[논문]복합평가항목Pool을 이용한 정보보호 수준향상 방안에 관한 연구

조영택; 이희조

복합평가항목Pool을 이용한 정보보호 수준향상 방안에 관한 연구
Study on Improving the information protection level by Hybrid Evaluation Item Pool(Hybrid-EIP) 원문보기

한국정보처리학회 2013년도 제40회 추계학술발표대회, 2013 Nov. 08, 2013년, pp.650 - 653

조영택 (고려대학교 컴퓨터정보통신대학원) , 이희조 (고려대학교 컴퓨터정보통신대학원)

초록
AI-Helper

IT기술의 발전과 인터넷의 끊임없는 확장은 정보유출과 같은 보안사고의 발생 빈도를 꾸준하게 증가 시키고 있다. 더불어 경제적 사회적 손실이 함께 증가됨에 따라 이를 예방하기 위한 목적으로 전세계 많은 기업과 국가기관에서 정보보호를 위한 법 제도를 제정하거나 강화하여 개정 하고 있다. 하지만, 국내 200만여 개 달하는 기업과 공공기관들 중에 극히 일부를 제외한 대부분은 관련 법 제도에 명시한 의무대상에 포함되지 않는다. 즉, 대부분의 기업이나 기관에서는 정보보호의 공백이 발생할 수 있다는 반증인 것이다. 따라서 본 연구에서는 이처럼 국가차원의 정보보호 공백이 될 수 있는 국내 대부분의 기업과 기관들을 대상으로 하여 조직에서 보유한 정보자산들에 대해 자가 정보보호수준을 진단하기 위한 방안으로 제시하는 복합평가항목Pool을 이용한 정보보호 수준진단 모델을 활용하여 비용절감 및 시간효율개선과 함께 정보보호 수준을 향상시키고자 한다.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 본 연구에서는 국내법·제도에서 의무대상으로 강제하고 있지 않은 국내 대부분의 기업과 기관들을 주 대상으로 하여 외부기관의 도움이나 보안전문 업체의 지원 없이도 자체적으로 유용 하게 활용 할 수 있는 Hybrid-EIP을 이용한 정보보호 수준진단 모델 및 활용사례를 제시하였다.
본 논문에서 Hybrid-EIP을 이용한 정보보호 수준진단 모델을 제시하였고 이를 활용한 평가항목의 일부를 자동 진단이 가능한 시스템으로 구성하여 내부인력으로 자가진단을 수행한 사례를 통해 그 효과를 확인하였다. 이는 내부정보유출위협을 피하고 비용절감과 함께 기술적 혹은 관리적 평가항목에 치중되는 문제를 해소가 될 수 있는 방안으로써 다양한 기업이나 기관에서 활용 가능할 것이다.

제안 방법

정보자산은 조직별로 분류 하고 권한은 정보보호담당자, 자산담당자로 분류하였다. 본 모델의 활용 전에는 정보자산 보호를 위해 정보보호 기반시설 취약성 분석 평가 및 K-ISMS평가항목에 대해서 외부인력을 통해 각각 년 1회씩 평가를 수행 하였고, 매년 인건비를 제외한 수수료로 약 50~80백만 원의 비용이 매회 지출 되었다. 시스템 구축 후인 2012년부터 반년을 한 번의 주기로 정하고 내부인력으로 동일한 범위의 수준진단을 년2회 시행 할 수 있게 함에 따라 약 50%이상의 외부지출비용절감과 약 2배에 가까운 수행시간이 효과적으로 개선되었다.
약 1000여 명의 임직원, 4000여대의 호스트, 100여명의 IT인력규모인 K사의 경우 제시한 Hybrid-EIP을 중심으로 정보보호 수준진단 모델을 약 3개월에 걸쳐 시스템화 하여 적용하였다. 정보자산은 조직별로 분류 하고 권한은 정보보호담당자, 자산담당자로 분류하였다. 본 모델의 활용 전에는 정보자산 보호를 위해 정보보호 기반시설 취약성 분석 평가 및 K-ISMS평가항목에 대해서 외부인력을 통해 각각 년 1회씩 평가를 수행 하였고, 매년 인건비를 제외한 수수료로 약 50~80백만 원의 비용이 매회 지출 되었다.
제시된 평가항목을 토대로 평가대상 기관은 정해진 기간 내에 자체평가를 수행하며, 해당 증빙자료를 준비하고, 민·관 전문가 합동으로 현장 실사를 실시하여 자체평가 결과와 관련된 증빙자료를 확인하고 평가한다.
제시한 Hybrid-EIP을 활용한 자가 정보보호 수준진단 모델에서는 평가항목그룹을 선택 후 수준진단을 수행하는 수준진단 단계와 발견된 취약사항을 토대로 하여 위협을 분석하는 단계, 발견된 위협을 조치하여 제거하는 단계로 구성된다.
첫 번째 단계는 요구사항이 반영된 평가항목그룹을 이용하여 수준진단을 수행하는 단계이다. 진단대상 그룹을 선택하고 조직의 요구사항을 반영한 평가항목을 이용하여 진단을 수행 한다. 만약 진단 대상에 변경이 발생 하였다면 진단대상그룹을 수정 하거나, 신규로 생성 한다.

