A Study on Quantitative Method of Certificate for Information Security Education Course in the Private Sector

민간부문 정보보호 교육과정의 정량적 인증방법에 관한 연구

Abstract

The recent convergence in ICT industry has created new businesses as well as other opportunities. However, it entails new convergence threat accompanied by security risks. Even though there are security professionals who are dealing with the situation, there is not enough human resource in risk management. Moreover, the amount of research that studies quality of education and training security personnel is not sufficient. This paper explores the curriculum of information security education in the private sector and reasons out fifteen standard curriculums in four professional fields categorized by job classification. In addition, it provides a weighted score table based on the evaluation indicator for the effective security education certificates in the private sector.

최근 ICT 융합산업의 확산은 새로운 비즈니스 창출 등 많은 장점을 불러왔지만, 보안위험이 융복합적으로 발생하는 등 새로운 위협을 발생하고 있다. 한편, 이에 대한 대책 중 하나로 인력 중심의 보안관리가 제시되면서 현재 산업별 보안인력의 수요는 지속적으로 증가하고 있다. 하지만 보안인력 양성을 위한 교육 및 훈련에 대한 품질에 대해서는 연구가 미흡하다. 본 논문에서는 민간시장 정보보호 교육과정 현황을 조사하고, 정보보호 직무분류 등을 활용한 4개 전문분야 15개 표준 교육과정을 도출하였다. 또한 효율적인 민간분야 정보보호 교육인증을 위한 평가지표를 제시하고, 지표별 가중치에 따른 점수를 산정하였다.

I. 서론

2013년 3.20 및 6.25 사이버테러 이후 정보보호 전문인력 수요가 급증하고 있다. 미래창조과학부는 ‘정보보호산업 발전 종합대책’을 통해 2017년까지 최정예 정보보호 전문인력 5,000명 양성을 발표하고, 현재까지 지속적으로 양성하고 있다[1]. 또한, 2015년 제정한 정보보호산업의 진흥에 관한 법률(2015.12.23.)의 제15조(전문인력 양성) 등 법과 제도를 통해 ① 전문인력의 수요 실태 파악 및 중·장기 수급 전망 수립, ② 전문인력 양성기관의 지정, 설립·지원, ③ 전문인력 양성 교육프로그램의 개발 및 보급 지원, ④ 정보보호산업 관련 자격제도의 정착 및 전문인력 수급 지원, ⑤ 각급 학교 및 그 밖의 교육기관에서 시행하는 정보보호산업 관련 교육의 지원 등 국가 차원에서 체계적인 정보보호 전문인력 양성을 시행할 계획이다[2]. 최근 ICT 융합산업이 발전하고, 보안인력 수요가 전 산업으로 확산됨에 따라 민간교육 시장에서도 정보보호 교육에 대한 관심이 증가하고 있다. 그러나 현재 민간 교육기관을 통한 보안교육의 품질관리 연구는 진행된 바가 없으며, 그 결과 민간 교육기관 정보보호 교육은 기관별 단기 수요에 따른 개별적·산발적 교육이 운영되고 있어 기업체 등에서 교육 수료생의 객관적 역량 측정이 어려운 실정이다[3]. 향후 민간시장에서 정보보호 교육 개설은 계속적으로 증가할 것으로 예상되는데 이를 체계적으로 관리할 수 있는 시스템 부재는 검증되지 않은 교육과정의 난립현상을 초래할 수 있다. 본 논문에서는 국내외 민간시장 보안교육 현황을 살펴보고, 교육 프레임워크 등을 활용한 교육인증 분류체계를 도출하고자 한다. 또한, 분류체계를 활용한 향후 정보보호 교육과정의 정량적 인증방법을 제시한다.

II. 관련연구

현황 민간분야 교육과정의 경우 대학 등 정규교육과정과 비교할 때, 커리큘럼 수정주기가 최소 1년 이상이 소요 되는 정규 교육기관에 비해 최신 기술 수요에 민감하게 반응하는 장점을 가지고 있다. 또한 산업 맞춤형 인력양성을 목적으로 직무별 인력의 커리어패스에 따른 실무형 교육이 진행되는 것이 특징이다. 본 장에서는 민간분야 교육분류에 기초가 되는 정보보호 인력의 직무 분류 현황과 함께 국내외 정보보호 관련 교육인증에 대해 살펴보겠다.

