Considering System Throughput to Evaluate Information Security Investment Portfolios

작업처리율을 고려한 정보보호 투자 포트폴리오 평가

Abstract

We consider an information system where its throughput deteriorates due to security threats and evaluate information security investment portfolios. We assume that organizations adopt information security countermeasures (or portfolios consisted of countermeasures) to lessen the damage resulted from the productivity (or throughput) deterioration. A probability model is used to derive the system throughput and the average number of repairs according to the occurrence rate of security threats. Considering the revenue from throughput, the repair cost, and the investment for the security system, the net present value for each portfolio is derived. Organizations can compare information security investment portfolios and select the optimal portfolio.

본 논문에서는 정보보호 침해에 의해 조직에서 운영하는 정보시스템의 작업처리율이 저하되는 경우를 가정하고, 이러한 정보보호 침해에 대비하기 위해 조직에서 설치하는 다양한 보안 대안들로 구성되는 포트폴리오의 경제성을 평가한다. 확률모형을 이용하여 보안 위협 발생률에 따른 포트폴리오 별 작업처리율 및 평균 수리횟수를 분석하여 투자기간 동안 발생한 매출액과 수리비용을 제시한다. 아울러 작업처리율에 따른 매출액, 포트폴리오 별 보안시스템 구축 투자비, 수리 비용에 이자율을 적용하여 투자기간 동안 손익의 현재가치를 산출한다. 연구결과는 각 조직 별로 예산 제약과 투자대안 선정기준에 맞춰 최적 투자 포트폴리오를 선택하는데 활용될 수 있다.

Ⅰ. 서론

정보서비스의 이용이 민간 및 공공 부문 등 사회 전반에 널리 확산되고, 무선 네트워크의 이용과 인터넷 프로토콜에 기반한 서비스가 보편화되면서, 해킹, 바이러스 등의 전통적인 정보보호 침해(information security breach) 뿐만 아니라 피싱 등의 다양한 신종 정보보호 침해가 발생하고 있다〔1〕. 정보보호의 중요성에 대한 인식 수준은 높아지고 있지만 정보보호침해를 방지하기 위한 투자는 정보보호 인식 수준만큼 증가하고 있지 못하다. 정보보호에 대한 투자가 증가하지 않는 데에는 다양한 이유가 있겠지만, 정보보호침해로 인한 피 해 규모를 화폐가치로 측정하기가 어 렵다는 것이 주요 이유일 것이다.

정보보호 침해로 인해 발생하는 피해에 대해서는 2000년대 중반부터 다양한 연구가 수행되어 왔다. Gordon과 Loeb⑵은 정보보호의 목표인 기밀성. 무결성, 가용성의 상실로 발생하는 피해를 직접비용과 간접비용, 명시적비용과 잠재적비용으로 구분하여 파악하는 개념적 틀을 제시하였다_n 유진호 외〔3〕는 Gordon 과 Loeb⑵의 개념적 틀을 사용하여 2003 년 1월 25일 에 발생한 슬래머웜에 의한 인터넷침해사고의 피해 규모를 산출하였다. 양원석 오]〔4〕는 정보보호 침해로 인해 발생한 정보시스템의 하드웨어 대체 비용, 저장자료 복구비용. 트랜잭션 유실비용을 고려하여 최적 정보보호 투자 포트폴리오를 분석하였다.

일반적으로 바이러스나 해킹 등의 정보보호 위협은 정보통신시스템의 정상적인 기능을 방해하고 시스템의 성능을 악화시킨다. 분산서비스거부공격 (Distri­ buted Denial of Service Attack) 에 의해 특정 라우터에 트래픽이 집중되면, 해당 라우터는 정상적인 트래픽을 처리하지 못하므로 시스템의 성능이 저하되는 결과를 초래한다.

