• Journal of Information Technology Applications and Management
• /
• 제11권2호
• /
• pp.45-64
• /
• 2004

Many researchers have proved that information systems auditing is a very effective tool for improving information systems quality. However, information system auditing in Korea still includes many subjective judgements. This study deals with applying a quantitative model to improve information system auditing quality on security domain. First of all, we have looked at previous researches on information systems audit, especially on security audit. Based on this survey, we have come up with solutions to improve the evaluation efficiency on security audit. We have merged the security audit guidelines of NCA and KISA, and developed a quantified evaluation scheme. We have proved the validity of this model by interviews with experts and by case studies.

• 한국국방경영분석학회지
• /
• 제27권1호
• /
• pp.89-100
• /
• 2001

Information technology has been made remarkable progress and most of computer systems are connected with internet over the world. We have not only advantages to access them easy, but also disadvantages to misuse information, abuse, crack, and damage privacy. We should have safeguards to preserve confidentiality, integrity and availability for our information system. Even tough the security is very important for the defense information system, we should not over limit users availability. BS7799, a British standard, is an evaluation criteria for information security management. In this paper we propose an audit model to manage and audit information security using control items of BS7799, which could be useful to mange the defence information system security. We standardize audit items, and classify them by levels, and degrees by using appropriate audit techniques / methods / processes.

• 한국컴퓨터정보학회논문지
• /
• 제9권1호
• /
• pp.79-86
• /
• 2004

현재 거의 모든 운영체제는 여러 웹 서비스를 지원하기 위하여 운영체제 수준의 보안성을 제공하고 있다. 하지만, 많은 부분에서 운영체제 수준의 보안성이 취약한 것이 사실이다. 특히, TCSEC(Trusted Computer System Evaluation Ceiteria)에서 정의한 B2 레벨 이상의 보안성을 만족시키기 위한 Security Kernel 레벨에서의 감사/추적 기능이 필요하다 이를 위해 시스템 콜 호출시 감사 자료를 생성하고, 모든 이벤트에 대해 동일한 포맷의 감사 자료를 생성하여 추후 역추적 하는데 필요한 정보를 제공토록 한다. 본 논문에서는 안전한 증거 확보를 위하여 기존 리눅스 커널에 대해 변경 없이 적용 가능한 LKM(Loadable Kernel Module) 기법을 이용한 감사/추적 시스템 모듈을 제안하였다. 이는 침입탐지시스템과 같은 외부 감사자료 등을 동시에 활용할 수 있는 인터페이스를 제공하고, 시스템 관리자와 보안 관리자를 구분하여 역할기반의 안전한 시스템을 제공한다. 이러한 자료 등은 추후 법적 대응이 가능한 컴퓨터 포렌식스의 자료로 활용하고자 한다.

• 디지털산업정보학회논문지
• /
• 제15권2호
• /
• pp.53-61
• /
• 2019

In this paper, we propose 'a self - conformance system of convergence security provider' to provide basic data for security and reliability of convergence industrial technology, system and service. It is difficult to evaluate convergence security systems, limited to information and communication service providers, unable to check convergence security items, burden of submission documents, difficulty in measuring convergence security service level and we will summarize product and service-based requirements that can be integrated and systematically measure the level of convergence security and define renewed life cycle-based convergence security information and content security and assurance requirements. On the basis of this, each convergence security company declares conformity with the standard itself without the certification of the certification body, and introduces the provider conformity certification system which can manufacture and sell. This will enable the company to strengthen its competitiveness through timely launch and implementation of products and services and cost reduction.

