• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2023년도 추계학술발표대회
• /
• pp.165-167
• /
• 2023

정부에서는 내·외부 사이버 보안 위협 고도화에 대한 실질적이고 효과적인 대응을 위해 정보보호관리체계(Information Security Management; 이하 ISMS) 인증에 대한 법령을 시행하고 있다. ISMS 인증은 컨설팅과 인증심사를 분리하여 독립성을 확보하였으며, 현장심사 비중을 높여 기존 문서심사에 치중되었던 인증·평가제도와의 차별화를 통해 실효성을 증진시켰다. 그러나 최근 ISMS 인증을 받은 대상자임에도 불구하고 개인정보 정보유출 사고, 대규모 서비스 장애가 유발됨으로써, 다시금 ISMS 인증의 실효성 문제가 제기되고 있다. 현재 제기되고 있는 문제의 요인은 인증기준에 적합한 최소한의 요구사항만 심사·심의하는 ISMS 인증의 한계점에 기인한다. 본 논문에서는 이와 같은 ISMS 인증의 실효적 한계점을 개선하고 인증취득 대상자의 실질적 보안역량 강화시키기 위하여 성숙도 평가모델에 기반한 ISMS 인증제도 운영 방안을 제언한다.

• 정보보호학회논문지
• /
• 제24권5호
• /
• pp.951-959
• /
• 2014

최근 들어 세계적으로 정보자산 유출에 대한 문제가 대두되고 있다. 국가정보원에 따르면, 2003년부터 2013년까지 총 375건의 해외 기술 유출을 적발했으며, 특히 2013년 한 해에만 49건이 적발되는 등 시간이 갈수록 증가 추세를 보이고 있다. 이는 기업에서 정보보호 관리체계를 수립 운용하고 이를 인증 받아야 할 필요성이 있음을 뜻한다. 하지만 ISMS 인증을 받기 위해서는 아직까지 이미 드러난, 혹은 아직 드러나지 않은 장애요인들이 상당히 존재하며, 관련 연구 또한 아직 부족하다. 따라서 본 연구에서는 기업이 ISMS 인증 시에 어떤 장애요인을 가지고 있는지 탐색적 요인 분석 기법을 이용하여 실증적으로 분석하였다. 연구 결과, 심사 난이도 및 기간, 컨설팅 업체 관련 요인, 인증 선행 사례 및 컨설팅 인력 자질, 내부적 요인, 인증기관 신뢰도 및 심사 비용, 인증 혜택 관련 요인과 같이 총 여섯 개의 압축된 요인을 도출하였다.

• 한국정보통신학회논문지
• /
• 제18권3호
• /
• pp.761-769
• /
• 2014

본 논문에서는 군 특수성을 고려한 정보보호 관리체계를 기존 ISMS를 기반으로 개선된 M(Military)-ISMS 모델을 제시한다. 이는 ISMS에서 논의 되지 않은 군 특수성을 고려한 '내부 보안감사'와 '대외활동 관리'부분이 주요 연구대상이다. 내부 보안감사 부분은 민간에서 중요하게 다루는 가용성보다 기밀성이 중요하기 때문에 기밀성과 관련된 보안감사의 6가지 통제항목을 추가하였다. 또한 대외활동 관리부분은 해당 군사자료가 비밀로서 가치가 사라졌을 경우 보안관리 기준 수립과 수준유지에 관한 통제항목 등을 추가하였다. 본 논문에서 제안된 M-ISMS는 기존의 ISMS에서 제공하는 다양한 장점들과 민간 침해사고 사례를 활용하여 군의 특수성을 고려한 신속하고 미래지향적인 보안 침해사고를 사전에 예방할 수 있는 효과가 있다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2021년도 추계학술대회
• /
• pp.578-579
• /
• 2021

중소기업 실태조사에 따르면, 기술보호역량 수준은 매년 나아지고 있으나, 기술유출 및 피해는 지속적으로 발생하고 있다. 이는 중소기업 임직원의 보안의식 강화와 보안수준을 지속적으로 유지할 수 있는 보안관리 및 감독체계가 필요함을 보여준다. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 제도가 이와 관련된 최신 기준인데, 이 제도는 ISP, IDC, 병원 및 학교, 중소기업 등 인증 대상 기관의 유형을 고려하지 않고 동일한 인증 기준을 적용하는 문제점이 있다. 본 논문에서는 ISMS-P 인증과 개인정보보호 관리체계(PIMS) 인증을 참고하여 중소기업에 특화되어 적용할 수 있는 73개 평가 항목을 도출하였다. 연구 결과는 기존의 ISMS-P 인증에 비해 평가 항목 수가 28.4% 줄었음을 보여준다.

