• 융합보안논문지
• /
• 제11권4호
• /
• pp.3-9
• /
• 2011

의료정보 네트워크 구조상에서는 트래픽 소통경로를 따라 악성코드 침투와 보안차단기능이 수행된다. 본 연구는 의료정보시스템 Network 보안 Infrastructure는 어떤 구조와 기준으로 설계되어야하는가에 대한 방법론 개발을 위해 보안기능을 설계한다. 의료정보시스템의 기능 프레임워크는 인프라 구조와 기능에 대한 기본골격과 체계이다. 기능 프레임워크 설계는 네트워크 구조 전반에 대한 골격을 형성하며 보안 방법론의 기본 구조를 형성한다. 기능 프레임워크가 구축됨으로서 인프라구조와 응용기능이 구현되기 때문이다. 보안기능 영역기준에 따라 차별화된 보안기능이 수행되고 보안메커니즘이 가동됨을 본 연구를 통해 제시하고자한다. 향후 클라우드 컴퓨팅 과 u-헬스케어 서비스등 도래하는 새로운 의료정보 환경에 대비하여 본 연구가 의료정보보안에 활용되기를 기대한다.

• 융합보안논문지
• /
• 제19권4호
• /
• pp.107-113
• /
• 2019

데이터보안(Data Security)이란 데이터 및 정보자산의 접근, 활용에 대한 적절한 인증과 권한의 감사를 위하여 보안정책 및 절차를 기획, 구축, 실행하는 것이다. 또한 내·외부 네트워크, 서버, 어플리케이션 등을 통해 서비스되는 데이터는 정보보호의 핵심 대상으로서 데이터베이스와 데이터의정보보안의 범주에서 DB와 DB내에 저장된 데이터의 보호에 특화하여 집중하는 것이라 할 수 있다. 이 연구에서는 데이터보안 인증체계와 미국의 연방보안관리법(FISMA)을 기반으로 한 적절한 데이터보안관리체계(DSMS, Data Security Management System) 모델 설계를 위한 기초연구를 진행한다. ISO27001, NIST의 Cybersecurity Framework 등 주요보안인증 제도를 살펴보고 또한 현재 개인 데이터 유출방지와 기업보안강화를 위한 보안플렛폼으로 구현된 데이터보안매니저 솔루션에 구현된 상태를 연구한다.

• 인터넷정보학회논문지
• /
• 제8권6호
• /
• pp.29-42
• /
• 2007

본 논문은 분산 보안 정책을 지정하기 위해 객체그룹을 사용하는 u-헬스케어 컴퓨팅 환경에서 응용 서비스를 위해 동적 보안 서비스를 지원하는데 설계된 보안 객체에 대해 기술한다. 특히 u-헬스케어를 위한 분산 프레임워크의 보안 정책과 규칙 그리고 접근 제어에 사용되는 오퍼레이션을 포함한 보안 객체에 중점을 두었다. 그리고 DPD-Tool을 이용하여 서버 프로그램으로 구현된 객체들의 접근권한 부여 절차 및 클라이언트 프로그램 개발 과정을 보였다. 또한 DPD-Tool을 이용하여 모바일 모니터링 응용 개발 절차를 통해 u-헬스케어 지원 분산 프레임워크에서 지원하는 동적 보안 서비스의 수행성을 검증하였다.

• 디지털융복합연구
• /
• 제17권1호
• /
• pp.141-148
• /
• 2019

디지털 기술의 발전으로 지능화 및 융합화가 가속화됨에 따라, 비즈니스 모델 및 인프라, 기술 등 여러 측면에서 기존 방식을 초월한 변화가 요구되고 있다. 변화된 비즈니스 환경에서는 다양한 보안 위험이 점증하고 있으며, 보안 위험관리의 중요성이 더욱 커지고 있다. 기존의 정보자산 기반의 위험관리에서 벗어나 비즈니스 중심의 위험관리가 대두되고 있는 시점에서 이를 위해서는 비즈니스 목표 달성을 위한 위험성향(Risk Appetite)을 파악하는 것이 필수적이며, 이는 추후 프로세스에서 발생하는 제반 의사결정 과정에 있어 판단 기준을 제공한다. 따라서 본 논문에서는 기존 위험성향 선행연구 분석 및 보호동기이론을 분석하여, 보안 위험성향 수준을 파악할 수 있는 프레임워크를 개발하였다. 또한 개발된 위험성향 프레임워크의 실무적 타당성을 검토하기 위해, 보안 위험관리 실무 전문가들로 구성된 자문위원회를 통해 적용가능성과 중요성을 검토하였다. 검토 결과, 재무, 운영, 기술, 평판, 컴플라이언스, 문화 6개의 보안 위험성향 고려 위험분야와 인지된 심각성, 인지된 취약성, 자기효능감, 반응효능감 4개의 요인이 보안 위험성향 측정을 위한 프레임워크 구성요소로서 타당한 것으로 검토되었다.

• Journal of Information Technology Applications and Management
• /
• 제18권2호
• /
• pp.91-108
• /
• 2011

Enormous losses of shareholders and consumers caused by the risks threatening today's business (e.g., accounting fraud and inside trading) have ignited the necessity of international regulations on corporate ethics and internal control, such as Basel II and SOX. Responding to these regulations, companies are establishing governance system, applying it consistently to the core competency of the company, and increasing the scope of the governance system. Recently occurred security related incidents require companies to take more strict accountability over information security. One of the results includes strengthening of legislation and regulations. For these reasons, introduction of information security governance is needed. Information security governance governs the general information security activities of the company (establishment of information security management system, implementation of information security solutions) in the corporate level. Recognizing that the information security is not restricted to IT domain, but is the issue of overall business, this study develops information security governance framework based on the existing frameworks and systems of IT governance. The information security governance framework proposed in the study include concept, objective, and principle schemes which will help clearly understand the concepts of the information security governance, and execution scheme which will help implement proper organization, process and tools needed for the execution of information security governance.

