• 정보보호학회논문지
• /
• 제13권5호
• /
• pp.57-67
• /
• 2003

보안정책모델은 평가대상제품(Target of Evaluation, TOE)의 보안정책을 비정형적, 준정형적, 또는 정형적 방법을 사용하여 구조적으로 표현하는 한 것이다. 보안정책모델은 보안기능요구사항과 기능명세간의 일관성 및 완전성을 제공함으로써 평가대상제품이 요구사항과 기능명세간 불명확성으로 인한 보안결점을 최소화할 수 있도록 보증성을 보장한다. 이러한 이유로 ISO/IEC 15408(공통평가기준. CC) 등 IT 제품 및 시스템의 보안성 평가기준의 고등급 평가에서 보안정책모델을 요구하고 있다. 본 논문에서는 보안정책모델의 개념과 관련 연구 및 공통평가기준의 보안정책모델 보증요구사항을 분석하여 보안정책모델 평가방법을 제시한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2006년도 가을 학술발표논문집 Vol.33 No.2 (C)
• /
• pp.427-432
• /
• 2006

소프트웨어의 다양화로 인하여 하드웨어 형태의 보안 제품에서 소프트웨어 형 보안 제품으로 점차 변화하고 있는 중이다. 이러한 변화 속에서 소프트웨어 형 보안 제품의 품질을 평가하는 기준이 없어, 현재 ISO/IEC 9126 의 표준으로 소프트웨어 형 보안 제품을 평가하고 있는 것이 현실이다. 하지만 소프트웨어 형 보안 제품을, 기존 소프트웨어 품질 평가 기준으로 적용하기에는 한계가 있다. 지금까지 소프트웨어 제품의 평가 방법과 요구 사항에 대한 프로세스가 국제 표준으로 제정 및 정의되어 있으나, 소프트웨어 형 보안 제품의 경우, 이러한 국제 표준을 적용하여 제품을 평가하는 데는 어려움이 있다. 이에 본 논문에서는 현재 사용중인 소프트웨어 평가 기준 인ISO/IEC 9126-1에서 규정하고 있는 6개의 소프트웨어 품질특성 중 기능성 의 부 특성인 보안성의 매트릭스를 확인하고 ISO/IEC 15408(공통평가기준)의 내용 중 일부를 발췌 및 보완하여 기존 6가지의 소프트웨어 품질특성 중 기능성의 부특성인 보안성을 보완한, 새로운 보안성 품질 매트릭스를 제안한다.

• 디지털융복합연구
• /
• 제15권6호
• /
• pp.219-227
• /
• 2017

네트워크 접근제어(Network Access Control)를 통해 IT 인프라에 대한 보안위협 즉, 비인가 사용자, 단말의 네트워크 무단 접속, 직원의 내부 서버 불법접근 등을 효과적으로 차단할 수있어야 한다. 이러한 관점에서는 보안성을 충족시키고 있음을 확실히 하기 위해 관련 표준에 기반을 둔 메트릭 구축이 요구된다. 그러므로 관련 표준에 따른 NAC의 보안성 평가를 위한 방법의 체계화가 필요하다. 따라서 이 연구에서는 네트워크 접근제어시스템의 보안성 메트릭 개발을 위해 ISO/IEC 15408(CC:Common Criteria)과 ISO 25000 시리즈의 보안성 평가 부분을 융합한 모델을 구축하였다. 이를 위해 네트워크 접근제어시스템의 품질 요구사항을 분석하고 두 국제표준의 보안성에 관한 융합 평가메트릭을 개발하였다. 이를 통해 네트워크 접근제어시스템의 보안성 품질수준 평가 모델을 구축하고, 향후 네트워크 접근제어시스템에 대한 평가방법의 표준화에 적용할 수 있을 것으로 사료된다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2003년도 하계학술대회논문집
• /
• pp.195-198
• /
• 2003

공통평가기준(CC: Common Criteria)은 1999년에 국제표준(ISO/IEC 15408)으로 채택되어 우리나라를 포함한 미국, 캐나다, 영국, 프랑스, 독일, 네덜란드 둥에서 사용되고 있는 IT제품 및 시스템의 보안성 평가기준이며, Interpretation 과정을 통하여 지속적으로 수정 및 보완되고 있다. 본 논문에서는 공통평가기준의 문제점 요청 및 Interpretation 제정 절차를 소개하고 현재 발표된 공통평가기준 버전 2.1의 Final Interpretation을 분석하였다.

• 대한전기학회:학술대회논문집
• /
• 대한전기학회 2003년도 하계학술대회 논문집 D
• /
• pp.2744-2746
• /
• 2003

ISO/IEC 15408 requires the TOE(Target of Evaluation) Security Environment section of a Protection Profile(PP) or Security Target(ST) to contain a list of assumptions about the TOE security environment or the intended usage of the TOE. This paper presents a specific conditions should be assumed to exist in the smart card environment and the analysis of those conditions developer of smart card PP must consider.

