• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 춘계학술발표대회
• /
• pp.1125-1128
• /
• 2007

보안 취약성이 끊임없이 보고되고 있다. 이는 보안솔루션의 초기 효과수준을 유지하기 위해서는, 새로운 취약성이 보고되면 즉시 대처하는 지속적 관리활동이 필요함을 뜻한다. 한편 기업성과 개선을 위한 IT투자성과관리가 강조되는 가운데, 정보보호 솔루션 도입 시 재무적 타당성 증명이 요구되고 있다. 이를 위해 여러 형태의 ROSI(Security ROI)가 제시되었으나, 지속적 보호활동에 따른 관리비용이 중요하게 다루어져야 함에도 불구하고 비용에 대한 고려가 적고 효과산정에만 치우쳐, 경영자의 의사 결정을 지원하는 실제적인 재무 성과지표로 활용될 수 없었다. 이에 본 논문은 조직수준의 비용효과 최적화를 추구하는 정보보호 관리체계에 기반을 두어 효과를 산정하고, 비용 산정은 지속적 관리활동이라는 특징을 반영하여 TCO에 기반을 둔 개선된 ROSI를 제안한다. 또한, 제안한 ROSI를 활용한 보안솔루션 평가사례를 제시한다. 증명이 어려운 정보보호 분야 투자타당성 증명은 물론 보안솔루션 선택 시 실제적인 의사결정 판단근거로서 활용될 수 있다.

• 정보보호학회지
• /
• 제32권4호
• /
• pp.33-40
• /
• 2022

최근 전 세계가 COVID-19 팬데믹을 겪으면서 실세계 속 사회 및 문화 활동이 온라인 등 비대면으로 옮겨지며 비대면 사회활동 및 가치 창출을 위한 메타버스 플랫폼들이 생겨나기 시작하고 이들의 사회적 파급력 및 가치가 높아지고 있다. 메타버스 플랫폼에서 수행되는 사회 및 문화 활동의 가치가 높아짐에 따라 메타버스 플랫폼은 해커에게 '저비용 고효율'적인 공격 대상이 되어 메타버스의 안전성 및 보안성 이슈가 화두가 되고 있다. 본 논문에서는 메타버스 플랫폼을 대표하는 'ZEPETO^TM', 'Roblox^TM', '어스2^TM' 등의 메타버스 플랫폼에서 발생한 보안사고의 공격 지점 및 연관된 공격 체인을 조사하고 메타버스를 구성하고 있는 핵심 시스템 요소에 대한 위협벡터를 도출하였다. 본 연구 수행에서 활용한 방법론은 메타버스 플랫폼뿐만 아니라 신규 소프트웨어 기반 플랫폼이 출시될 때의 위협벡터를 도출하고 그에 따른 보안대책 수립을 위한 활용으로 사용될 수 있다.

• 융합보안논문지
• /
• 제9권4호
• /
• pp.55-62
• /
• 2009

산업보안은 보안의 영역별 요소(물리적 보안도구, IT보안 도구, 융합보안도구)를 활용하여 기업의 산업자산을 보호하는 관리활동들로서 Hardware적 요소(보안을 위한 도구)의 운용은 물론 이를 활용하기 위한 Software적 측면(정책 및 전략수립, 유지운영, 사후 대응조치 등)을 포괄하는 개념으로 이해할 수 있다. 본 논문에서는 산업보안에 대한 정의와 관련 개념, 우리나라의 산업보안 관련 기관들의 역할과 관련 법규, 관리체계 및 실태 등을 살펴보고, 이에 따른 문제점을 파악하여 개선방안을 제시하려 한다. 아울러 우리나라 기업들이 효과적인 산업보안활동을 통하여 국가경쟁력을 제고하고 21세기 산업보안 선진국으로 진입하기 위한 향후 정책방향과 시사점을 제안하고자 한다.