• 한국정보통신학회논문지
• /
• 제26권4호
• /
• pp.582-590
• /
• 2022

사이버공격으로 인한 보안위협이 지속되고 있어 보안관제는 신속한 탐지와 대응을 위해 전문성을 가진 용역사업 형태로 주로 운용된다. 이에 따라 보안관제 용역 운영에 대한 다수의 연구가 진행되었다. 그러나 결과적인 관리, 지표, 측정 등의 연구로 업무과정에 대해 세부적으로 연구되지 않아 현장에서 업무 혼선이 빚어져 보안사고 대응이 원활하지 않다. 본 논문에서는 이런 문제점을 ISMS-P 기반의 용역관리 방법을 제시하고 그 방법을 업무 연관성 분석을 통해 시나리오기법과 ISMS-P 보호대책 요구사항 64개 항목의 맵핑(Mapping)으로 도출된 각 항목을 체크리스트화 하여 사용업체의 용이한 외주용역 관리 방법을 제안한다. 또한 주기적 보안준수 이행과 중장기적으로는 ISMS-P의 취득 및 갱신에 도움이 되고 관련 인원들의 보안의식 제고에도 기여할 것으로 기대한다.

• 정보보호학회논문지
• /
• 제24권6호
• /
• pp.1309-1318
• /
• 2014

최근 들어 세계적으로 정보자산 유출에 대한 문제가 심각하게 대두되고 있다. 국가정보원 산업기밀보호센터에 따르면 첨단 기술 불법 유출 관련 사건 피해 기업 중 중소기업이 71%에 달하는 것으로 나타났다. 이는 대기업뿐만 아니라 중소기업 역시 정보보호 관리체계를 수립 운용하고 이를 인증 받아야 할 필요성이 있음을 뜻한다. 이러한 ISMS 인증을 받기 위해서는 외부 컨설팅 업체의 컨설팅이 필요하지만, 기업이 어떤 요인을 가지고 ISMS 인증을 위한 컨설팅 업체를 선정하는지에 대한 연구가 아직까지 미비한 수준이다. 본 연구에서는 중소기업이 어떠한 요인을 가지고 ISMS 인증을 위한 컨설팅 업체를 선정하는지 탐색적 요인분석 기법을 이용하여 실증적으로 분석하였다. 연구 결과 인적 능력 및 관리력, 시장 선도 능력, 컨설팅 진행 능력 및 실적, 물적 인적 자산규모 등 네 가지의 압축된 요인을 도출하였다.

• 정보보호학회지
• /
• 제20권1호
• /
• pp.31-38
• /
• 2010

인터넷이 급속하게 확산되면서 그 동안 오프라인 환경에서만 가능하던 많은 일들을 사이버 상에서도 가능하게 해준 반면에 해킹이나 바이러스 등 새로운 보안위협도 증가하게 되었다. 최근 기업이나 조직에서는 산발적인 보안 관리에서 종합적이고 체계적인 정보보호관리체계가 요구되고 있으며 국내에서도 2001년 7월부터 정보보호관리체계(ISMS) 인증제도가 시행되어, 2009년 12월 현재 77개 업체(기관)가 인증을 받았으며, ISO27001 인증 건수도 100여건에 이르고 있다. 이와 같이 ISMS 인증제도가 국내에 도입된 이래 인증수요는 꾸준히 증가하여 기업경쟁력의 중요한 수단으로 인식되어 가고 있는 추세인 반면 ISMS 인증의 실수요자가 인식하는 인증의 효과성 등의 질적인 측면이 미흡하다는 문제는 끊임없이 제기되어 오고 있다. 본 고에서는 그동안 인증취득기관의 정보보호관리체계(ISMS) 인증 심사과정에서 지적된 결함사례를 분석하고, 국내 중소, 대기업들이 정보보호관리체계를 수립하여 운영하는 과정에서 공통적으로 나타나는 결함사항을 도출함으로써, 향후 기업들이 정보보호관리체계를 수립하는 과정에서 중점적으로 고려해야 할 사항들이 무엇인지 고찰하고자 한다.

