilities in the Public Sector 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.32 no.1, 2022년, pp.109 - 122

김현석 (감사원)

초록
AI-Helper

정보보안 활동의 목적은 해킹 등으로 인한 피해가 발생한 이후 그 원인을 찾아 후속 조치하는 것 뿐만 아니라 주기적인 보안 활동을 통해 제어시스템 등 중요 시스템의 해킹 피해 시 우려되는 대규모 물적·인적사고를 줄이는 데에 있다. 이에 각 기관에서는 관련 규정에 따른 보안감사모델을 활용하고 있지만 시간과 인력의 제약으로 인해 전사적 점검활동을 수행하는 것이 쉽지 않다. 본 논문에서는 최근 10년간 공공기관의 주요 취약점에 대해 분석해보고 국내외 보안감사를 위한 모델과 비교하여 효율적인 보안활동을 수행할 수 있는 보안감사모델을 제시하고자 한다.

Abstract ▼ AI-Helper

The purpose of information security activities is to reduce large-scale material and human accidents that are concerned about hacking damage to important systems, such as control systems, through periodic preventive activities in addition to finding the cause and taking follow-up measures after damage caused by hacking. For this reason, although each institution is using a security work audit model in accordance with the relevant regulations, it is not easy to conduct company-wide inspection activities due to the constraints of manpower and time. Therefore, in this paper, we will analyze the major vulnerabilities of public institutions over the past 10 years and present a security audit model that can perform efficient security activities compared to the models for domestic and foreign security audits.

주제어

표/그림 (17)

표 Table 1. GAO's FISCAM model
표 Table 2. Information Security Audit Matrix
표 Table 3. ISO27001's control model
표 Table 4. Information Protection and Personal Information Management System Certification Criteria
표 Table 5. Audit manual detailed evaluationl items
표 Table 6. Checkpoints for the implemetation of major infrastructure
표 Table 7. Subjects to audit by type
표 Table 8. Information security related audits[7-42]
표 Table 9. Vulnerable types by information system
표 Table 10. Inspection items for information system safety
표 Table 11. Checklists for information system safety measures by domestic and foreign audit models
표 Table 12. Inspection items for personal information
표 Table 13. Checklists for personal information protection and management by domestic and foreign audit models
표 Table 14. Inspection items for construction of information security infrastructure
표 Table 15. Checklists in the field of information security infrastructure construction by domestic and foreign audit models
표 Table 16. Inspection items for implementation systems and system operation
표 Table 17. Checklists for implementation systems and system operation fields by domestic and foreign audit models

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 감사원에서 최근 10년 간(’11년∼ ’20년) 공공기관들을 대상으로 보안감사를 실시하여 처분요구한 268건의 감사결과들을 분석하고이를바 탕으로 취약점들을 유형화하여 필수 점검 항목 선정을 위한 감사모델을 제시하고자 한다
이에 제안 모델은 실제 감사 결과 취약부문으로 식별된 사항을 점검항목에 포함하도록 중요도를 부여함으로써 보안 감사 세부 점검항목 작성 및 감사계획수립 시 활용하는 데 목적이 있다.

제안 방법

공공기관은 정보보안 활동을 하기 위해 정보시스템 보안관리 및 개인정보보호를 위한 물리적·관리적·기술적 보안활동 등을 분석하고, 각 기관의 주요 정보 및 개인정보 시스템, 웹서버 등 업무시스템, 주요 정보통신기반시설의 제어시스템, 용역업체 보안관리업무등정보시스템과 업무별 취약점을 분석한다.
본 논문에서는 관련 법령이 다수이고 정보통신기술분야의 특성상 범위가 넓어 정보시스템과 관련된 기술 및 관리적 영역을 중점적으로 분석하면서, 최근 정보시스템에 대한 해킹목적으로 개인정보를 탈취하는 등의 사례가 많이 발생하고 있어 정보시스템 안전 조치와 관련된 정보보안(개인정보 감사 결과 사항 포함)에 국한하여 분석하였다.
제안 모델의 첫 번째 분야는 정보시스템 안전조치 분야로, 취약점들을 종합하여 분석한 결과 필수점검 사항으로 정보시스템 서버 관리자 계정관리 (Information system server administrator account management) 등 9가지 점검 항목을 도출하였으며 전체항목은 Table 10과 같다.