• 융합보안논문지
• /
• 제21권3호
• /
• pp.39-47
• /
• 2021

효율적인 보안관제센터 운영을 위해서는 보안관제 대시보드의 표준화가 반드시 필요하다. 보안관제 대시보드는 24시간 365일 내내 함께 생활해야 하는 보안관제근무자들에게 많이 활용되도록 구성해야 한다. 또한 보안관제센터의 업무활동을 종합적으로 표출할 수 있어야 한다. 추가적으로 보안관제센터의 업무활동들을 쉽게 설명할 수 있어야 할 것이다. 이에 본 논문에서 사례기관에 실제 적용한 봉쇄·탐지·대응 기반의 보안관제 대시보드 디자인을 설명하고자 한다. 이를 통해 불필요한 귀빈 맞춤형 대시보드 구성작업에 대한 노력과 시간을 줄이고 보안관제센터의 효율적인 운영에 이바지하고자 한다.

• 정보보호학회지
• /
• 제26권3호
• /
• pp.45-49
• /
• 2016

게임은 독자적인 하나의 가상 세계를 구성하며, 이에 따라 게임을 서비스하는 기업은 별도의 사법체계에 가까운 정보보호 및 보안 체계 및 인력을 유지하는 경우도 많다. 여기에서는 이러한 기업이 가지고 있는 권한을 활용하여 정보보호를 강화하는 방법에 대해 경제이론에 기반하여 사례를 간략하게 분석하였다. 가상 세계에서의 불법적 활동은 개인의 효용극대화라는 경제이론으로도 설명이 가능하며, 이를 볼 때 불법적 활동의 감소는 기대되는 수익의 감소 및 처벌 규모 및 발각확률 상승으로 인한 기대되는 비용의 증가를 통해 정책적으로 대처가 가능하다. 이를 위해 다양한 기술적/보안조직 등에 대한 연구 및 방법론들이 개발되어 있지만, 이를 통하지 않더라도 게임 내 규칙을 변경하거나, 정책적 방향을 통해서도 유사한 효과를 얻을 수 있다. 여기에서는 간략하게 (1) 불법적 이득을 감소시키는 정책 (2) 불법적 활동의 발각확률을 올리는 정책 (3) 불법적 활동에 대한 처벌에 대한 정책이라는 세 가지 측면에서 검토하였으며, 그동안 게임사에서 시도되었고 효과적이었다고 인지되는 여러 사례를 소개하고자 하였다.

• 인터넷정보학회논문지
• /
• 제17권4호
• /
• pp.79-86
• /
• 2016

2012년 시행된 소프트웨어 개발보안 제도에 힘입어 시큐어코딩은 개발자들에게 정보시스템 구축시 보안성을 향상시킬 수 있는 기법으로 인식되고 있다. 제도의 확산에도 불구하고 지속적인 보안성 향상에 대한 관리는 개발보안 제도에서 간과된 부분이기도 하다. 본 논문은 품질관리 시각에서 보안성과 관련한 시큐어코딩의 특징을 조명한다. 또한, 보안 메트릭의 제시를 통해 구현과 유지 보수 활동을 자연스럽게 연계시키는 방법과 보안 메트릭을 활용하는 방법을 제안함으로써 소스코드의 관리에 도움을 주고자 한다.

• 정보보호학회지
• /
• 제22권2호
• /
• pp.15-22
• /
• 2012

스마트 그리드는 전력인프라와 정보통신기술이 접목되어 실시간으로 전력공급자와 소비자가 정보를 교환함으로써 전력 사용 및 관리를 최적화하는 기술로, 전 국민의 일상생활과 밀접한 관계를 가지기 때문에 보안 문제 발생 시 심각한 문제를 초래할 수 있다. 우리나라를 비롯하여 미국, 유럽, 일본 등 전 세계 주요 국가들의 스마트 그리드 구축사업이 한창인 지금, 보안에 대한 중요성을 인식하고 스마트 그리드 전 영역에 대한 보안 대책 마련이 필요하다. 이와 관련하여 NIST, IEC, ITU-T 등의 국내외 표준화 기구 및 단체에서 스마트 그리드 보안 표준화의 필요성을 인식하고 표준화 로드맵을 개발하는 등 다양한 표준화 활동을 추진하고 있다. 이에 본 고에서는 스마트 그리드 보안을 위한 국내외 표준화 기구 및 단체들의 표준화 활동 동향에 대한 정보를 제공하고자 한다.

• 정보보호학회지
• /
• 제24권6호
• /
• pp.21-24
• /
• 2014

클라우드 컴퓨팅은 인터넷 기술을 활용하여 IT 자원을 서비스로 제공하는 것으로 IT 자원(SW, 스토리지, 서버, 네트워크)을 필요한 만큼 빌려서 사용하고, 서비스 부하에 따라서 실시간 확장성을 지원받으며, 사용한 만큼의 비용을 지불하는 컴퓨팅 특성을 가지고 있다. 이러한 클라우드 컴퓨팅 서비스의 영역이 점차 확대되고 있으며 이를 제공하는 회사 및 사용자들도 증가하는 추세에 있어, 클라우드 서비스와 관련된 보안 및 표준화 활동의 중요성이 더욱 커지고 있다. 본 논문에서는 클라우드 보안 표준과 관련하여 ITU-T SG 17 및 ISO/IEC JTC1/SC27에서 추진 중인 국제 표준화 동향과 클라우드 보안 관련 기구들의 활동 그리고 국내 클라우드 보안 표준화에 대해서 살펴보았다. 또한 속성정보 기반의 인증 프로토콜(X.eaaa: Enhanced entity authentication based on aggregated attributes)에 대해서 정리하였다. X.eaaa는 인터넷 서비스에 강화된 인증을 제공할 수 있을 뿐만 아니라 다양한 클라우드 서비스에도 적용이 가능한 기술로 추후 클라우드 보안 기술에 속성정보 기반의 인증 프로토콜을 적용하는 방안에 대한 연구가 필요하다.

• 정보보호뉴스
• /
• 통권125호
• /
• pp.19-21
• /
• 2008

기업이나 기관의 네트워크, 시스템에 침해사고 발생 시 신속한 대응과 예방활동을 펼치는 조직을 CERT(Computer Emergency Response Team)라고 한다. 국내 기업들 가운데 정보보호의 중요성을 깨닫고, IT 자산 보호의 일환으로 적지 않은 기업이 정보보호팀을 운영하고 있지만, 정작 CERT라는 이름을 내걸고 보안활동을 펼치는 기업은 그리 많지 않다. 그런 의미에서 지난해 개최된 정보보호대상에서 우수상을 차지한 현대정보기술은 국내에서 CERT라는 이름을 가진 몇 안 되는 기업 중 하나다.

• 한국항해항만학회지
• /
• 제43권3호
• /
• pp.179-185
• /
• 2019

현재 항만물류보안과 관련한 노력이 활발하게 일어나고 있지만 항만정보기술과 관련된 보안에 대해서는 인식과 교육, 제도 등이 부족한 상황이다. 상호인증 협약 수립을 통해 항만물류보안 정보를 실시간으로 교환 할 수 있는 통합 네트워크를 구축할 필요성이 있다. 항만경쟁력 확보 및 물류 서비스 강화를 목적으로 물류보안을 위한 국가 전략수립이 중요하다. 무엇보다 시급히 필요한 것은 항만물류조직구성원 들의 보안의식을 높이고 항만물류조직의 중요한 특성인 정보 보안 능력을 향상시키는 것이다. 따라서 본 연구는 항만물류조직구성원들의 정보보안능력에 영향을 미치는 요인을 분석하였다. 분석결과 보안규범이 보안인식에 영향을 미친다는 가설은 기각되었지만 보안활동과 보안인식 간의 관련성은 유의한 것으로 나타났다. 또한 보안규범과 보안능력 간의 관계, 보안인식과 보안능력 간의 관계에도 긍정적인 영향을 미치는 결과로 나타났다.