대상 데이터

약 1000여 명의 임직원, 4000여대의 호스트, 100여명의 IT인력규모인 K사의 경우 제시한 Hybrid-EIP을 중심으로 정보보호 수준진단 모델을 약 3개월에 걸쳐 시스템화 하여 적용하였다. 정보자산은 조직별로 분류 하고 권한은 정보보호담당자, 자산담당자로 분류하였다.

성능/효과

둘째로 Hybrid-EIP을 활용하여 구현한 정보보호 수준 진단 모델은 진단항목의 변화에 대응 할 수 있도록 (그림 2)와 같이 대상별로 평가항목그룹을 분리함으로써 유연성을 보장하고 각각의 이력을 관리함으로써 진단이력의 연속성도 보장하게 한다.
본 모델의 활용 전에는 정보자산 보호를 위해 정보보호 기반시설 취약성 분석 평가 및 K-ISMS평가항목에 대해서 외부인력을 통해 각각 년 1회씩 평가를 수행 하였고, 매년 인건비를 제외한 수수료로 약 50~80백만 원의 비용이 매회 지출 되었다. 시스템 구축 후인 2012년부터 반년을 한 번의 주기로 정하고 내부인력으로 동일한 범위의 수준진단을 년2회 시행 할 수 있게 함에 따라 약 50%이상의 외부지출비용절감과 약 2배에 가까운 수행시간이 효과적으로 개선되었다. 하지만, 자산담당자의 적극적인 참여를 기대 했던 것에는 충분하지 못하였으며, 이를 위해 조직 내 홍보나 MBO(개인성과지표)에 반영과 같은 관리적 활동이 요구되었다.
따라서 본 연구에서는 국내법·제도에서 의무대상으로 강제하고 있지 않은 국내 대부분의 기업과 기관들을 주 대상으로 하여 외부기관의 도움이나 보안전문 업체의 지원 없이도 자체적으로 유용 하게 활용 할 수 있는 Hybrid-EIP을 이용한 정보보호 수준진단 모델 및 활용사례를 제시하였다. 이 사례에서는 조직 내 자체진단이 가능하도록 구현 하면서 외부로 지출되는 수수료 등의 비용을 없애고, 내부자산정보의 유출가능성을 원천적으로 배제 할 수 있게 되었다.
둘째로 시간효율증대이다. 제시하는 Hybrid-EIP활용한 수준진단 모델을 사용하면 정보자산을 파악하여 진단대상 그룹을 선정하는 최초구성 1회를 제외하고는 자산파악단계의 생략이 가능하다. 평가대상이 되는 정보자산의 증감이나 조직에서 진단 대상의 변경요구가 발생하지 않는 한 매번 정보자산을 이해하고 분석하는 자산파악의 단계가 불필요 하게 됨으로써 정보보호 수준진단을 수행하는데 효과적으로 시간을 절약 할 수 있다.