• 정보보호학회논문지
• /
• 제19권6호
• /
• pp.153-160
• /
• 2009

본 논문은 인적자산 보안관리에 관한 프레임워크를 개발하였고 이를 기반으로 관리지표와 보안수준 제고 요인을 도출하고 이를 실증적으로 분석한 연구이다. 인적자산 보안관리 프레임워크는 인원보증(Personnel Assurance), 개인역량(Personnel Competence), 보안 통제(Security Control) 분야로 구성되어 있으며, 관리지표는 9개 항목의 26개 지표로 도출되었다. 또한 보안수준 제고 요인은 보안인지, 규칙준수, 실수억제 항목으로 도출되었다. 연구결과, 보안관리 지표와 관리수준 제고 항목의 실증분석 결과는 대부분 부합성과 유의성을 가지고 있었으며 조직의 인적자산 보안관리 시 유용하게 적용될 것으로 기대된다.

• 정보보호학회논문지
• /
• 제23권6호
• /
• pp.1277-1286
• /
• 2013

탄력성(elasticity), 빠른 적용과 릴리즈, 광대역 네트워크 접속, 다중 접속(multi-tenancy), 활용에 제한이 없는(ubiquity) 유연성 등 클라우드 컴퓨팅의 고유한 속성들은 클라우드를 선택한 기업과 기관에게 획기적인 효율성을 제공하지만 원천적으로 내재된 보안 위협을 제거해야 하는 대책수립이 필요하다. 이를 위해 본 논문에서는 전략적 연계 모델을 참조하여 클라우드 컴퓨팅 정보보호 프레임워크를 제시하였다. 클라우드 컴퓨팅 정보보호 프레임워크는 클라우드 위협, 보안통제 활동, 클라우드 이해관계자를 중심 축으로 합목적성, 책임성, 투명한 책임소재의 벽면으로 구성된다. 중심 축은 클라우드 환경에서 정보보호 활동을 수행하는 주요 목적인 위협 최소화목표와 이해관계자를 지정하고 그들이 해야 할 정보보호 활동을 정의하고 있다. 또한, 3개 벽면은 클라우드 환경에서 정보보호 활동을 수행하기 위한 원칙이며 중심 축 간의 접점에서 7개 서비스 패키지 도출을 위한 방향을 제공한다.

• 산업경영시스템학회지
• /
• 제39권3호
• /
• pp.18-29
• /
• 2016

For most organizations, a security infrastructure to protect company's core information and their technology is becoming increasingly important. So various approaches to information security have been made but many security accidents are still taking place. In fact, for many Korean companies, information security is perceived as an expense, not an asset. In order to change this perception, it is very important to recognize the need for information security and to find a rational approach for information security. The purpose of this study is to present a framework for information security strategies of companies. The framework classifies companies into eight types so company can receive help in making decisions for the development of information security strategy depending on the type of company it belongs to. To develope measures to classify the types of companies, 12 information security professionals have done brainstorming, and based on previous studies, among the factors that have been demonstrated to be able to influence the information security of the enterprise, three factors have been selected. Delphi method was applied to 29 security experts in order to determine sub items for each factor, and then final items for evaluation was determined by verifying the content validity and reliability of the components through the SPSS analysis. Then, this study identified characteristics of each type of eight companies from a security perspective by utilizing the developed sub items, and summarized what kind of actual security accidents happened in the past.

• 한국방송∙미디어공학회:학술대회논문집
• /
• 한국방송공학회 2009년도 IWAIT
• /
• pp.400-403
• /
• 2009

EAP (Extensible Authentication Protocol) is often used as an authentication framework for two-party protocol which supports multiple authentication algorithms known as "EAP method". And PKMv2 in 802.16e networks use EAP as an authentication protocol. However, this framework is not efficient when the EAP peer executing handover. The reason is that the EAP peer and EAP server should re-run EAP method each time so that they authenticate each other for secure handover. This makes some delays, so faster re-authentication method is needed. In this paper, we propose a new design of the PKMv2 framework which provides fast re-authentication. This new framework and usage of the keys which used as a short-term credential bring better performance during handover process.

• 한국컴퓨터정보학회논문지
• /
• 제23권11호
• /
• pp.75-84
• /
• 2018

Social engineering attack means to get information of Social engineering attack means to get information of opponent without technical attack or to induce opponent to provide information directly. In particular, social engineering does not approach opponents through technical attacks, so it is difficult to prevent all attacks with high-tech security equipment. Each company plans employee education and social training as a countermeasure to prevent social engineering. However, it is difficult for a security officer to obtain a practical education(training) effect, and it is also difficult to measure it visually. Therefore, to measure the social engineering threat, we use the results of social engineering training result to calculate the risk by system asset and propose a attack graph based probability. The security officer uses the results of social engineering training to analyze the security threats by asset and suggests a framework for quick security response. Through the framework presented in this paper, we measure the qualitative social engineering threats, collect system asset information, and calculate the asset risk to generate probability based attack graphs. As a result, the security officer can graphically monitor the degree of vulnerability of the asset's authority system, asset information and preferences along with social engineering training results. It aims to make it practical for companies to utilize as a key indicator for establishing a systematic security strategy in the enterprise.