2.1 국내외 정보보호 교육 프레임워크 구축현황

2.1.1 사이버보안 인력프레임워크

미국의 National Cybersecurity Workforce Framework[4]는 국가차원의 사이버보안 교육이니셔티브(National Initiative for Cybersecurity Education, NICE) 중 인력양성 역량을 집중하기 위하여 개발된 체계이다. National Cybersecurity Workforce Framework는 사이버보안과 관련된 업무 및 기술을 7개(‘Securely Provision’, ‘Operate and Maintain’, ‘Protect and Defend’, ‘Investigate’, ‘Collect and Operate’, ‘Analyze’ ‘Oversight and Development’) 카테고리별로 분류하고, 업무마다 요구역량을 명시함으로써 사이버 영역 전반을 포괄하는 범위에서 전문인재를 체계적으로 양성하는 것을 목표로 하고 있다. 초기에는 NIST 주관으로 개발되었지만 관계기관 뿐만 아니라 일반에 공개하여 의견을 수렴하면서 지속 업데이트하고 있다[5].

2.1.2 NIST SP 800-16(3rd Draft)

미국의 SP 800-16(A Role-Based Model for Federal Information Technology/Cyber security Traing, Revision 1(3rd Draft)는 National Cybersecurity Workforce Framework[4]가 민간분야를 대상으로 작성되었다는 점을 고려할 때, 이를 공공분야에 적용시키기 위해 1998년 최초 발간된 NIST SP 800-16를 업데이트하여 개발한 내용으로 설명할 수 있다. 분류내용은 National Cybersecurity Workforce Framework[4]와 유사하지만 공공분야 특화 직무에 대해서 언급되었다는 것이 특징이다. 분류는 ‘Securely Provision/Develop’, ‘Operate and Maintain’, ‘Assess/Evaluate’, ‘Respond /Investigate‘, ’Oversight, Management and Support’, ‘Continuous Monitoring’, ‘Contingency Planning’ 등으로 제시되어 있다[6].

2.1.3 한국의 정보보호 교육 프레임워크

국내 정보보호 전문분야 직무체계 개발은 2007년부터 본격적으로 시작되었다. 한국인터넷진흥원[7] 연구를 시작으로 김태성[8], 김정덕, 백태석[9], 한국산업인력공단[10] 등이 대표적이다. 또한, 최근에는 정보보호 직업과 관련하여 직업 분류에 한정한 내용이 아닌 각 직업별 역량 및 교육 로드맵 등을 분석하여 발표한 정보보호 진로 가이드북이 있다[11]. 가이드북 주요내용은 2013년 미래창조과학부와 한국인터넷진흥원[12]이 진행한 정보보호 직업별 요구역량 분석연구의 내용을 활용하여 구성하였으며, 주요 내용으로는 정보보호 산업 및 인력정의, 동향과 특징에 대한 설명과 정보보호 직업정의. 직업분류, 직업의 요구역량별 교육방법, 정부지원 교육정보 등으로 구성되어 있다. 특히 보안제품개발자, 침해사고대응 전문가, 디지털포렌식 전문가, 악성코드 분석 전문가, 보안컨설턴트, 보안관리자, 최고보안관리자 등 보안산업의 대표직업을 제시하고 각 역량을 분석하여 직업분야별 필요한 교과목을 직업별·수준별로 정리한 로드맵과 산업별 현장 전문가의 인터뷰 등을 제시한 것이 특징이다[13].