• 정보보호학회지
• /
• 제16권4호
• /
• pp.59-68
• /
• 2006

본 논문에서는 소프트웨어 개발 프로세스에서 보안성을 향상시키기 위해, 소프트웨어 개발단계에서 산출되는 문서를 바탕으로 내재되어 있는 취약성을 찾기 위한 체크리스트를 제안한다. 현재 소프트웨어 생명주기내에서 보안성을 지키기 위해서는 설계단계에서의 위험분석 이 요구되며, 이를 확인하기 위한 검증단계가 필수적이다. 따라서, 본고에서는 취약성을 찾는 구체적인 방법으로 ISO/IEC 15408(Common Criteria, 이하 CC)[1]기준의 보안성 평가방법론인 CEM[2]에 기반한 취약성검색을 통해 소프트웨어 설계단계에서 산출되는 개발문서에 대해 검증해야 할 항목을 제시한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2004년도 춘계학술발표대회
• /
• pp.221-224
• /
• 2004

보안 S/W의 보안성 평가기준(CC; Common Criteria)은 국제 표준 ISO/IEC 15408로 제정되었고, 시제품에 대한 보안기능요구사항과 보증요구사항을 표준화된 방법으로 표현하고 있다. 보안 S/W의 보안성은 중요하나 그 품질 또한 간과되어서는 안 된다. 이에, 본 논문에서는 CC에서 기술하고 있는 보안기능에 대한 S/W 품질평가기준에 대해 연구하였다.

• 한국정보과학회논문지:소프트웨어및응용
• /
• 제27권2호
• /
• pp.134-147
• /
• 2000

국.내외적으로 소프트웨어 산업이 활성화되었음에도 불구하고, 정보보호 소프트웨어 시스템의 보안성 평가를 포함한 각종 소프트웨어의 품질 평가 업무량 및 평가 비용 산정에 대한 연구는 부족하다. 본 연구에서는 업무분해구조(EWBS) 방법과 기존의 소프트웨어 개발비 산정 방법을 응용하여, 정보보호 시스템의 평가기준(Common Criteria 또는 ISO/IEC 15408)에 따라 정보보호 시스템을 평가 할 때의 평가 업무량과 평가 비용을 산정하는 프로세스와 도구를 제시한다. 본 연구는 정보보호 시스템의 평가 업무량과 평가 비용의 산정에 중심을 두고 있지만, 본 연구의 결과는 기존의 소프트웨어 개발 프로세스 및 제품의 품질 평가시의 평가 업무량 및 평가 비용의 산정에도 응용될 수 있다.

• 정보보호학회논문지
• /
• 제17권1호
• /
• pp.133-138
• /
• 2007

보호프로파일(PP, Protection Profile)은 ISO/IEC 15408(CC, Common Criteria) 평가에서 IT제품에 대한 특정 소비자의 보안요구사항을 담은 문서로서, 최근 들어 많은 국가기관 및 기업에 의해 개발되고 있다. 이러한 보호프로파일은 IT시스템 및 제품을 도입하는 과정에서 보안성 평가에 대한 기준이 되므로 정보보호의 중요성이 강조되는 시점에서 그 중요성이 날로 증대되고 있다. 하지만 구체적인 보호프로파일 개발 방법이나 보안환경 분석 및 보안요구사항 도출 방법에 대해서는 상세한 방법론이 존재하지 않아, 보호프로파일을 쉽게 개발하기는 어려운 실정이다. 이에 본 논문에서는 국외 보호프로파일 개발 방법론 및 사례를 분석하고, 보호프로파일의 보안환경 분석 및 보안요구사항 도출 방법론을 제안한다.

• 정보보호학회논문지
• /
• 제34권1호
• /
• pp.53-60
• /
• 2024

안전한 네트워크를 위해 보안 평가는 필수불가결한 과정으로, 위험을 관리하기 위해서는 적절한 성능지표가 있어야 한다. 가장 널리 사용하고 있는 정량적 지표로는 CVSS가 있다. CVSS는 주관성과 해석의 복잡성, 보안 위험의 관점에서 맥락을 고려하지 못한다는 문제가 있다. 이러한 문제를 보완하기 위해 ISO/IEC 15408 문서의 보안 개념 및 관계도를 바탕으로 공격자, 위협, 대응, 자산의 4가지를 항목화하고 수치화 하는 지표를 제안한다. 네트워크 스캐닝을 통해 발견된 취약점은 약점, 공격패턴의 연결관계에 의해 MITRE ATT&CK의 기술과 매핑시킬 수 있다. 우리는 MITRE ATT&CK 의 Groups, Tactic, Mitigations을 이용하여 일관성을 가지며 직관적인 점수를 산출한다. 이에 따라 보안 평가 관리자가 다양한 관점의 보안지표 중 선택할 수 있는 폭을 넓히고, 사이버 네트워크의 보안을 강화하는데 긍정적인 영향을 기대한다.