Estimating Information Security Risk-Using Fuzzy Number Compromising Quantitative and Qualitative Methods

There have been two methods of estimating computer related security risk such as qualitative and quantitative methods which have distinctive advantages or disadvantages. The former is too narrative and somehow abstract to implement and the latter produces concrete result but needs lots of data, so that it is needed to develop a method overcoming such difficulties. It is advised to mix such two methods in a proper way depending on the conditions of a computer system. In this article, a concept of fuzzy number is employed on the way of mixing the two methods and provide a simple example using fuzzy numbers. Simulation was conducted for an assumed model system and it is demonstrated how to calculated expected and unexpected risk.

정보 자산 보안 위험 추정-정량적, 정성적 방법을 절충한 퍼지 숫자의 활용

정보 자산 보안 관련 위험을 추정함에 있어 정성적인 방법과 정량적인 방법이 사용되고 있으나, 두 가지 방법 나름대로 장단점을 갖고 있다. 지나치게 서술적이고 추상적인 정성적 방법과 구체적이지만 자료의 부족으로 인한 정확한 계산이 어려운 정량적 방법의 한계를 어느 정도 극복한 절충된 방법의 개발이 요구된다고 하겠다. 본 논문은 절충의 방법으로서 퍼지 숫자를 이용하는 방법을 제시하고 분석의 예를 보였다. 퍼지 숫자를 이용함으로 자료의 부족함을 전문자의 의견이나 가능한 자료로 대체할 수 있고 위험을 구체적인 수치로 추정할 수 있음을 확인하였다. 가상의 시스템에 대하여 다양한 위협을 가정하여 모의실험을 하였고 시스템에 대한 예상 위험과 비예상 위험을 예측하는 방법을 구현하였다.