2.2 국내외 정보보호 관련 교육·인력 인증체계

2.2.1 국외 정보보호 교육·인력 인증체계

국외의 경우 보안인력에 대한 인력 프레임워크 및 직무체계 등을 바탕으로 교육기관 및 전문인력에 대한 기술역량 체계화에 많은 노력을 기울이고 있다[5]. 대표적으로 미국의 경우, 보안기술을 기반으로 한 컴퓨터 과학, 공학과 다학제간의 기술습득을 목표로 우수한 정보보호 관련학과 및 연구기관을 인증하는 CAE IA/CD 제도를 운영하고 있으며[14], 영국의 경우에도 사이버보안 전문가 직무를 국가차원에서 정의하고 각 직무별 갖추어야할 역량을 레벨화한 Certified Professionals를 개발하여 보급중에 있다. Certified Professionals는 직업별 요구되는 기술역량을 프레임워크로 통일시켜 수치로 표현하고 있어 특정업무에 필요한 인재를 찾거나 훈련시킬 때 직관적 기준을 제시가능한 것이 특징이다[15],[16].

2.2.2 한국의 교육·인력 인증체계 현황

국내의 대표적 교육인증 체계의 예로는 공학교육인증과 경영학 교육인증이 있으며, 정보보호 교육과 관련해서는 인증체계가 거의 갖추어져 있지 않다. 세부적으로 살펴보면 한국공학교육인증원(ABEEK)에서 운영중인 공학교육인증은 대학의 공학 및 관련 교육을 위한 교육 프로그램 기준과 지침을 제시하고 이를 통해 인증 및 자문을 시행함으로써 공학 교육의 발전을 촉진하고 실력을 갖춘 공학기술 인력을 배출하는데 기여하는데 목적을 두고 시행중에 있다[17]. 한국경영교육인증원(KABEA)에서 실시하고 있는 경영학 교육인증은 표준화된 국제수준의 기준과 절차에 따라 개발 교육기관이 자신들만의 차별화된 특성을 찾아내고 주어진 내외 환경에 적합한 고유의 경영학 교육모델을 개발해 나가도록 자문하는 역할을 목표로 운영중에 있다[18]. 두 인증 모두 인증대상은 4년제 대학교 관련전공 이며 각 6년(공학), 5년(경영학) 마다 갱신을 기본으로 운영되고 있다. 한편, 환경부의 환경교육인증과 같이 부처를 중심으로 관련 교육과 산업의 진흥을 위해서 국가/지방단체, 환경교육 관련단체·학교·개인 등을 대상으로 운영하는 교육인증도 있다[19]. 환경교육인증은 환경교육진흥법에 따라 환경교육 프로그램을 개발·운영하고 있거나 하고자 하는 자가 인증을 신청하면 프로그램의 우수성 안정성 등을 심사하여 인증하는 제도이다. 환경부가 사업운영을 총괄하여 환경 교육프로그램 인증심사위원회 구성 및 운영, 인증서 발급 등을 담당하고 환경 보전협회가 인증제 사업운영 및 인증프로그램 사후관리를 담당하여 운영하고 있다[20].

III. 민간분야 정보보호 교육인증 분류체계 도출

본 절에서는 정보보호 교육과정 인증시행을 위한 기초작업으로 표준 교과목을 도출하고 한국의 정보보호 직무의 특성을 반영한 교육과정 분류를 실시한다. 연구방법으로는 국내외 민간분야 정보보호 교육현황의 빈도분석을 실시하고 빈도분석 결과를 바탕으로 보안관련 직무 분야에 따른 정보보호 교육과정을 연계한다. 이때, 표준교육과정 분류체계는 국내외 정보보호 직무관련 문헌 등을 바탕으로 재구성하였다.

3.1 국내외 민간분야 보안교육 빈도분석

국내외 보안교육을 실시하는 민간교육기관 조사를 통해 민간분야 보안교육의 현황 및 방향성을 파악하고자 한다. 국내의 경우 2015년 한국인터넷진흥원의 정보보호백서를 기준으로 2015년 6월부터 9월까지 각 교육기관 홈페이지에 공개되어 있는 25개 교육기관 중 2015년 기준 강의가 개설되지 않은 2개기관을 제외한 23개 교육기관을 전수조사하였으며. 공공부문의 경우 한국인터넷진흥원(KISA) 사이버보안인재센터, 사이버안전훈련센터(CSTEC) 등의 교육과정에서 비 관련 과정 1개를 제외한 58개 교육과정을 조사하였다[21].

