• 정보보호학회논문지
• /
• 제27권4호
• /
• pp.855-861
• /
• 2017

Gordon과 Loeb[1]은 기업의 정보보호 투자 의사결정은 정보보호 투자를 통한 한계편익(MB)과 정보보호 투자의 한계비용(MC)이 일치하는 곳에서 최적의 투자수준이 결정된다고 한다. 그러나, 정보보호 사고를 당하고 있는 많은 기업의 경우, 정보보호 사고를 당하고 있다는 것을 인지하지 못하고 유출되는 피해가 얼마인지 측정하지 못하고 있다. 본 연구에서는 불완전한 정보 상황에서 정보보호 투자 의사결정을 수행하는 모델을 Gordon과 Loeb[1]의 모델을 수정하여 제시하고, 투자수준의 차이를 비교하였다. 불완전정보 하에서 정보보호 투자를 통한 기대수익은 실제 발생하는 정보 보호 사고에 비해 낮게 인식되는 경향을 띄게 되고, 정보보호 투자도 적게 되었다. 이는 정부와 같은 제3의 기관이 정보 보호 사고발생률, 피해액 규모 등 정확한 정보를 알려주면 기업 스스로 정보보호 투자를 확대 할 수 있음을 보여준다.

• 한국전자거래학회지
• /
• 제20권2호
• /
• pp.93-106
• /
• 2015

전자상거래의 성립을 위해 온라인 정보시스템 상에서 거래 당사자의 정보를 제공하는 것은 필수적이다. 거래의 간편성을 위해 서비스 제공 기업이 이를 보관하고 개인정보와 거래 정보를 가공하여 추가 서비스를 제공하는 것이 전자상거래 분야에서 일반화 되고 있다. 그러나 해당정보의 임의적 보관은 거래의 간편화에 도움이 되는 반면 외부 유출로 인해 직접적 혹은 간접적 피해가 발생할 수 있는 가능성을 높인다. 본 연구는 시스템 운영 기업의 측면에서 정보유출 사고발생의 위험률과 이로 인해 발생할 수 있는 기대 손실을 분석하기 위해 정보보호 관리체계로 대표되는 정성적 정보보호 관리방식과 더불어 대표적인 정량적 분석 방법인 개인정보에 대한 수요공급 곡선과 Gordon and Loeb 모델을 소개한다. 또한 한국인터넷진흥원에서 실시한 개인정보보호 수준 실태조사 결과 중 개인정보 누출사고가 있었던 조사 대상 사업자의 분포가 핵심사업분야나 기업규모에 따라 큰 편차를 나타내는 원인을 제시하였다. 이를 통해 징벌적 손해배상으로 유출사고로 인한 기업의 금전적 손실이 일정 수준을 유지하는 것과 법률로 요구하는 개인정보보호 기준을 최상위등급으로 유지하는 것이 기업간 개인정보 취약점의 편차를 보완할 수 있는 방법으로 제시된다.