• 한국신뢰성학회지:신뢰성응용연구
• /
• 제14권2호
• /
• pp.108-113
• /
• 2014

The demand against the risk analysis and information security of system from the companies or the agencies which operate an information system is increasing. ISO/IEC 27001 was established by ISO (International Organization for Standardization) and IEC (International Electrotechnical Commission). Also this standard is international and authoritative standard of ISMS (Information Security Management System). This paper is to review how the ISO 27001 ISMS Requirement has been established and improved, and to communicate the significant changes from ISO27001 : 2005 to ISO 27001 : 2013 focusing on reasons for revisions. Additionally, This paper shows case study for understanding ISO 27001 : 2013 implementation.

• 디지털융복합연구
• /
• 제12권1호
• /
• pp.405-414
• /
• 2014

IT 자원의 동적 확장과 비용절감이라는 클라우드 서비스의 장점은 IT 사용자의 관심이다. 그러나 클라우드 서비스의 신뢰성은 클라우드 서비스를 적극적으로 사용하는데 걸림돌이 되고 있다. 기존 클라우드 서비스의 평가 프로그램은 ISO/IEC 27001:2005을 참고하여 정보보호 평가 항목을 도출하고 클라우드 서비스 특징을 추가하는 방법으로 연구가 이루어지고 있다. 본 논문은 최근 발표된 ISO/IEC 27001:2013의 추가와 삭제 그리고 변경된 통제영역 및 통제 항목을 살펴본다. ISO/IEC 27001:2013의 통제 항목과 클라우드 서비스 평가 프로그램인 CSA CCM v.3, FedRAMP의 통제 항목을 비교 분석하여 정보보호관리체계에서 클라우드 서비스와 관련된 평가 항목을 제시한다. 도출한 통제 항목은 클라우드 서비스 기반의 정보보호관리체계를 운영하는 기업의 보안 정책에 참고 지표가 될 것이다.

• 경영정보학연구
• /
• 제25권4호
• /
• pp.205-231
• /
• 2023

정보보호 관리체계(Information Security Management System, ISMS)는 정보 자산의 기밀을 유지하고 결함이 없게 하며 언제든 사용할 수 있게 하는 보호 절차와 과정이고, 국내의 ISMS-P와 국외의 ISO/IEC 27001이 가장 대표적인 ISMS 인증제도이다. 본 논문에서는 ISMS 인증과 조직의 특성과의 관계를 파악하기 위해서 한국인터넷진흥원(KISA), 과학기술정보통신부 전자공시시스템(ISDS), 금융감독원 전자공시시스템(DART)로부터 데이터를 수집하고, Probit 회귀 분석을 실시하였다. Probit 분석 시 ISMS-P 취득여부, ISO/IEC 27001 취득여부, ISMS-P와 ISO/IEC 27001 모두 취득여부의 세 가지 경우에 대해 독립변수 4개와의 관련성을 확인하였다. 분석 결과, ISMS-P, ISO/IEC 27001 모두 취득한 기업은 총 임직원 수와는 양의 상관관계, 업력과는 음의 상관관계가 있음을 알 수 있었다. 이외에도 ISMS-P 인증제도와 정보보호 공시제도의 개선방향에 대해서도 확인할 수 있었다.

• 정보처리학회논문지:소프트웨어 및 데이터공학
• /
• 제3권11호
• /
• pp.465-470
• /
• 2014

한국의 정보통신산업진흥원(NIPA)에서 제공하는 SP 품질 인증은 소프트웨어 개발 프로세스의 역량을 평가 및 인증하는 제도이다. SP 품질인증은 국내에서 개발된 인증모델로서 전국적으로 확산되고 있다. 최근 보안성이 문제되고 있으나, SP 품질 인증에서는 별도의 보안 속성에 대한 프로세스를 정의하고 있지 않다. 본 논문에서는 SP 품질 인증을 획득한 기업 및 조직들의 보안성 향상을 위해 ISO 27001을 기반으로 하는 새로운 보안 프로세스를 제시한다. 제안 프로세스를 통해 보안 위협요소들을 검출해낼 수 있고, 이러한 요소들에 대처할 수 있는 기회를 제공한다. 또한 검출된 보안 취약점은 보안 척도로 이용될 수 있으므로 시스템의 보안 측면 관리가 가능하다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2011년도 춘계학술발표대회
• /
• pp.823-825
• /
• 2011

R&D에 관한 주요 국가 및 산업기술의 정보 유출이 문제가 되고 있다. 2009년 11월 국가과학기술지식정보서비스(NTIS)는 영국표준협회(BSI)로부터 ISO 27001에 대한 11개 도메인, 133개 보안 통제항목의 정보보호관리체계((Information Security Management System) 인증을 획득하였고 이후 사후인증 심사를 받고 있다. 본 논문에서는 정보보호 국제 표준인증인 ISO 27001과 관련하여 NTIS의 정보보호관리체계에 대하여 국가R&D정보관리의 경영적 관점에서 실증적 현황 및 성과와 향후 개선 및 발전 방향에 대하여 검토한다. ISO 27001 도입 후 133개 통제항목 중에서 적용율이 증가하였고 중부적합/경부적합/개선권고 사항이 크게 감소하였으나 정보자산 및 개인정보 관리는 지속적인 관심과 개선이 필요함을 알 수 있었다.