국외의 경우 미국은 SC Magazine[22]의 2015 SC Award U.S. 기준 5개 교육기관 중 상세정보가 확인 가능한 2개 기관(SANS[23], RSA[24])의 71과정을 중심으로 조사하였으며, 영국의 경우 GCHQ(Government Communications Headquart) 산하기관 CESG(Communications-Electronics Security Group)에서 인증된 15개 민간 교육기관 중 최종적으로 과목 상세정보를 제공하고 있는 4개 기관(Code45[25], SBL[26], QA LTD[27], Inforsec skills[28])의 54개 과정을 조사하였다. 일본은 보안캠프협의회에 소속된 기업을 대상으로 상세정보 확인이 가능한 6개기관(富士通株式会社(Fujitsu)[29], 日本電気株式会社(NEC)[30], 株式会社イーセクター(Asgent)[31], 株式会社エヌ・ティ・ティ・データ(NTT DATA)[32], 株式会社ラック(LAC)[33], 株式会社野村総合研究)[34]의 148과정을 조사하였다. 조사한 결과를 바탕으로 민간분야 교육은 산업 직무와 밀접한 연관이 있음을 고려하여, 선행연구 중 아래 3개 직업분류 체계와 국가직무능력표준(NCS) 중 보안엔지니어링 능력단위 바탕으로 국내 민간분야 보안교육의 현황의 빈도 분석을 실시하였다[35][36].

▪ National Cybersecurity Workforce Framework

▪ NIST SP 800-16(3rd Draft)

▪ 정보보호 분야 직무체계 개발

분석결과 National Cybersecurity Workforce Framework[4] 영역 중 ‘보호 및 방어’, NIST SP 800-16(3rd Draft)[6] 영역 중 ‘진단/평가’, 정보보호 분야 직무체계 7대 분야 중 ‘사고대응’, 국가직무능력표준(NCS)[36].의 10개 능력단위 중 ‘보안 위협 통제’ 관련 교육과정이 가장 많은 분포를 보이는 것으로 확인되었다.

3.2 인증체계 전문분야 및 교육과정 분류

3.2.1 분류 기준별 전문분야 통합

빈도분석에 활용한 직무분류체계는 상호 간의 유사한 영역들이 존재하므로, 인증을 위한 전문분야 분류를 위해서는 유사직무 간 통폐합이 필요하다. 특히, National Cybersecurity Workforce Framework[4]의 ‘보호 및 방어’, NIST SP 800-16(3rd Draft)[6]의 ‘대응/사후조사’ 영역, 정보보호 분야 직무체계 의 ‘평가 및 인증’ 영역은 여러분야가 포함될 만클 범위가 넓으며, National Cybersecurity Workforce Framework[4] ‘수집 및 운영’ 범주, 정보보호 전문분야 분류체계[7]의 ‘마케팅 및 영업’의 경우에는 현재 운영중인 교과목이 없어 분류되지 않았다. 최종적으로 교과목이 분류가 되지 않은 기준들과 중복되거나, 유사한 교육과정을 바탕으로 전문 분야는 Ⓐ 개발, Ⓑ 운영 및 유지, Ⓒ 진단 및 평가 Ⓓ 감독/관리지원 등 4개분야로 확정하였다.(fig 1)

Fig. 1. Professional field grouping and matching

Ⓐ에는 National Cybersecurity Workforce Framework[4]의 “안전한 기술 보급”, NIST SP 800-16(3rd Draft)[6]의 “안전한 기술 보급 및 개발”, 정보보호 직무체계[7]의 “연구 개발 및 구현”을 참고하여 구성하였으며 Ⓑ는 National Cybersecurity Workforce Framework[4] 의 “운영 및 유지”, NIST SP 800-16(3rd Draft)[6]의 “운영 및 관리”, 정보보호 직무체계[7] “관리 및 운영”을 참고하여 구성되었다. 가장 많은 분야를 포함하는 Ⓒ는 National Cybersecurity Workforce Framework[4]의 “보호 및 방어”, “조사”, “분석”을 참고하였으며, NIST SP 800-16(3rd Draft)[6]의 “진단/평가”, “대응/사후조사”, “지속적인 보안 관리”를 참고하였다. 또한, 정보보호 분야 직무체계[7]의 “평가 및 인증”, “사고 대응”을 참고하여 구성하였다. Ⓓ 는 각 기준의 감독관련 분야와 “비상계획”, “전략 및 기획”, “교육 및 훈련”을 참고하였다.(Table 1)