데이터처리

구체적인 세부감사 결과는 전자정부법, 정보통신기반 보호법, 정보통신망법, 개인정보 보호법 등의 법령과 ‘국가정보보안 기본지침’, ‘국가사이버안전관리규정’ 등 제도적으로 규정된 정보보안 활동 및 점검활동 영역에 근거하여 공통적으로 확인된 보안취약점들을 중점으로 분석하였다.

성능/효과

이를 통해 정보시스템의 안전조치 등 4가지분야 35개 항목으로 구성된 모델을 제시함으로써 제한된 인력 및 시간으로 효율적인 점검이 이루어질 수 있도록 하였다. 물론 35개 항목만 점검하면 모든 취약점을 확인할 수 있는 것은 아니지만, 본 논문에서 제시하는 해당 분야별 필수점검항목이 최근 10년 간의 감사결과를 통해 확인된 실증적 점검항목이라는것에 의미가 있고 현재까지도이러한 보안취약점들은 지속적으로 점검대상이 되고 있어 보안감사 수행시 세부 점검 계획 작성 등에 활용할 수 있다. 향후 연구 방향으로는 최근 들어 랜섬웨어 공격이나 APT공격 등 과거와 달리 지능적인 공격양상을 띤 해킹사례가 많아지고 있는 만큼이를 점검할 수 있는 모델에 대한 연구를 진행하고자 한다.

후속연구

물론 35개 항목만 점검하면 모든 취약점을 확인할 수 있는 것은 아니지만, 본 논문에서 제시하는 해당 분야별 필수점검항목이 최근 10년 간의 감사결과를 통해 확인된 실증적 점검항목이라는것에 의미가 있고 현재까지도이러한 보안취약점들은 지속적으로 점검대상이 되고 있어 보안감사 수행시 세부 점검 계획 작성 등에 활용할 수 있다. 향후 연구 방향으로는 최근 들어 랜섬웨어 공격이나 APT공격 등 과거와 달리 지능적인 공격양상을 띤 해킹사례가 많아지고 있는 만큼이를 점검할 수 있는 모델에 대한 연구를 진행하고자 한다.

참고문헌 (43)