논 논문에서는 성능저하를 고려한 시스템 분석 모형을 이용하여 위협이 존재하는 정보시스템을 확률적으로 모형화하고 투자의 경제성을 분석한다. 시스템 성능 저하에 대한 확률적인 분석은 지난 20여년간 다양한 연구가 진행되어 왔다〔5-9〕. 본 논문에서는 Yeh〔7〕와 같이 시스템이 복수개의 상태로 구성되어있다고 가정한다. 시스템의 상태는 시스템 성능을 의미한다. 위협에 따라 정보시스템에 미치는 피해가 상이하므로 복수 개의 상태를 가정하는 것이 현실적이다. Yeh〔7〕에서는 시간 간격을 두고 시스템을 관찰할 수 있다고 하였다. 그러나 정보시스템에서는 시스템 통계를 전산적으로 처리하여 실시간으로 추출할 수 있으므로 본 논문에서는 실시간으로 시스템의 상태를 관리한다고 가정한다. 시스템의 고장을 방지하고 안정적으로 운영하기 위해 예방정비를 도입하였다. 시스템관리자는 시스템의 성능이 일정 상태 이하로 저하되는 경우 시스템을 수리한다. 정보시스템은 사용자들에게 일정 수준 이상의 성능을 제공해야 한다. 따라서 대부분의 경우 시스템 고장 전에 시스템을 수리하는 것이 바람직하다.

본 논문에서는 보안 위협 발생률에 따른 포트폴리오 별 작업처리율 및 평균 수리횟수를 확률적으로 분석하고 투자기간 동안 발생한 매출액과 수리비용을 제시한다’ 작업처리율에 따른 매출액, 포트폴리오별 보안시스템 구축 투자비, 수리 비용에 이자율을 적용하여 투자기간 동안 손익의 현재가치를 산출한다. 마지막으로 모수 추정방안 및 다양한 수치 예를 제시한다.

Ⅱ. 모형

시스템은 가동 능력에 따라 0丄…, 0의 상태로 구분된다. 상태 k에서 서비스 시간은 비율이 인 지수분포를 따른다. 시스템 상태 k가 증가할수록 시스템의 성능이 악화된다. 는 시스템 고장을 의미한다. 정의에 따라 i>j 이면, ft >1勺 이고 印 =0 이다.

보안 대책의 조합에 따라 M개의 보안 포트폴리오가 가능하다. m번째 포트폴리오를 月%이라 표기한다. PF。는 보안 대책이 없는 경우를 의미한다. PFm 에서는 비율이 인 포아송 과정에 따라 위협이 발생한다. „1 = 0, 1, ・“, 』/에 대해 小이 클수록 PFm의 보안체계가 우수하다고 가정한다. 즉, 에 대해, 3] 이匸" 위협은 弘의 확률로 시스템 상태를 k만큼 증가시킨다 化=】, ...). 위협에 의해 시스템 상태가 /3 이상이 되는 경우에는 시스템 상태를 Q로 간주한다. 시스템 관리자는 시스템의 고장을 막고 성능을 일정 수준 이상으로 유지하기 위해 시스템의 상태가 a 이상인 경우 시스템을 수리한다. 본 논문에서는 o를 수리 수준이라 부른다. 수리시간은 비율이 <5인 지수분포를 따른다. 시스템은 수리 중에도 작동한다고 가정한다. 수리 중에는 위협이 발생하지 않는다고 가정한다.

본 논문에서는 다음의 매출 및 비용을 가정한다. 첫째, 매출은 정보시스템에 의해서만 발생하고, 서비스 건당 P만큼의 매출이 발생한다. 둘째, PFm의 보안시스템 구축 투자비 %이 발생한다. m이 클수록 PFm의보안체계가 우수하므로 에 대해 q >Cj 라 가정한다. 투자비는 보안시스템 구축 초기에 1회 발생한다. 셋째, 시스템 수리 건당 % 로 수리비용이 발생한다. 단위 회계기간을, 로 표기한다. 단위 회계기간 동안이자율을 0로 표기한다.

본 논문에서 이용하는 기호를 정리하면 다음과 같다.

. 0, 1, -, /? : 시스템 상태,

. 片 : 상태 k에서 서비스 율, fc=o, i,

. M : 포트폴리오 개수,

. PFm : m번째 포트폴리오, m =

.% : PFm에서 위협 도착률. m =

. % : 위협 도착 시 시스템 상태 악화 확률,

. a : 수리수준,

. d : 수리 유

. p ■- 서비스 건당 매출,

. C” : PFm 보안시스템 구축 투자비, m —0, Af,

. % : 건당 수리비용,

. T : 단위 회계기간,

. 0 : 단위 회계기간 동안 이자율,

. p : 시스템 작동을 위한 최저 서비스 율.

. 硃 : 시스템 상태가 k일 확률, fc = O, l)

■■, /?, . %: PFm에서 작업처리율,

. P(m, a, y) : PFm, 수리수준 a, y년 경과된 시점

Ⅲ. 경제성분석

PFm에서 시스템 상태에 대한 전이율(transition rate) 행렬。는 다음과 같이 표현된다.