Table 1. Professional field classification

3.2.2 표준 교육과정명 도출

전문분야 분류기준에 따른 교육과정 매칭을 위해 분류기준에 활용한 정보보호 관련 직무체계와 국내외 정보보호 교육과정 빈도분석 등을 참고하여 19개 과정명을 도출하였다. 추가적으로 국내시장 적용을 위한 과정명 조정을 위하여 국내 민간교육기관 전수조사에 대하여 과정명을 기준으로 빈도 분석을 실시하였다,(Table 2) 그 결과, 19개 정보보호 교육과정 중 프로그래밍 · 위험관리 · 물리보안 등에 대해서는 2015년 기준 운영중인 교육 과정이 없는 것으로 확인되었다. 따라서, 최종 교육과정명은 4대 분야를 기준으로 표준 교육과정의 빈도분석 결과를 반영하여 15개로 분류하였다.

Table 2. Frequency of curriculum in the korea private sector

3.2.3 전문분야에 따른 표준교육과정 매칭

4대 전문분야를(Ⓐ 개발, Ⓑ 운영 및 유지, Ⓒ 진단 및 평가 Ⓓ 감독/관리 지원) 기준으로 교육과정 역량 등을 연계 분석하여 최종 15개 표준교육과정의 빈도분석 결과를 반영하여 매칭하였다.(Table 3)

Table 3. Standard curriculum classification

IV. 정보보호 교육과정 인증 평가지표 개발

본 절에서는 산업계와 민간 교육기관 간 질적 불일치 해소를 위해 정보보호 커리큘럼 인증분야 및 지표를 도출한다. 평가지표 배정을 위해 전문가 대상 AHP(Analytical Hierarchy Process) 설문조사를 실시하여 상위 평가영역 간, 하위 평가영역 간 가중치를 도출하고 영역별 점수를 산출하였으며, 평가지표에 대한 적용 가능성 검토를 위해 정보보호 관련 교육기관 수강생 등을 대상으로 교육 만족도와 교육 인증 영역별 상관관계 여부를 분석하였다.

4.1 정보보호 교육과정 인증분야 및 가중치 분석

4.1.1 정보보호 교육과정 인증운영 기준

본 논문에서 설명하는 ‘인증운영’의 범위는 ‘정보보호 교육과정에 관한 인증’ 이며 교육과정을 운영하는 기관에 대한 인증이 아니다. 따라서, 인증을 신청하는 기관의 제반사항에 대해서는 평가지표에 포함하지 않았으며, 교육과정 개발 및 운영과 관련된 사항에 대해서만 인증 평가지표로 구성하였다.

4.1.2 정보보호 교육과정 평가영역 가중치 분석

인증제도 운영을 위한 평가 영역은 유관분야 교육인증과 관련한 문헌연구 및 사례조사를 통해 인증모델에 필요한 4개 분야, 총 14개의 세부적인 평가요소로 구성하였다. 이때, 평가영역별 배점산정은 다기준의사결정방법론의 하나인 AHP (Analytical Hierarchy Process) 기반의 전문가 설문을 실시하였으며, 전문가 AHP 조사는 2015년 11월 1일~21일, 3주간 실시하였다.(설문지 총 23부 회수). 응답자는 정보보호 관련기업 종사자 1명, 정보보호 관련 연구자 2명, 정보보호 민간교육 담당자 2명, 정보보호와 관련된 업무를 수행하고 있는 공공분야 종사자 18명 등을 대상으로 구성하였다. 분석방법으로는 1차적으로 일관성 지수를 확인하여 일관성 지수가 낮은 응답결과를 제외한 나머지 15부의 응답결과를 기하평균을 이용하여 하나의 의견으로 통합하여 분석하였다.