GAO, Federal Information System Controls Audit Manuals(GAO-090232G), Feb. 2009
INTOSAI WGITA-IDI, Handbook on IT Audit for Supreme Audit Institution, Appendix VII, pp. 107-115, 2014
Wikipedia, ISO/IEC 27001, http://en.wikipedia.org/wiki/ISO/IEC_27001:2013 search
Korea Internet & Security Agency, "Introduction of system" in "Certification of information protection and personal information protection management system" (isms-p.kisa.or.kr)
Financial Supervisory Service, IT Audit Manual, pp. 474-497. 2019.
Ministry of Science and ICT and Korea Internet & Security Agency, "Detailed Guide to Analysis and Evaluation Methods for Technical Vulnerabilities in Major Information and Communication Infrastructure", Dec. 2017.
Board of Audit and Inspection, "Financial Supervision Act, including Financial Consumer Protection", pp. 68-76, Feb. 2012.
Board of Audit and Inspection, "Actual status of social service e-voucher business selection (National Assembly audit)", pp. 37-42, Oct. 2011.
Board of Audit and Inspection, "State of Crisis Management of National Core Infrastructure", pp. 102-105, Dec. 2012.
Board of Audit and Inspection, "Public Institutions Information Protection and Cyber Safety Management Status", pp. 26-98, Mar. 2012.
Board of Audit and Inspection, "Financial Consumer Protection and Supervision"(local action completed), 2013
Board of Audit and Inspection, "Operation of diplomatic missions abroad and the implementation of major projects of the Ministry of Foreign Affairs", pp. 105-109, Nov. 2014.
Board of Audit and Inspection, "Actual status of financial sector information protection and cyber safety management supervision", pp.10-12, Apr. 2014.
Board of Audit and Inspection, "Financial Execution Management Status", pp. 46-50, Apr. 2014.
Board of Audit and Inspection, "Institutional operation audit by the Ministry of Safety and Public Administration", pp. 31-39, Aug. 2014.
Board of Audit and Inspection, "Actual Inspection and Supervision of Personal Information Leakage of Financial Companies", pp. 57-62, Jul. 2014.
Board of Audit and Inspection, "The status of handling civil complaints in the first half of the year", pp. 25-28, Sep. 2014.
Board of Audit and Inspection, "National Police Agency Operation Audit", pp. 55-58. Jun. 2015.
Board of Audit and Inspection, "The Current State of Management of Public Institutions that Support Electricity", pp. 32-34, Jun. 2015.
Board of Audit and Inspection, "Construction and Operation of the National Integrated Traffic Information System", pp. 14-19, Oct. 2016.
Board of Audit and Inspection, "Local Office of Education Financial Management(5) (Ministry of Education, Seoul Office of Education)", pp. 61-65, Dec. 2015.
Board of Audit and Inspection, "National Cyber Safety Management Status", pp. 140-146, Apr. 2016.
Board of Audit and Inspection, "Main informatization business contract business promotion status", pp. 41-52, Aug. 2016.
Board of Audit and Inspection. "Public Safety Threat Factor Response Management(Airport Safety and Firearms and Explosives)", pp. 46-47, Sep. 2016.
Board of Audit and Inspection. "Checking the capability to respond to cyber breaches of major information and communication infrastructure"(Secret), Nov. 2016.
Board of Audit and Inspection, "National Tax Information System Utilization and Security Status", pp. 31-32, Jan. 2017.
Board of Audit and Inspection, "Construction and Utilization of National Geospatial Data", pp. 159, 2017.
Board of Audit and Inspection, "Educational Information System Establishment and Operation Status"(local action completed), 2017.
Board of Audit and Inspection, "Unauthorized reading and leakage of electronic medical records at Seoul National University Hospital", pp. 24-34, Mar. 2017.
Board of Audit and Inspection, "Construction and Utilization of Information System for Land and Environment", pp. 58-69, Sep. 2017.
Board of Audit and Inspection, "Status of National Public Official Personnel Management and Management", pp. 68-73, Nov. 2017.
Board of Audit and Inspection, "Construction and utilization of public data", pp. 158-175, Jun. 2018.
Board of Audit and Inspection, "Public Teacher Appointment Exam Management Status", pp. 31-34. Aug. 2018.
Board of Audit and Inspection, "The Postal Business Management Status", pp. 53-65, Oct. 2018.
Board of Audit and Inspection, "Inspection of allegations related to contract by the Korea Employment Information Service", pp. 15-21, Aug. 2018.
Board of Audit and Inspection, "Management Status of Agricultural Product Price Stabilization Subsidy Support Project", pp. 25-28. Aug. 2019.
Board of Audit and Inspection, "Regional Indigenous Corruption, etc. Startup Inspection III", pp. 32-42, Jun. 2019.
Board of Audit and Inspection, "Korea Foundation, Overseas Koreans Foundation Institutional Operation Audit", pp. 49-52, Jul. 2019.
Board of Audit and Inspection, "Operation of diplomatic missions abroad and the headquarters of the Ministry of Foreign Affairs", pp. 93-97, Jan. 2020.
Board of Audit and Inspection, "The Status of Settlement Support for North Korean Refugees", pp. 43-46, Mar. 2020.
Board of Audit and Inspection, "Pharmaceutical Safety Management Status", pp. 31-33, Jul. 2020.
Board of Audit and Inspection, "Chungcheongnam-do Institutional Audit", pp. 121-125, Oct. 2020.
Board of Audit and Inspection. "An Research on Efficient Audit Methodology for Information Security and Cyber Safety ", Dec. 2021.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증