인터넷이 급속하게 확산되면서 그 동안 오프라인 환경에서만 가능하던 많은 일들을 사이버 상에서도 가능하게 해 준 반면에 해킹이나 바이러스 등 새로운 보안위협도 증가하게 되었다. 이제까지 국내기업이나 기관의 정보보호에 대한 투자는 기술적인 대응책 위주로 진행되어 왔으나 정보보호 관련 사고는 여전히 증가세를 보이고 있다. 이것은 기술적 대응만으로는 정보보호 관련 사고를 줄일 수 없다는 것을 나타내는 것이다. 최근 기업이나 조직에서는 산발적인 보안관리에서 종합적이고 체계적인 정보보호관리체계가 요구되고 있으며 이용자 보호 및 B2B, B2C간 전자상거래에 의한 상호 안전성, 신뢰성 등 사회적 요청과 전자정부 구현, 지식정보화 사회 기반 조성을 위한 국가적 요청 등 정보 보호관리에 관하여 제3자에 의한 독립적이고 객관적인 점검 및 평가를 통하여 적정 여부를 확인시켜주는 인증제도의 필요성이 대두되고 있다. 본 고에서는 국내외 정보보호관리체계 인증 제도의 동향 및 국내 실정에 맞는 바람직한 인 증제도 추진 방향과 향후 발전 방향에 대하여 살펴보고자 한다.

위험관리는 정보기술 보안관리의 초석이라고 할 정도로 매우 중요하고 비용효과적인 보안대책을 구현, 운영하기 위해서는 반드시 실행되어야 하는 과정이다. 특히 최근의 보안관리체계 인증에 대한 수요가 점증되면서 위험관리의 중요성이 대두되고 있다. 본 고에서는 위험관리 과정에 대한 표준문서의 내용을 요약 정리하였고 새로운 위험관리 기법의 발전방향인 시나리오 기반의 위험관리에 대해 소개하며 기존의 대표적인 위험분석 자동화 도구에 대한 비교분석을 수행하였다.

정보화의 급진전에 따라 역기능의 문제도 대폭적으로 증가되고 있는 추세 속에서 이를 극복하고정보화의 급진전에 따라 역기능의 문제도 대폭적으로 증가되고 있는 추세 속에서 이를 극복하고자 하는 노력이 국제적으로 활발하게 전개되고 있다. 보다 체계적이고 비용 효과성을 고려하여 미국, 유럽, 호주 등 많은 선진국가에서는 지난 수년동안 정보를 보호하는 기준이나 지침 등을 학계, 산업계, 연구기관, 정부기관과 공동 또는 자체적으로 개발하여 활용하고 있거나 활용 예정에 있다. 국내에서도 이러한 접근 방식의 중요성을 인식하고 정보통신망이용촉진및정보보호등에관한법률을 개정하여 정보보호관리체계에 대한 인증 제도를 2001년 7월 1일부터 시행하기에 이르렀다. 이에 따라 국내에서도 동 법에 근거하여 인증업무를 수행하게 될 한국정보보호센터에서 국내의 현실에 맞는 정보 보호관리기준 마련 작업을 1년여 동안 추진하여 왔으며, 각고의 노력을 기울이고 있는 상태이다. 이에 따라 본 고에서 는 정보보호관리체계에 대한 구체적인 소개와 더불어 각 국에서 노력을 기울이고 있는 정보보호 관리를 위해 마련하여 온 지침과 절차 및 기준 등의 내용을 소개하고, 각각이 가지고 있는 특성들을 프레임워크 수준에서 살펴보기로 하며, 제시하고 있는 통제사항들을 간략하게 비교함으로써 정보보호관리체계의 수립과 인증 제도의 효과성에 대하여 많은 관련자들의 인식을 제고하고자 한다. 그리고, 향후 정보보호관리체계 수립 및 인증제도의 도입과 운용이 활발하게 이루어지고 활성화될 경우를 미리 준 비하기 위하여 정보보호관리를 위한 성숙도의 측정에 대한 연구 방향을 나름대로 제시하고자 한다.

다양한 정보보안 평가 방법론들 중에서 BS7799는 정보시스템을 운영하는 조직 전반의 보안 상태를 평가하는데 유용한 방법론으로서, 여러 나라에서 활용하고 있으며 최근에는 국제표준으로 채택되었다. 본 고에서는 BS7799에서 제시하고 있는 보안통제 항목과 정보보안관리시스템의 구축 및 이의 객관적인 평가를 위한 인증 방법을 살펴본다. BS7799는 전자상거래를 수행하는 기업들 사이에 보안 수준에 대한 상호 신뢰를 확인하기 위한 방법으로 활용될 수 있으며, 최근에 제정된 정보통신기반보호법에서 요구하고 있는 취약성 평가에도 적용될 수 있을 것이다.