한편, AHP(Analytical Hierarchy Process) 조사와 함께 평가지표에 대한 적용가능성 검토를 위해 정보보호 관련 교육기관 수강생 등을 대상으로 교육 만족도와 교육인증 영역별 상관관계 여부를 분석하였다. 설문지는 총 153부를 배포하였으며, 세부적인 분석결과는 다음과 같다.

분석결과, 평가 영역 모두 교육 만족도에 영향을 미치는 것으로 도출되었으며, 전체값을 기준으로 교육운영(38.7%), 강사인력(16.4%), 교육환경 (17.3%) 수강생 관리(27.6%) 으로 ‘교육운영 → 수강생 관리 → 교육환경 → 강사인력’ 순으로 나타난 것을 파악할 수 있었다. 해당 분석의 경우 하위 항목간의 가중치 분석에는 어려움이 있어 상위 평가항목을 비교를 통하여 수강생 측면에서의 해당영역별 평가요소 구성시 참고하였다.

Fig. 2. Stratification for Analytic Hierarchy Process

Table 4. Trainees Score in cach Evaluation Criteria

4.2 정보보호 교육인증 영역별 평가지표

평가지표 가중치 산정을 위한 AHP(Analytical Hierarchy Process) 설문분석을 바탕으로 정보보호 표준 커리큘럼 인증평가 정량적 지표를 도출하였다. 커리큘럼 인증대상은 ‘정보보호 관련 커리큘럼을 운영중인 민간 교육기관 및 기업’ 등으로, 전문분야별 커리큘럼을 운영하고 있음을 인증받기 위한 조건은 “4개 영역이 총 320점 이상(400점 만점, 평균 80점) 획득” 하면서 “1개 영역이 40% 미만의 점수를 획득할 경우 인증불가” 등으로 제시가능할 것이다.

또한, 상기 인증지표를 통한 정량적 심사와 함께, 국내외 교육 커리큘럼 인증 프로세스, 인증모델 등을 준용하여, 현장심사를 통한 정성지표(자체 활성방안, 기관 담당자 면담 등) 내용을 병행하여 평가하는 방안을 고려할 수 있다. 정성 지표를 포함한 전반적인 인증방법은 본 연구 이후 연구해야 할 중요한 과제가 될 것이다.

Table 5. Evaluation Criteria of Information Security education and Training

V. 결론

본 논문은 민간분야 정보보호 교육과정 인증을 위한 기초연구로, 국내외 민간분야 정보보호 교육현황 및 인증 등 관련제도 조사·분석을 바탕으로 민간분야 정보보호 교육과정의 정량적 인증방법을 설명하였다. 연구의 구성은 첫째, 민간시장 정보보호 교육 분류를 위해 국내외 정보보호 교육현황을 바탕으로 보안산업의 직무 등과 연계하여 4대 분야 15개 정보보호 표준 교육과정을 도출하였으며, 둘째, 국내외 교육과정의 인증관련 문헌연구, 사례조사를 바탕으로 민간 교육시장 정보보호 교육인증에 적용할 항목 등을 정의하고 산·학·연 관련 전문가를 대상으로 AHP(Analytical Hierarchy Process) 조사를 실시하여 영역별 배점을 산정하였다.

본 연구에서 개발된 인증지표는 현재까지 진행되고 있는 정보보호 교육과정에 대한 현황분석을 통한 결과이므로 향후에 급격하게 발전하는 모든 ICT 환경에 적용하기에는 한계가 존재할 것으로 생각된다. 따라서 현재 개발된 평가지표를 전문분야별 2~3개 교육기관을 대상으로 검증하고, 새롭게 필요한 교과과정들을 지속적으로 개발하여 지표의 시의성과 정확성을 개선할 필요가 있다. 정보보호 교육과정은 정보보호 전문가를 지향하는 학생 및 일반인이 초급·중급·고급·특급 기술자로 양성될 수 있는 교과목과 교육수준이 적절하게 제시되고 관리되어야 한다. 따라서, 단순히 교육과정을 수강하는 것으로 끝나지 않고, 객관적이고 공정한 방법을 통해 수강생의 성취도에 대한 평가와 인증도 필요하다.