#(1)

여기서 9k= S 9m 이다. 시스템 상태가 k일 확률 m = k

을 听라 하자. 그리고 叮의 확률벡터를 ” = (%, ..., %) 라 정의한다. 식 (1)을 전이율 행렬로 갖는 마코프체인에 대해 다음 관계가 성립한다 〔10〕.

#(2)

#(3)

여기서 e는 크기가 /3+1이고 모든 원소가 1인 열벡터이다. 식 (3)은 확률 분포의 합이 1이라는 정규화 (normalization) 조건이다. 식 (2)에서 다음의 상태방정식을 얻는다.

#

먼저, %를 아래와 같이 정의하자.

#

여기에서 % = 1이다. 상태방정식을 순차적으로 풀면 다음을 얻는다.

#(4)

#(5)

식 (3卜(5)를 이용하면 다음을 얻는다

#

FFm에서 작업처리율을 虬이라 표기하자. 작업처리율은 서비스를 완료하고 시스템을 떠나는 단위 시간당 작업 수이므로 다음을 얻는다.

#(6)

식 (6)을 이용하면, PFm에서 기간, 동안 발생하는 매출액은 아래와 같다.

#(7)

이제 시스템 상태가 a 이상인 경우에는 다른 상태로 전이하지 않는다고 가정한다. 그리고 a 이상의 상태를 F 라 표기하자. 이 경우 PFm 에서 상태 0, 1, “心-1, 歹 에 대한 전이율 행렬。는 다음과 같다.

#(8)

.PFm에서 시스템 상태 0에서 a 이상이 되어 수리를 시작할 때까지 기간을 儿이라 흐]자. 4은 식 ⑻의 Q 를 전이율 행렬로 갖는 흡수 마코프체인의 흡수 시간과 동일하다. 흡수 마코프체인의 결과를 이용하면 다음을 얻는다.

#(9)

여기서 e는 크기가 a이고 모든 원소가 1인 열벡터이다. %는 마코프체인의 초기조건을 의미하며 % 의원 소는 다음과 같다.

#(10)

평균 수리시간이 \惜 이므로 평균적으로 £KJ + l/<5 기간에 한 번씩 시스템을 수리한다. 따라서 尸品에서 T 동안 평균 수리비용은 다음과 같다.

FFn과 수리수준 a에서 y 년 경과된 시점에서의라 흐M. 포트폴리오 구축 투손익의 현가를 자비는 시간 0에서 발생한다. 반면, 매출과 수리 비용은 시간에 따라 발생하는 변동비 이다. 투자기간 V 동안의 이자율이 0이므로, 식 (7), (10)을 이용하면 POnqg)은 다음과 같다.

#(11)

Ⅳ. 모수추정방안 및 수치 예

시스템이 상태 k에서 운영된 총 시간을 tk, tk 동안 완료된 서비스 개수를 Sk, PFm에서 시간 t 까지 발생한 위협 개수를 vm, 그리고 i 번째 시스템 수리시간을 Ti 라 표기한다. 여기에서 k = 0, l, --, /3, m = 0, l, --, Af,i = l, 2, -.. 서비스 시간, 위협 발생 간격, 수리 시간이 지수 분포를 따르므로 시스템 모수를 다음과 같이 추정할 수 있다〔11.12〕.

#(12)

이때 tk 및 £는 충분히 크다고 가정한다. 朋가 현재 보안수준인 경우에는 식 (12)를 이용하여 시스템에서 3。를 산출한다. 반면’ m > 1인 경우에는 P 瓦 n을 적용한 기업 및 공공기관의 위협 발생률을 벤치마킹하여 赤를 산정한다.

마지막으로 시스템의 모수가 식 (12)를 통해 추정되었다는 가정 하에 경제성 분석 예제를 제시한다. 어떤 기업의 정보시스템 서비스 율이〔표 1〕과 같다고 가정한다.

(표 1) 시스템 서비스 율

정보보호 포트폴리오 구성에 따른 위협 발생률 추정치 및 투자비를〔표 2〕와 같이 가정한다.

(표 2) 포트폴리오 별 위협 발생률 및 투자비

다양한 종류의 위협이 발생하므로 이에 따른 불확실성을 고려하여 위협의 크기 확률 %이 식 (13) 과같은 기하분포를 따르고 g = 0.5이라 가정한다.