• 한국IT서비스학회지
• /
• 제15권3호
• /
• pp.33-50
• /
• 2016

In a dynamic IT environment, employees often utilize external IT resources to work more efficiently and flexibly. However, the use of external IT resources beyond its control may cause difficulties in the company. This is known as "Shadow IT." In spite of efficiency gains or cost savings, Shadow IT presents problems for companies such as the outflow of enterprise data. To address these problems, appropriate measures are required to maintain a balance between flexibility and control. Therefore, in this study, we developed a new information security management system called AIIMS (Advanced IT service & Information security Management System) and the Shadow IT Evaluation Model. The proposed model reflects a Shadow IT's attributes such as innovativeness, effectiveness, and ripple effect. AIIMS consists of five fields: current analysis; Shadow IT management plans; management process; education and training; and internal audit. There are additional management items and sub-items within these five fields. Using AIIMS, we expect to not only mitigate the potential risks of Shadow IT but also create successful business outcomes. Now is the time to draw to the Light in the Shadow IT.

• 대한전자공학회논문지TE
• /
• 제37권5호
• /
• pp.117-124
• /
• 2000

최근 세계적으로 유수한 인터넷 사이트들의 해킹으로 인해 네트워크 보안의 중요성이 강조되고 있다. 네트워크 보안을 위해 방화벽보다는 좀 더 신뢰성이 높은 네트워크 및 시스템에 대한 보안 솔루션으로 침입 탐지 시스템(Intrusion Detection System)이 차세대 보안 솔루션으로 부각되고 있다. 본 논문에서는 기존 의 IDS의 단점이었던 호스트 레벨에서 확장된 분산환경에서의 실시간 침입 탐지는 물론 이 기종간의 시스템에서도 탐지가 가능한 새로운 IDS 모델을 제안·설계하였다. 그리고, 프로토타입을 구현하여 그 타당성을 검증하였다. 이를 위해 서로 다른 이 기종에서 분산 침입 탐지에 필요한 감사 파일을 자동적으로 추출하기 위해 패턴 추출 에이전트를 이용하였다.

• 기록학연구
• /
• 제25호
• /
• pp.3-46
• /
• 2010

전자기록관리는 수많은 사회적 기술적 요소가 상호작용하는 하나의 시스템이다. 신뢰받는 상태를 계속 유지하기 위해 전자기록관리기관은 감사와 인증의 정규적인 수행이 필요할 것이다. 이에 따라 개별 전자기록관리기관에서는 스스로의 신뢰도를 지속적으로 평가해보는 도구로 사용할 수 있고 스스로의 환경과 시스템을 자체 평가하여 부족한 부분도 파악할 수 있게 하는 도구의 필요성이 생겼다. 본 연구의 목적은 OAIS 참조모형(ISO 14721)과 영국 UKDA와 TNA의 자가진단보고서, TRAC 및 DRAMBORA 등 4개 표준과 국제모범사례를 분석하고, MoReq2와 현행 국내 법령 및 표준 등을 종합, 분석하여 자체인증도구를 개발하고자 하는 것이었다. 본 연구에서는 이 인증도구의 개발과정과 전체적인 틀을 기술함으로써, 타 기관에서도 기관의 특성에 따라 이러한 도구를 개발하고 자체적으로 활용할 수 있는 개발방법론을 제시하고자 하였다. 본 연구의 진행 결과, (기관) 운영관리, 분류체계 및 기준정보 관리, 입수, 등록 기술, 저장 보존, 처분, 서비스, 검색도구 제공, 시스템 관리, 접근통제 보안, 모니터링 감사증적 통계, 위험관리 등 총 12개 영역으로 진단영역이 확정되었다. 설정된 12개 영역 각각에 대해 각 영역별로 프로세스 맵 또는 기능차트 등을 만들고 업무기능을 분석한 후, 영역별 주요 업무기능 단위를 중심으로 구성된 54개의 '평가지표'가 도출되었다. 각 평가지표 별로 실제 자가진단을 시행할 수 있는 측정 가능하고 증빙이 가능하도록 작성한 208개의 '평가세부지표'를 도출하였다. 본 연구의 결과물로 생성된 이 지표는 전자기록관리기관의 감사인증도구로 사용될 수 있어, 기관 스스로 정기적으로 자가진단을 실행하는 데에 활용함으로써, 발견된 미비점을 보완하고 향후 기관의 발전 전략에 반영할 수 있다.