• 한국컴퓨터정보학회논문지
• /
• 제12권6호
• /
• pp.153-160
• /
• 2007

국내에서도 이제 정보시스템을 운영하고 있는 기업이나 기관들에서 체계적인 위험분석 및 보안관리에 대한 요구가 늘어나고 있다. 본 논문에서는 국제적인 정보보호관리시스템의 표준화 동향에 대해 조사, 분석하여 정보자산에 대해 통합적으로 위험을 관리 할 수 있는 정보보호관리시스템을 모델링하여 제안하였다. 제안시스템과 관련된 국제적인 표준에 대해 보안측정모델의 성숙도를 비교 분석한 결과, 개별 관리되던 각종 정보기술자원에 대한 보안관리를 전사차원에서 통합적으로 관리할 수 있게 되었고, ISO 27001, ISO 9000, ISO 14000인증지원 및 인증수준 유지를 자동화 관리하게 함으로서 인적, 물적 자원의 효율적 운영이 가능한 것을 보여주고 있다.

• 융합보안논문지
• /
• 제21권1호
• /
• pp.19-24
• /
• 2021

본 연구의 목적은 환경설계를 통한 범죄예방인 셉테드를 정보보안 영역에 추가하고자 하였다. 정보보안 관리시스템인 ISO 27001의 통제항목(11가지)과 셉테드(CPTED)의 적용원리(6가지)를 매핑하고 항목 간 관련성에 대해서 12명의 보안전문가를 통해 FGI 회의를 통해 검증 하였다. 조사결과 관련성이 평균 60% 이상인 통제항목으로 보안정책, 물리·환경적 보안, 사고관리, 준거성 등이 있었으며, 이는 포괄적인 정책으로 환경보안인 셉테드의 항목과 전반적으로 공유하였으며, 보안조직, 자산관리, 인원보안, 운영관리, 접근통제, 시스템유지, 연속성관리 등 전문적인 통제항목은 셉테드의 각각의 항목과 매핑이 이루어 졌다. 이를 통해 정보보호 인증과 셉테드는 관련성이 있다고 할 수 있으며, 이는 보안의 3대 영역인 관리적보안, 기술적보안, 물리적보안에 환경적보안을 고려할 수 있게 되었다.

• 정보보호학회지
• /
• 제26권4호
• /
• pp.16-21
• /
• 2016

올 6월 약 4년간의 표준화 활동의 결과로 ISO/IEC 27009 "ISO/IEC 27001의 분야별 응용 - 요구사항"이 국제 표준으로 발표되었다. 이 표준은 ISO/IEC 27001을 어떤 특정 분야에 적용하고자 할 때 필요한 요구사항을 정의한 것으로서, 분야별 정보보호 경영체계 인증제도의 국제적 상호 인정의 기반을 마련하기 위한 것이다. 본 논문에서는 이 표준의 개발 배경, 내용과 의미, 그리고 관련 현황을 소개하고 국내 정보보호 경영시스템 전문가들의 대응 방향을 제시한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2016년도 춘계학술발표대회
• /
• pp.229-232
• /
• 2016

개정된 정보통신망법 정보보호 관리체계에 대해 민간, 공공기관들의 관심과 인증을 준비하는 조직이 늘어나고 있다. 의무 인증대상자가 대. 중견기업, 비(非) 정보통신서비스 사업자로 확대되고 국제표준 요구사항의 일부 인정이 가능해지며 ISO/IEC 27001:2013과 정보보호 관리체계에 대한 동시 인증을 효과적으로 추진하기 위한 가이드라인이 필요하다. 본 연구에서는 '정보보호 관리체계'(ISMS)의 요구사항, 통제항목 및 심사 과정에서의 차이점 분석(gap analysis)을 통해, 국제표준과 국내 법령에 적합한 ISMS를 효과적으로 구현할 수 있도록 한다.

• 융합보안논문지
• /
• 제17권3호
• /
• pp.65-71
• /
• 2017

'국가중요시설'이란 국방부훈령에 의하면 적에 의하여 점령 또는 파괴되거나 기능이 마비될 경우 국가안보 및 국민생활에 심대한 영향을 미치는 시설을 말하며, 원자력발전소 해킹사건, 정부청사 무단침입 사건 등을 볼 때 국가중요시설이 반사회적 범죄의 표적이 될 수 있음을 보여주었다. 그간 국가중요시설 점검은 시설조사에 국한되어 있어 본 연구에서 범용화된 요구사항을 개발하고자 하였다. 이에 국제표준화기구(ISO)의 품질경영시스템(ISO 9001:2015)과 정보보안관리시스템(ISO 27001:2013)의 요구사항을 비교한 결과, 1~10장 중 8장(운영)만 차이가 있고 나머지는 공통으로 사용하였다. 또한 국 내외 환경설계를 통한 범죄예방(CPTED)의 적용사례를 비교한 결과가 "6가지 적용원리" 범주 내에 있음을 확인하였다. 이를 통해 품질경영시스템 요구사항 중 8장에 CPTED의 적용원리를 도입하여 국가중요시설 관리시스템 인증 요구사항을 도출하였다.