#(13)

매출 및 비용은 다음과 같다. 서비스 당 매출 P는 월 1천 만원, 평균 수리기간 1/5는 12시간. 건당 수리 비용 %은 2천만원이라 가정한다. 모수는 시간 단위로 환산하여 분석한다. 단위 회계기간 7는 1년, 이자율 0는 10%이다. 투자분석은 최대 7년으로 하였다.

식 (6)을 이용하여 포트폴리오 및 수리수준 a 에 따른 작업처리율 吗를 계산하면〔표 3〕을 얻는다.

(표 3) 작업처리율

작업처리율 기준이 p>16라 하자.〔표 3〕에서 모든 포트폴리오에 대해 수리수준이 4와 5인 경우는 작업처리율 기준을 만족하지 않으므로 현재가치 분석 대상에서 제외한다.

식 (11)을 이용하여 포트폴리오 0, 1, 2. 3의 손익의 누적 현재가치를 산출하면〔표 4〕를 얻는다. 예를 들어 , 포트폴리오 0에서 수리수준이 1인 경우. 2년 동안 발생한 손익을 현재가치로 환산하면 19.6억 원이 된다.

(표 4) 손익의 누적 현재가치

각 포트폴리오에 대해 PF0에서는 수리수준 2, PF1 에서 PF3까지는 수리수준 1의 누적 현재 가치가 가장 크다. 손익을 최대화하는 최적 수리수준은 포트폴리오에 따라 변화함을 알 수 있다.

포트폴리오가 X이고 수리수준이 y인 경우를 PFx-y로 표기한다.〔표 4〕에서 포트폴리오 별 최적 수리 수준에 대한 누적 현재가치를 도시하면〔그림 1] 과 같다.〔그림 1〕에서 3년차까지는 PF0, 4년 차부터는 PF3의 누적 현재가치가 가장 크다.

(그림 1) 포트폴리오 별 누적 현재가치

보안 포트폴리오에 대한 투자의사결정은 기업의 경영 여건 및 투자성향에 영향을 받는다. 아울러 , 보안 투자에 대한 의사결정 권한이 CFO(Chief Financial Officer)에게 있는 경우, 정보보호 투자에 따른 현금흐름 분석이 중요하다. 정보보호 투자가 기업 경영에 미치는 영향을 화폐가치로 환산하지 않으면 CFO는 여러 가지 투자대안 중에서 최적의 대안을 선택하기 어렵다. 특히. 투자기간이 변동될 수 있는 경우-를 고려한 의사결정시에는 이러한 어려움이 가중된다.

〔그.림 1〕에서 보안투자가 없는 PF0와 보안투자가 있는 PF3고]■ 비교해보자. 2년까지는 누적 현재가치를 비교하면 PF'S PF3보다 10억 정도 이득이다. 기업이 단기적인 투자의사결정을 한다면〔그림 1〕을 보면 PF0-2가 가장 최적이다. 시장 및 경영여건상 현재 시스템을 한시적으로 운영한다면 보안투자 없이 유지보수를 자주하지 않는 것이 단기적으로 이득이다. 한편, 7년차까지 누적 현재가치를 비교하면 PF3가 PF0 보다 20억원 정도 이익이다. 중장기적인 관점에서 투자의사 결정을 내린다면 PF3T이 최적이다. 보안 투자를 하고 유지보수도 필요하다. 한편, 기업에서 보안투자의 필요성을 인식하여 장기적인 관점에서 보안 투자를 계획하고 있으나 단기적인 자금 압박 때문에 투자비를 낮추려고 한다고 가정해보자. 이 경우에는 PF3보다 누적 현재가치가 조금 작은 PF2 투자를 대안으로 제시할 수 있다. 따라서 본 논문에서 제시한 방법을 이용하면. 기업이 경영여건을 고려하여 장단기적인 관점에서 보안투자 의사결정을 내릴 수 있다.