• 융합보안논문지
• /
• 제22권4호
• /
• pp.3-9
• /
• 2022

최근 4차 산업혁명 환경이 도래하면서 어느 조직이든 데이터의 개방과 공유, 융합이 활발하게 이루어지고 있다. 그런데 데이터의 개방과 공유는 필연적으로 보안 취약성을 초래할 수밖에 없으며 오히려 4차 산업혁명 환경에서 운영되는 조직의 존폐까지 영향을 미칠 수 있는 위협요인으로 대두되는 양면성이 있다. 특히 군이라는 조직에서 보안 문제는 군자체가 아닌 국가의 위협이 될 수 있으므로 항상 높은 수준의 보안 기강 유지가 필수적으로 요구된다. 이에 본 논문에서는 군(軍) 보안수준에 영향을 미칠 수 있는 요인을 추출하여 보안수준 발전대책을 모색하기 위해 계획 행동이론, 억제이론, 보호 동기 이론 등을 적용한 구조방정식 모형을 통해 14개 변수를 선별하였고 각 이론과 변수의 영향력을 검정하였다. 그 결과 평소 보안규정 교육과 평가를 통해 체화된 보안지식은 행동에 영향을 미친다는 계획 행동이론을 채택할 수 있었고, 억제이론과 보호 동기 이론은 기각 수준의 유의미성을 나타냈다. 또한, 3년간의 보안감사 결과 측정된 값을 통해 군(軍) 보안수준에 가장 큰 영향을 미치는 변수는 지휘 관심과 정신보안이라는 사실도 확인되었다. 결론적으로 군(軍) 보안수준을 높이기 위해서는 보안교육과 신상필벌, 보안시스템 고도화 등과 함께 지휘 관심과 정신보안 태세를 확고히 해야 한다는 내용이 발전대책으로 제시되었다.

• 기록학연구
• /
• 제38호
• /
• pp.3-35
• /
• 2013

실체가 있는 종이기록물은 물리적 접근이나 통제가 비교적 손쉽다. 그러나 전자기록의 경우 권한이 있다면 누구나 접근할 수 있는 활용적 측면이 강조되어 전자기록의 진본성과 무결성을 보장하기 위한 적절한 기준과 안정성이 중요하다. 본 연구는 표준기록관리시스템이 전자기록의 품질요건을 유지하는 데 중요한 역할을 하는 접근관리 기능에 대해 국내외 기능 요건서 및 표준에서 최소한의 필수항목을 추출하여 체크리스트를 작성하였다. 이 체크리스트를 바탕으로 표준기록관리시스템이 접근관리를 위한 기능을 제대로 구현하였는지 평가하고, 실제 기록관리업무에 어떻게 활용되고 있는지 사용현황을 알아보았다. 기록물관리 전문요원은 대체로 접근관리기능을 사용하지 않는데, 이는 기록관리시스템의 활용이 아직 많지 않아서 필요성을 느끼지 못했기 때문인 것으로 드러났다. 표준기록관리시스템이 보다 활성화된 시스템으로 거듭나기 위해서는 기능 통합 등 시스템적인 개선과 더불어 다음의 사항을 고려해야 한다. 첫째, 접근권한 설정에 대한 명확한 규정이 필요하다. 둘째, 문서보안 솔루션을 통해 수행하고 있는 접근 통제를 기록관리시스템에서도 구현할 수 있는 방안이 필요하다. 셋째, 기록관리시스템을 사용하는 기록물관리 전문요원이 지속적인 평가와 개선을 통해 시스템을 진화시켜야 한다. 넷째, 기록관리시스템의 기능개선을 위한 공론화의 장이 필요하다. 그동안 기록관리시스템에 대한 논의는 학계에서 공론화하여 논의를 하기 보다는 불평불만을 직설적으로 말함으로 협력을 통한 소통을 불가능하게 해왔다. 학계, 정부, 그리고 기록학을 공부하는 연구자 모두 서로 발전하는 방향으로 논의를 진행해야 한다.