정보보호 컨설팅 영역은 최근 정보시스템 분야에서 맡은 관심을 끌고 있는 일중에 하나로 모든 영역에서의 정보시스템에 대한 의존도가 높아질수록 더욱 중요도를 더하게 될 것이다. 이 글에서는 먼저 1장에서 이러한 정보보호 컨설팅에 대한 필요성 및 개념에 대해서 간단히 설명하고 2장에서는 정보보호 컨설팅의 수행 내용에 대한 조금 더 구체적 인 정리를 해보았다. 3장에서는 이러한 수행 내용이 효과적으로 진행되기 위해서 필요한 방법론에 대해서 설명하였다. 또한 4장에서는 정보보호 컨설팅이 실제적으로 어떤 형태로 일어나는지에 대한 서비스별 소개를 하고 있다. 이러한 서비스 모델은 단지 예제일 뿐 모든 고객의 상황과 요구가 다양하므로 훨씬 많은 다양한 서비스 모델이 있을 것으로 생각된다.

최근 공개키 암호 시스템의 사용이 급증하면서 공개키의 무결성과 신뢰성 문제를 해결하고자 등장한 인증서기반의 공개키 기반 구조(PKI)와 관련된 다양한 응용프로토콜에 관한 연구가 활발히 진행되고 있다. 본 고에서는 PKI 응용프로토콜 중에서 PKI 개체들간의 인증서관련 메시지 교환 표준인 인증서 관리 프로토콜(Certificate Management Protocols) 을 분석하였다. CMP에 관련된 문서는 IETF에서 표준화한 RFC2510과 2001년 2월에 제안된 드래프트가 있는데, 본 고에 서는 RFC2510을 중점적으로 분석한 후, 드래프트에서 새로 제안된 부분을 추가하여 두 문서를 비교 분석하였다.

SC27의 WG2는 정보기술보안 그 자체에 대한 표준을 만드는 Working Group이다. SC27 소개는 한국통신정보보호학회지 제3권 제2호 (1993년 6월)를 참고하기 바라며, 본 고에서 소개하는 오슬로 회의(2001. 4) 이전에 개최된 21차 동경 회의(2000. 10)는 동 학회지 제11권 1호(2001년 2월)을 참고하면 본 고를 이해함에 있어 많은 도움이 될 것으로 사료된 다. 본 고에서는 지난 2001 4. 23(월)∼27(금) 노르웨이 오슬로에서 개최된 22차 회의에 다녀와서 보안기술 표준화에 관한 최신 정보를 이 분야의 관심이 있는 전문가들에게 전파하고자 각 과제별로 진행사항과 회의결과 및 회의 중 특기할 사항들을 정리하였다.

본 논문에서는 교육과정 개발의 일반적 방법론과 국내외 정보보호 교육과정 및 그 특징의 조사를 바탕으로 정보보호 교육을 위한 국내 여건에 최적화된 교과과정 모델을 제공하여, 각 대학의 학부 및 대학원 과정에서 정보보호 인력을 내실있게 양성할 수 있는 교과목등을 제시함으로 미래의 정보보호 산업 인력의 수요에 적극 대응할 수 있는 기본 적인 틀을 제공한다. 본 논문은 대학에서의 정보보호 교과과정 모델 제시를 그 주 목적으로 하고 있는 바, 현재의 교육법시행령등의 대학 교육 환경과 국내외 대학의 현실을 고려하여 국내에서는 최초로 학부 및 대학원 교과과정을 실 질적으로 적용 가능한 형태로 제시하고 있다.

디지털 컨텐츠의 지적 재산권 보호를 위한 디지털 워터마킹 기술이 많이 연구되어져 왔다. 핑거프린팅은 디지털 컨텐츠 지적 재산권 보호를 위한 또 다른 기술로서, 디지털 워터마킹에서는 컨텐츠 내부에 소유권자나 판매권자의 정보 가 삽입되는 반면에, 핑거프린팅에서는 구매자의 정보가 삽입이 된다. 따라서, 핑거프린팅을 이용하면 불법적으로 컨텐츠를 재분배한 구매자가 누구인지 밝혀낼 수 있기 때문에, 구매자들로 하여금 불법적인 재분배하려는 의욕을 저하 시킬 수 있다. 이러한 핑거프린팅 프로토콜 중에서 익명 핑거프린팅 프로토콜은 합법적인 구매자에 대해서는 익명성 을 보장해 주며, 불법적인 재분배자에 대해서만 신원을 밝혀낼 수 있도록 하는 프로토콜이다. 이 논문에서는 현재까지 연구된 익명 핑거프린팅 프로토콜에 대해서 비교 분석하고, 익명 평거프린팅 프로토콜에서 충족되어야 하는 요구사항 들을 살펴본다.