• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2002년도 추계학술발표논문집 (하)
• /
• pp.2087-2090
• /
• 2002

최근 보안성 평가기준의 국제 표준인 공통평가기준(Common Criteria, ISO/IEC 15408)의 국내 도입이 활발하게 진행되고 있다. 따라서 개발자들은 개발초기부터 공통평가기준에 대비하여 보안 제품을 개발하는 것이 필요하다. 본 논문에서는 공통평가기준과 공통평가방법론(Common Evaluation Methodology, CEM)을 참고하여 개발자들이 공통평가기준에 대비하여 보안 제품을 개발할 수 있도록 하기 위한 개발 지침을 제시한다.

• 정보보호학회지
• /
• 제10권3호
• /
• pp.27-36
• /
• 2000

1995년 10월에 제정된 정보화촉진기본법과 동법 시행령에 의거 국내평가·인증 제도가 구축되어 시행되어왔다. 현재 한국정보보호센터에서는 1998년 2월 정보통신부에서 고시하였으며 2000년 2월에 개정한 정보통신망 침입차단시스템 평가기준과 2000년 7월에 고시된 침입탐지시스템 평가기준을 이용하여 두 개의 제품에 대한 평가를 실시하고 있으며 인증기관인 국가정보원에서 인증서를 발급하고 있다 하지만 컴퓨터 및 통신 기술의 발달과 네트워크의 급속한 확산으로 인하여 다양한 정보보호제품이 개발되고 있으며 IT 제품 평가 관련 선진국들은 세계 여러국가들에게 국제표준(ISO/IEC 15408)으로 제정된 국제공통평가 기준에 기반을 둔 국제상호인정협정을 확산시키고 있다 따라서 급변하는 IT 환경과 국제상황을 고려하여 국내 평가·인증제도의 개선점들을 찾아본다.

• 융합보안논문지
• /
• 제12권3호
• /
• pp.45-52
• /
• 2012

정보보호시스템의 국제공통평가기준인 CC(또는 ISO/IEC 15408)에서는 평가용 문서(즉, 제출물)에 대한 세부지침을 포함하지 않고 있으므로, CC기반 평가체계를 구축하기 위해서는 문서 스키마(즉, 목차와 내용요구사항)를 개발해야 한다. 본 논문에서는 CC기반 평가체계에서 활용할 수 있는 문서 스키마를 개발하였다. CC내의 보증클래스로부터 Weakest precondition함수, 문서량 축소규칙, 문서 종속성 분석방법을 적용하여 문서스키마와 DTD를 개발하였다. 본 연구의 접근방법은 소프트웨어 품질의 평가체계에서 사용할 문서스키마 또는 DTD를 개발하는데 응용될 수 있다.

• 대한전기학회:학술대회논문집
• /
• 대한전기학회 2003년도 하계학술대회 논문집 D
• /
• pp.2747-2749
• /
• 2003

Security is concerned with the protection of assets from threats, where threats are categorised as the potential for abuse of protected assets. All categories of threats should be considered, but in the domain of security greater attention is given to those threats that are related to malicious or other human activities ISO/IEC 15408 requires the TOE(Target of Evaluation) Security Environment section of a Protection Profile(PP) or Security Target(ST) to contain a list of threats about the TOE security environment or the intended usage of the TOE. This paper presents a specific physical threats should be considered in the smart card PP which developers of smart card PP must consider.

• 한국항행학회논문지
• /
• 제11권3호
• /
• pp.259-265
• /
• 2007

유비쿼터스 컴퓨팅을 구현하기 위한 임베디드 시스템적 요소, 즉 각종 전자기기, 가전제품, 제어장치 들은 단순히 회로로만 구성되어 있는 것이 아니라 특정한 기능을 수행하도록 프로그램이 내장되어 있는데 이러한 시스템 제어역할을 수행하는 다양한 프로그램을 임베디드 소프트웨어라고 정의할 수 있다. 임베디드 소프트웨어는 시스템의 기능을 제어하는 핵심 요소이므로 내용이나 제어 구조가 공개되는 경우에는 심각한 영향을 받을 수 있다. 임베디드 소프트웨어의 보안은 크게 두 부분으로 나뉘어 고려될 수 있다. 첫 번째는 외부의 위협원이 내부로 침투하여 관련 정보를 유출하는 것이고, 두 번째는 내부 혹은 외부의 위협원이 임베디드 소프트웨어에 악성 코드를 삽입하는 등 불법적인 행동을 하는 것이다. 본 논문에서는 첫 번째 관점에서, 임베디드 소프트웨어를 개발하고 있는 개발 현장에 대한 보안 점검 요소들을 도출하고 제안하였다. 개발 현장에 대한 보안 점검을 통해 외부 위협원의 접근을 원천적으로 차단하는 동시에, 임베디드 소프트웨어의 비인가된 변형을 간접적으로 예방할 수 있을 것으로 기대된다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2003년도 추계학술발표논문집 (하)
• /
• pp.1747-1750
• /
• 2003

IT 제품 및 시스템의 보안성 평가를 위한 국제표준(ISO/IEC15408)인 공통평가기준(CC)은 해당 평가 보증등급(EAL, Evaluation Assurance Level)의 요구사항에 따라 평가대상 제품(TOE, Target of Evaluation), 제품의 개발 및 운영 문서를 포함하는 평가제출물을 요구하고 있다. 개발자가 공통평가기준을 적용하여 제품의 보안성을 개선하고 성공적으로 평가인증서를 받기 위해서는 상당한 노력이 요구된다. 대부분의 개발자는 제품 개발 완료 후 제품의 보안성을 검토하고 평가를 준비하므로 리엔지니어링 등 추가적인 비용과 시간을 투입해야 하는 문제가 있다. 본 논문에서는 BSD(Berkeley Software Distributions) 4.4 기반의 운영체제인 MTOS(Mitretek)를 개발한 사례를 통하여 개발과정과 요구사항 및 평가준비를 위한 평가제출물 작성과의 연계성을 제시하였다. 개발자는 본 논문에서 제시한 연계성을 활용하여 소프트웨어 제품의 개발과정에 공통평가기준을 적용하여 제품의 보안성을 제고하고 보안성 평가를 준비하는데 시간과 노력을 절감할 수 있다.

• 한국전자거래학회지
• /
• 제10권3호
• /
• pp.67-83
• /
• 2005

CC(공통평가기준: Common Criteria, ISO/IEC 15408)는 국가간에 서로 다른 평가기준을 적용하여 평가함으로써 발생되는 문제점을 해결하기 위해 1999년 6월에 발표되었으며, 현재 공식버전은 v2.2이며 드래프트 버전으로 v3.0이 나와 있다. 국내외적으로 CC기반의 평가 수요가 증가되고 있으며 이에 따라 평가시장 창출이 예상되고 실제 평가지침 및 평가활동의 자동화, 평가프로젝트의 관리가 필요하다. 본 논문에서는 평가자원(예: 제출물, 평가기준, 평가자 등)을 관리하고 평가환경에서 효율적으로 이용 가능한 CC 기반 보안평가관리시스템 ( CC-SEMS: CC based Security Evaluation Management System)을 제시하였다. CC-SEMS는 프로젝트관리. 워크플로우관리, 프로세스관리의 어플리케이션을 통합한 것이며 제출물, 평가업무 프로그램, 관리 객체, 평가워크플로우 엔진으로 구성되어 있다.