• 인터넷정보학회논문지
• /
• 제19권6호
• /
• pp.9-20
• /
• 2018

금융서비스산업 전반에 고객의 금융정보 및 금융서비스를 적절하게 보호하고 유지하기 위해, 조직은 정보보호 관리체계(ISMS), 개인정보보호 관리체계, 비즈니스연속성 관리체계와 같은 경영시스템을 도입하여 운영하기 시작하였다. 본 연구는 금융권이 ISMS를 고려하는 것이 바람직하며 정보보안 문화, 실무 및 가이드라인을 고려하는 다양한 조직 안에 각기 다른 형태를 가질 수 있다는데서 출발하였다. 금융서비스산업 내에서도 분야에 상관없이 적용 가능하고 보편적으로 널리 알려진 국제 정보보호 관리체계 ISO27001을 도입한 금융 관련 조직을 대상으로 인증 심사에 따른 부적합 추이 및 통제 요인의 분석을 통해 해당 ISMS의 주요 통제 영역을 도출하게 된다. 이에 따라 ISMS를 도입하여 운용하고 있는 금융 관련 5개 조직의 사례분석을 통해 정보보호 수준의 개선 효과를 분석해 보고자 했다. 금융 섹터에서 인증을 유지하고 있는 곳이 적어 실증 연구를 위한 자료 확보가 어려웠지만, 초기 연구 대상으로서의 의미가 있는 것으로 분석되었다. 분석을 통해, 대상 업체들에서 최초심사로부터 3년 주기가 지나는 동안 부적합 건수가 매년 감소하고 있음을 확인할 수 있었다. 부적합 빈도수가 가장 높았던 물리적 환경적 보안, 의사소통 및 운영관리, 접근통제 영역이 각 23%, 19%, 17%를 나타내 전체 부적합의 59% 정도를 차지하는 주요 통제영역으로 도출되었다. 이를 통해 금융권에서 중요하게 다루어지지 않았던 기술적, 관리적, 물리적 보안 이슈를 ISMS가 충족시키고, ISMS가 금융서비스산업에 적용 가능한 효과적인 관리체계가 될 수 있음을 발견하였다.

• 정보보호학회논문지
• /
• 제27권4호
• /
• pp.873-883
• /
• 2017

랜섬웨어가 확산됨에 따라 공격 대상이 개인에서 단체로 변하게 되었고 더 지능적이고 조직적으로 변하게 되었다. 이에 금융 산업을 포함한 국내의 기반시설들은 랜섬웨어의 위협에 대해 더 이상 무시 할 수 없는 단계로 접어들고 있다. 이러한 보안이슈에 대응하기 위해 기관들은 정보보호 관리체계인 ISMS를 사용하고 있지만 피해가 발생 했을 시 발생하는 피해규모를 산정 할 수 없어 경영진이 피해 현황에 대한 의사결정을 하는 것에 어려움이 있다. 본 논문에서는 ISMS의 문제로 여기어 지는 리스크에 대한 피해규모의 파악 및 합리적인 피해규모 산정을 시나리오를 기반으로 진행되는 FAIR 기반의 손실 측정모델을 통해 금융 산업에 랜섬웨어 공격이 미칠 수 있는 손실 및 위험을 확인하며 ISMS를 수정하는 것이 아닌 현재 적용되어 있는 ISMS 및 ISO 27001의 통제항목을 적용하여 손해금액을 낮출 수 있는 방안을 제시한다.

• 한국정보통신학회논문지
• /
• 제25권9호
• /
• pp.1166-1175
• /
• 2021

국내 스마트시티와 긴급차량 우선신호 제어시스템의 현재 상황과 발전동향을 알아보고, 긴급차량 우선신호 제어시스템의 기존 효과분석과 신호제어시스템의 보안을 위한 국내외 선행 연구 내용을 바탕으로, 긴급차량 우선신호 제어시스템을 구축하고 긴급차량에 실제 적용 및 시험운행을 통해 시간단축의 효과성을 분석하였다. 더불어 실시간 신호시스템 제어의 보안관리 및 안정적인 서비스를 위해 기존 ISMS-P 인증제도와 한국인터넷진흥원 사이버보안 가이드의 보안요구사항과 보안위협 항목에 따른 보안대책의 연관성에 따라 비교하여 맵핑함으로서, 인명구조나 화재 등 긴급상황 발생 시 시민의 소중한 생명과 재산을 지킬 수 있는 골든타임 확보 가능성을 높일 수 있도록 ISMS-P 인증제도의 기술적 통제항목 개선을 제안한다.