후속연구

뿐만 아니라 본 모델을 활용하여 일정주기를 정하여 반복수행하고 평가결과를 관리하면 조직의 정보보호수준 관리를 위한 유용한 자료로 활용 할 수 있을 것으로 기대된다. 다만, 조직의 규모가 커질수록 진단 대상이 되는 정보 자산의 수량이 증가함에 따라 발생 할 수 있는 성능적인 문제들과 사용자인터페이스의 편의성부분은 앞으로 더 많은 연구가 필요 할 것이다.
이는 내부정보유출위협을 피하고 비용절감과 함께 기술적 혹은 관리적 평가항목에 치중되는 문제를 해소가 될 수 있는 방안으로써 다양한 기업이나 기관에서 활용 가능할 것이다. 뿐만 아니라 본 모델을 활용하여 일정주기를 정하여 반복수행하고 평가결과를 관리하면 조직의 정보보호수준 관리를 위한 유용한 자료로 활용 할 수 있을 것으로 기대된다. 다만, 조직의 규모가 커질수록 진단 대상이 되는 정보 자산의 수량이 증가함에 따라 발생 할 수 있는 성능적인 문제들과 사용자인터페이스의 편의성부분은 앞으로 더 많은 연구가 필요 할 것이다.
본 논문에서 Hybrid-EIP을 이용한 정보보호 수준진단 모델을 제시하였고 이를 활용한 평가항목의 일부를 자동 진단이 가능한 시스템으로 구성하여 내부인력으로 자가진단을 수행한 사례를 통해 그 효과를 확인하였다. 이는 내부정보유출위협을 피하고 비용절감과 함께 기술적 혹은 관리적 평가항목에 치중되는 문제를 해소가 될 수 있는 방안으로써 다양한 기업이나 기관에서 활용 가능할 것이다. 뿐만 아니라 본 모델을 활용하여 일정주기를 정하여 반복수행하고 평가결과를 관리하면 조직의 정보보호수준 관리를 위한 유용한 자료로 활용 할 수 있을 것으로 기대된다.
이를 해소하기 위하여, 비용이 발생하지 않거나, 거의 들지 않는 방법을 이용하여 기업이나 기관에서 신뢰 할 수 있는 평가항목들을 기반으로 제시하는 복합평가항목 Pool(Hybrid-EIP, Hybrid Evaluation Item Pool)을 이용하여 자가 진단을 하도록 한다면, 투입되는 자원을 최소화하여 부담을 경감시키는 동시에 조직의 정보보호 수준을 효과적으로 높일 수 있을 것이다. 따라서 본 연구에서는 국내법·제도에서 의무대상으로 강제하고 있지 않은 국내 대부분의 기업과 기관들을 주 대상으로 하여 외부기관의 도움이나 보안전문 업체의 지원 없이도 자체적으로 유용 하게 활용 할 수 있는 Hybrid-EIP을 이용한 정보보호 수준진단 모델 및 활용사례를 제시하였다.

질의응답

핵심어	질문	논문에서 추출한 답변
	정보보호수준향상을 위한 투자를 기피 할 수밖에 없는 결과로 이어지는 상황은 무엇인가?	상대적으로 규모가 작은 조직의 경우 조직의 보안수준 향상을 위해 외부 보안전문 업체를 통해 수준진단을 받거나, 정보보호 전문 인력을 채용하고 보안 어플라이언스의 도입하는 등의 정보보호를 위한 투자 자체가 조직에게 큰 부담일 수 있다. 이는 곧 정보보호수준향상을 위한 투자를 기피 할 수밖에 없는 결과로 이어지고 있다.
	2012년 종사자 수 5인 이상의 네트워크가 구축된 5,000개 민간기업을 대상으로 정보화 투자 대비 정보보호 지출 비율에 대해서 조사한 결과는 어떠한가?	2012년 종사자 수 5인 이상의 네트워크가 구축된 5,000개 민간기업을 대상으로 정보화 투자 대비 정보보호 지출 비율에 대해서 조사한 결과 지출 비율이 1%미만이거나 지출이 없는 경우가 전체의 86.9%로 나타났다. [1,2]
	복합평가항목 Pool을 이용하여 자가진단을 한다면, 어떤 결과를 예상할 수 있는가?	이를 해소하기 위하여, 비용이 발생하지 않거나, 거의 들지 않는 방법을 이용하여 기업이나 기관에서 신뢰 할 수 있는 평가항목들을 기반으로 제시하는 복합평가항목 Pool(Hybrid-EIP, Hybrid Evaluation Item Pool)을 이용하여 자가 진단을 하도록 한다면, 투입되는 자원을 최소화하여 부담을 경감시키는 동시에 조직의 정보보호 수준을 효과적으로 높일 수 있을 것이다. 따라서 본 연구에서는 국내법·제도에서 의무대상으로 강제하고 있지 않은 국내 대부분의 기업과 기관들을 주 대상으로 하여 외부기관의 도움이나 보안전문 업체의 지원 없이도 자체적으로 유용 하게 활용 할 수 있는 Hybrid-EIP을 이용한 정보보호 수준진단 모델 및 활용사례를 제시하였다.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

복합평가항목Pool을 이용한 정보보호 수준향상 방안에 관한 연구
Study on Improving the information protection level by Hybrid Evaluation Item Pool(Hybrid-EIP) 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

복합평가항목Pool을 이용한 정보보호 수준향상 방안에 관한 연구 Study on Improving the information protection level by Hybrid Evaluation Item Pool(Hybrid-EIP) 원문보기

초록 AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

복합평가항목Pool을 이용한 정보보호 수준향상 방안에 관한 연구
Study on Improving the information protection level by Hybrid Evaluation Item Pool(Hybrid-EIP) 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper