• 한국사이버테러정보전학회:학술대회논문집
• /
• 한국사이버테러정보전학회 2004년도 제1회 춘계학술발표대회
• /
• pp.161-165
• /
• 2004

기업 네트워크 환경 및 인터넷 상에서 발생할 수 있는 보안상의 취약점들은 악의를 가진 내외부의 공격자들에게 악용될 가능성이 있다. 이러한 상황은 기업으로 하여금 정보 자산의 유출 및 파괴 등의 물리적인 피해와 더불어 복구를 위한 인력 및 시간의 소요 등 금전적인 손해를 야기시킨다. 이에 정확한 네트워크 보안 위험을 분석하여 이러한 피해의 가능성을 사전에 파악하고, 예방할 수 있는 방안을 마련하여 최대한의 보안성을 확보하여야 한다. 본 고는 이를 해결하기 위한 네트워크의 보안 수준을 측정하고 분석할 수 있는 방법론을 살펴보고, 적절한 평가 절차 및 평가 수행 방법, 점검 항목을 해외이 대표사례와 국내 업체의 위험 분석 방법론 관하여 살펴본다.

• 융합보안논문지
• /
• 제20권4호
• /
• pp.187-196
• /
• 2020

정보보호 위험평가를 위해 다양한 정보보호 수준 평가와 정보보호 관리체계 인증이 그 어느때보다도 대규모로 이루어지고 있다. 그러나 정보보호 수준평가 우수기업과 정보보호 관리체계 인증 우수기업에 대한 정보보호 침해 사례가 지속적으로 발생하고 있는 실정이다. 기존의 정보보호 위험평가 방법론은 사이버 위협이 어디로부터 유입되는지에 대한 검토와 각 유입경로 구간에 대한 보안장비들의 적절한 운영여부에 대한 검토 없이 정보시스템 내부의 정보자산들을 식별하여 위험도를 정성적으로 판단하여 분석하고 있는 실정이다. 현재의 위험평가 방안을 개선하기 위해서는 사이버 위협이 어디로부터 유입되는지 살펴보고 각 유입구간별 봉쇄수준을 향상시켜 불필요하게 유입되는 사이버 위협을 절대적으로 감소시킬 필요가 있다. 이와 더불어 현재의 위험평가 방법론에서 간과되고 있는 보안장비의 적절한 구성과 운영수준에 대한 측정과 향상이 반드시 필요하다. 사이버 위협의 출입구를 최대한 봉쇄하고 어쩔 수 없이 열려 있는 틈새를 통과해서 내부로 유입되는 사이버 위협을 각 보안장비를 동원하여 탐지하고 대응하는 것이 필요한 것이다. 이에 본 논문에서는 ISMS-P 인증항목과 주요정보통신기반시설 취약점 분석평가 항목에 사이버 위협에 대한 봉쇄수준을 평가할 수 있는 심사항목과 각 유입경로 구간에 대한 보안장비 구성 수준을 측정하는 심사항목을 추가 제안하고자 한다. 이를 통해 사이버 위협의 유입 자체를 감소시키고 사이버 침해사고의 가능성을 원천적으로 차단하는데 기여하고자 한다.

• 융합보안논문지
• /
• 제6권4호
• /
• pp.101-112
• /
• 2006

정보통신시스템에 대한 기술적 보안만으로는 안전한 정보통신시스템 운영을 보장할 수 없다. 따라서, 안전한 정보통신시스템 운영을 위한 정보보안관리시스템(ISMS)에 대한 연구와 표준화가 활발히 전개되고 있다 우리나라는 2005년 "국가사이버안전관리규정"을 제정하고, "국가사이버안전매뉴얼"의 "보안관리 기준"에 의하여 국가 공공기관이 자체적으로 "보안관리수준 평가"를 수행토록 함으로써 체계적인 정보보안관리 활동이 이루어지도록 하고 있다. 본 논문은 관련 표준들과 호주, 미국의 보안관리 체계에 대하여 조사하고, "보안관리수준 평가" 체계를 효율적인 보안관리 측면에서 분석하고, 이를 통하여 "보안관리수준 평가"의 개선방향에 대하여 연구하였다. 기존의 체계에 추가항목(A/C ; Additional Control), 선택적 보안관리 기준(Selective Controls)구성을 도입하고 평가 준비 절차의 개선을 통하여 각 기관에 최적화된 보안관리 기준을 작성할 수 있도록 함으로써, 기관에 적합한 효율적 보안관리의 수행이 가능하고, 급변하는 정보통신 환경에 유연하게 대응할 수 있도록 하였다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2002년도 종합학술발표회논문집
• /
• pp.317-321
• /
• 2002

최근 Firewall, IDS와 같은 응용프로그램 수준의 보안 제품은 내부서버 자체의 취약성을 방어하지 못한다. 본 논문에서는 TCSEC C2급에 해당하는 보안성을 가지는 리눅스를 LKM(Loadable Kernel Module) 방법으로 B1급 수준의 다중등급 보안을 구현하였다, 따라서 구현된 다중등급 보안 리눅스 커널의 주요 기능을 기술하고, 시험 평가로서 강제적 접근제어, 성능 및 해킹 시험을 실시하였다. 구현된 보안 커널 기반의 리눅스 운영체제는 B1급의 요구사항을 만족하며, root의 권한 제한, DB를 이용한 실시간 감사추적, 해킹차단, 통합보안관리등의 추가적 기능을 제공한다.

• 한국항해항만학회:학술대회논문집
• /
• 한국항해항만학회 2018년도 추계학술대회
• /
• pp.355-356
• /
• 2018

본 연구에서는 국내 항만보안 효율성을 측정하기 위한 사전연구로 항만보안에 있어서 중요 평가항목을 선정하고 평가하는데 목적이 있다. 이를 위해 문헌조사 및 관계자들의 인터뷰를 통해 평가항목을 선정하였고, 이들 항목을 4개의 대분류와 12개의 중분류로 분류하였다. 다음으로 해양수산부 공무원, 항만공사 직원, 학계 관계자들로 구성된 전문가들의 설문조사를 통해 평가항목에 대하여 AHP 기법을 이용하여 중요도를 산출하였다. 상위 수준의 중요도 산출결과, 해양수산부 공무원 그룹과 항만공사 직원 그룹은 시설 지원 항목의 중요도가 높았으며 학계 관계자 그룹의 경우 인력예산 지원 항목의 중요도가 높았다. 하위 수준 항목의 종합중요도 분석 결과, 해양수산부 공무원 그룹과 항만공사 직원 그룹에서는 항만 내 통합시스템 구축 및 유관기관 간의 협조를 통한 운영시스템 강화의 순위가 가장 높았으나, 학계 관계자 그룹의 경우 보안인력들의 처우개선이 가장 높은 순위로 나타났다.

• 융합보안논문지
• /
• 제12권4호
• /
• pp.25-31
• /
• 2012

정보보호수준 검증방법은 프로세스를 중심으로 정보보호 제품, 시스템, 서비스를 개발하려는 조직의 개발능력을 평가하는 SSE-CMM(System Security Engineering-Capability Maturity Model)모델이 있다. CMM은 소프트웨어 개발업자의 개발능력을 평가하고 개선시키며 조직 전체의 성숙도 수준을 측정하는 모델이다. 그러나 이 방법은 보안엔지니어링 프로세스의 개선과 능력을 평가하는데 조직차원이 아닌 개별 프로세스의 능력수준 평가에 그치고 있다. 본 연구과제에서는 이들 기존연구를 근간으로 기술적 관점에서 정보보호수준 성숙단계를 정의하고자 한다. 연구방법은 정보보호취약점 진단, 기술보안체계 검증, 기술보안 이행실태 진단으로 구성한다. 제안하는 방법론은 업무현장에서의 범위와 수준에서 정보시스템의 현재 상태, 취약점 실태, 정보보호 기능 이행과 기능만족도 수준을 평가한다. 제안된 방법에 의한 평가결과는 정보보호 개선대책 권고모델 수립 근거로 활용하여 정보보호 개선의 활용을 목표로 하고 있다.

• 정보보호학회지
• /
• 제23권5호
• /
• pp.9-11
• /
• 2013

국가 정보보안 정책 이행실태 확인을 통해 각급기관이 체계적으로 정보보안 업무를 수행토록 지원하고 국가 공공기관 종사자의 보안의식을 함양함으로써 각급기관 정보보안 수준 제고 및 국가 사이버안전 확보한다. 공공기관을 감독하는 주무 행정기관에 공공기관 보안평가 결과 통보, 부처 산하기관 대상 정보보안 관리 강화한다. 보안평가 우수기관 대상 보안업무 유공포상 실시하며 보안평가 결과는 국가 정보보안 정책 수립 시 기초자료로 활용한다.

• 시큐리티연구
• /
• 제32호
• /
• pp.205-225
• /
• 2012

본 연구는 시설보안 운영수준을 평가하여 시설보안 향상방안을 제시하는 것을 목적으로 한다. 연구목적을 위하여 보안업무가 이루어지는 특정시설을 대상으로 설문조사를 실시하였으며, 그 결과는 다음과 같다. 첫째, 보안인력은 시설보안업무의 기본이 되는 중요한 요소인데, 조사대상 시설에 보안인력이 배치되어 있지만 시설의 특성에 맞게 보안인력을 적절히 운영하지 못하는 것으로 나타났다. 둘째, 보안인력의 직무교육 훈련 수준은 비교적 적절한 것으로 나타났는데, 이는 근무교대방식과 시설에 상주하는 임직원에 대한 서비스마인드 수준, 보안인력의 근무의지 수준이 적절하게 나타난 것과 관련이 있는 것으로 볼 수 있다. 셋째, 보안상황실 운영이 잘 이루어지고 있지만 통제구역 설정과 출입자 통제 수준, 물품에 대한 통제 및 검색 수준, 차량통제 수준이 낮게 나타났다. 넷째, 보안업무를 위해 참고할 수 있는 보안업무매뉴얼의 활용수준은 보안계획서의 활용수준과 사고예방 및 대응매뉴얼의 활용 수준보다 높은 것으로 나타났다. 시설보안을 향상시키기 위해 조사결과에서 수준이 낮게 평가된 보안인력 운영과 출입통제, 물품검색, 차량통제 및 주차관리, 화재 및 각종 안전사고에 대비한 조치 등에 관한 내용을 활용도가 높게 나타난 보안업무매뉴얼에 세부적으로 명시하여 수준이 높게 나타난 교육 훈련 수준을 활용할 수 있다.

• 정보보호학회논문지
• /
• 제20권6호
• /
• pp.147-155
• /
• 2010

소스코드의 정적분석 기술은 소스코드 자체에 내재된 취약성을 찾는데 활용되는 중요한 기술로 인식되고 있다. 본 논문은 정보시스템의 소스코드 보안성 수준을 평가하는 방법으로 정적분석 결과인 소스코드의 취약성 정보와 프로그램이 처리하는 정보의 중요도를 활용하는 평가 메트릭의 설계 및 활용을 소개한다. 소스코드 보안성 메트릭은 소스코드의 취약점 수준을 개발 과정에서 미리 파악할 수 있도록 도움을 준다는 측면에서 평가자와 개발자 모두가 활용할 수 있다. 특히 평가자는 보안 메트릭을 통해 소스코드의 성격과 요구되는 정보의 보안수준에 따라 소스코드의 보안 수준을 점검하며, 코드 검수에 활용할 수 있다.

• 정보보호학회지
• /
• 제20권5호
• /
• pp.74-85
• /
• 2010

인터넷의 발달로 해킹과 같은 각종 보안위협이 증가하고 있으며 이는 국가, 기업 그리고 개인에게 심각한 위협이 되고 있다. 해킹으로 인해 유/무형적인 손실을 받을 수 있기 때문에 보안 위협에 대한 적절한 보안 대책의 수립이 필요하며, 또한 수립된 보안 대책 및 대상의 보안 수준을 확인하기 위한 다양한 정보보호 체계 및 평가 지표들이 존재하고 있다. 본 논문에서는 국내/외에서 개발된 정보보호 평가 체계와 지표, 그리고 국제 표준과 진행 동향을 살펴보고, 각 체계간의 차이점을 도출한다.