Ⅴ. 결론

본 논문에서는 정보보호 침해에 의해 정보시스템의 작업처리율이 저하되는 경우, 정보보호 침해에 대비하기 위한 다양한 보안대안들로 구성되는 포트폴리오의 경제성을 평가할 수 있는 수리적인 모형을 제시하였다. 양원석 외〔4〕에서는 정보시스템의 하드웨어 대체 비용, 저장자료 복구비용, 트랜잭션 유실비용 등 정보보호 침해로 인해 발생한 물리적 피해를 고려한 최적 정보보호 투자 포트폴리오 선정을 위해 확률적 모델을 제시하였다. 정보보호 침해로 인한 피해를 물리적인 손실’ 영업적인 손실, 법적 보상으로 인한 손실로 구분한다면. 양원석 외〔4〕에서는 물리적이고 가시적인 손실 부분만을 고려한 경우의 최적 투자 포트폴리오를 선정하기 위한 연구이다. 영업적인 손실 중에서 시스템 비정상 작동으로 인한 시스템 가동률 저하, 업무 지장 등은 쉽게 피해규모를 파악하기가 어렵기 때문에 투자의사 결정에 고려되지 못하던 부분이다. 본 연구에서는 정보보호 침해로 인해 정보시스템의 작업처리율이 저하되는 등의 업무상 피해를 입을 수 있는 상황을 고려하여 최적 투자 포트폴리오를 선정하는 모형을 제시하였다는 점에서, 양원석 외〔4〕의 연구에서 고려하지 못한 피해형태를 다룬 연구이다.

공희경 외〔13〕에서는 다기준의사결정방법인 AHP 를 이용하여 복수개의 정보보호투자대안 중에서 최적 대안을 선정하는 의사결정모형을 제시하였다. 고려된 투자 대안이 단일 기술들이고, 전문가의 주관적 의견을 취합 및 분석하여 최종결과를 도출하였다’ 본 연구에서는 침해사고가 발생하고 시스템에 성능저하라는 영향을 미치는 상황을 세분화하여 모델링 하였다는 점에서 공희경 외〔13)의 연구와는 차별화된 장점을 갖는다고 할 수 있다.

적청한 수준의 정보보호 투자가 이루어지기 위해서는 정보보호 투자의 효과, 정보보호 침해사고 발생으로 인한 손실 등에 대한 객관적인 분석. 궁극적으로는 재무적인 데이터로의 환산이 필요하다. 본 연구에서는 조직에서 고려하고 있는 정보보호 투자 포트폴리오에 대한 현가를 분석하고, 복수 포트폴리오간의 비교를 가능하게 할 수 있는 모형을 제시하고, 실제 적용 가능성을 수치 예를 이용하여 제시함으로써, 조직에서 정보보호 투자 의사결정시 참고자료로 활용할 수 있을 것이다’ 기업에서는 정보보호뿐만 아니라 서비스, 시스템 등의 다양한 분야에 대해 투자 여부, 규모, 시기 , 우선순위 등에 대한 종합적인 투자 전략이 필요하다. 이러한 투자 전략은 기업의 손익과 같은 경영 여건에 크게 영향을 받는다. 따라서 최적 투자 의사결정을 도줄하기 위해서는 재무적인 즉면에서 정보보호 투자에 대한 경제성 분석이 요구된다. 특히, 투자기간의 변동성을 고려하는 경우에는 투자기간에 따른 손익분석이 필요하다. 따라서 장단기의 다양한 투자에 대한 의사결정이 필요한 경우 본 연구결과가 유용하리라 기대한다.

본 연구에서는 정보보호 침해로 인해 생산성(작업처리율)이 저하되는 경우를 고려하여 보안 투자 포트폴리오의 평가 모형을 개발하고 수치 예를 보였다. 하지만, 보안 투자로 인한 생산성 저하 감소분, 정보시스템 수리비용 등 투자로 인해 발생하는 현실적인 현금 흐름을 반영하지 못해 보안 포트폴리오 투자 효과의 현가가 시간 경과에 따라 점증하는 등의 다소 비현실적인 점이 한계이다. 하지만’ 본 모형의 주된 목적은 복수개의 포트폴리오 간 비교를 하는 것이므로 연구 결과의 활용에 큰 장애가 되지는 않는다.

정보보호 투자를 준비하고 있는 조직들은 순현가의최대화를 투자기준으로 삼을 수도 있고. 회수 기간이 짧은 투자 대안을 선호할 수도 있고, 내부수익률 기준으로 투자대안을 선정할 수도 있고, 비용 대비 효과의 정도를 중요한 투자기준으로 사용할 수도 있다. 추후에는 정보보호 투자를 수행하는 조직의 다양한 여건을 반영할 수 있도록, 현실적인 현금 흐름 데이터와 다양한 투자기법을 적용하여 현실적인 투자의사결정에 도움을 줄 수 있는 모형에 대한 연구가 필요할 것이다. 또한, 물리적 손실. 생산성 손실 등의 직접적인 손실 이외에 법적 보상 등의침해사고 발생으로 인한 파생적인 피해를 고려하는 것도 향후에 유망한 연구주제가 될 수 있을 것이다. .