• 정보보호학회논문지
• /
• 제18권4호
• /
• pp.135-141
• /
• 2008

사이버 침해사고와 해킹의 위험성이 증대되고 있다. 이를 해결하기 위하여 정보보호기술중에서 보안위험분석 분야의 연구가 활발하게 이루어지고 있다. 하지만 평가를 위해서는 적지 않은 평가비용, 수개월의 평가기간, 평가 참여인원, 평가후의 보안대책비용, 보안관리비용에 대한 부담이 클 수밖에 없다. 이에 따라, 본 논문에서는 정량평가 형태의 위험분석평가를 프로젝트단위로 관리하며, 평가기간 및 적정 평가자 선정을 위한 사례기반추론알고리즘을 이용한 위험분석방법론 제안한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제15권12호
• /
• pp.4531-4544
• /
• 2021

Because the traditional network information security vulnerability risk assessment method does not set the weight, it is easy for security personnel to fail to evaluate the value of information security vulnerability risk according to the calculation value of network centrality, resulting in poor evaluation effect. Therefore, based on the network security data element feature system, this study designed a quantitative assessment method of network information security vulnerability detection risk under single transmission state. In the case of single transmission state, the multi-dimensional analysis of network information security vulnerability is carried out by using the analysis model. On this basis, the weight is set, and the intrinsic attribute value of information security vulnerability is quantified by using the qualitative method. In order to comprehensively evaluate information security vulnerability, the efficacy coefficient method is used to transform information security vulnerability associated risk, and the information security vulnerability risk value is obtained, so as to realize the quantitative evaluation of network information security vulnerability detection under single transmission state. The calculated values of network centrality of the traditional method and the proposed method are tested respectively, and the evaluation of the two methods is evaluated according to the calculated results. The experimental results show that the proposed method can be used to calculate the network centrality value in the complex information security vulnerability space network, and the output evaluation result has a high signal-to-noise ratio, and the evaluation effect is obviously better than the traditional method.

• 정보보호학회논문지
• /
• 제25권6호
• /
• pp.1595-1606
• /
• 2015

위험분석은 위험을 허용 가능한 수준으로 관리하기 위한 방안을 수립하는 데 활용된다. 이러한 위험관리 의사결정에 있어서 위험의 시각화는 중요하다. 그러나 기존의 위험 시각화 방식은 위험의 요소들을 고려하여 입체적으로 위험을 시각화하는 데 있어서 한계를 지닌다. 본 논문에서는 기밀성, 무결성, 가용성 측면에서 개별적 혹은 종합적으로 위험을 표현할 수 있는 개선된 위험도 3차원 시각화 방법을 제시한다. 제안된 방법을 기업의 위험분석 평가에 적용하여 유효성을 검증한다. 제안된 시각화 방법은 내부통제를 위한 정보보호 의사결정 과정에 효과적으로 활용될 수 있다.

• 한국정보과학회논문지:시스템및이론
• /
• 제34권7호
• /
• pp.282-287
• /
• 2007

정보시스템을 이용하는 금융, 무역, 의료, 에너지, 교육 등 사회 각 분야에서 정보화가 급속하게 진전되고 있다. 정보시스템에 대한 보안관리는 위험분석평가가 선행 되어야하며, 보안위험분석은 요구되는 정보보호서비스의 취약점을 해결하고 위협으로부터 시스템을 안전하게 관리할 수 있는 최선의 방법이다. 본 논문에서는 최적의 평가계획을 수립한 수 있는 평가사례기반추론 기능을 모델링하였다. 평가 사례기반추론(case-based reasoning) 기능은 보안위험분석평가를 프로젝트단위로 관리하며, 기존의 평가사례 간유사도를 평가하고, 유사한 평가 사례를 바탕으로 최적의 보안위험분석평가 계획을 수립할 수 있다.

• 정보보호학회논문지
• /
• 제25권5호
• /
• pp.1281-1291
• /
• 2015

과거와 비교하여, 오늘날의 사람들은 오픈 채널을 통해 단말기를 제어할 수 있다. 비록 이러한 오픈 채널이 사용자들에게 편의를 제공하지만, 보안 사고의 빌미를 제공 하기도 한다. 본 논문은 단말기 간의 관계들에 가중치를 주는 인간 중심적인 보안 리스크 분석 방법을 제안한다. 이 방법은 네트워크에 존재하는 한 노드가 가지는 평균적인 불확실성을 표현하는 엔트로피 레이트를 응용하여 만들어졌다. 다른 크기의 네트워크들을 비교하는데 있어서 엔트로피 레이트를 이용하는 것에는 한계가 있기때문에, 주어진 네트워크에 대하여 주어진 네트워크와 동일한 노드수를 가진 컴플릿 네트워크의 엔트로피레이트를 나누어 비교가 가능하도록 만들었다. 또한, 그래프 상에서 랜덤워크에 대한 엔트로피 레이트의 기본 전제인 irreducible의 위배를 피하는 방법 또한 기술하였다.

• 정보보호학회논문지
• /
• 제29권5호
• /
• pp.1179-1189
• /
• 2019

사이버보안성 평가란 자산분석, 위협분석, 취약성 분석을 통하여 자산 및 시스템의 위험 수준을 평가하여 적절한 보안조치를 적용하는 일련의 과정으로 증가하는 사이버 공격에 대한 대비를 위해 체계적인 사이버보안성 평가가 요구된다. 이에 CWSS, CVSS 등 사이버 보안 수준 측정을 위한 다양한 지표가 개발되고 있으나 표준화된 보안성 평가 결과를 통해 위험 우선순위에 따라 적절한 보안조치를 적용하기 위한 정량적 방법은 미흡한 실정으로 대상자산이 가지는 특성, 적용되어 있는 환경, 자산에 미치는 영향 등을 고려한 평가 체계가 필요하다. 이에 본 논문에서는 기존의 사이버 보안 평가 방법 분석을 기반으로 정량적 위험 평가 모델을 정립하고 정립한 모델에 적용하기 위한 평가 요소들의 정량화를 위한 방법을 제시한다. 사이버 보안성 평가 시 필요한 정성적 속성 요소들의 수준을 AHP 기법을 통한 보안요건별 가중치, 위협 별 영향도, 취약점 요소 별 점수화를 통한 위협 성공 가능성에 대한 확률값 산출을 통해 통계적 데이터를 적용해야 하는 정량적 방법의 한계점을 보완하여 표준화된 사이버 보안 평가 체계를 확립할 것으로 기대된다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권12호
• /
• pp.541-552
• /
• 2013

최근 우리 생활에 스마트 기술의 빠른 전파 때문에 정보 과학 및 기술 분야에 있어서는 스마트 폰의 소프트웨어 보안성이 중요한 이슈가 되고 있다. 보안성 중요 시스템인 스마트 폰은 은행 서비스, 유비쿼터스 홈 관리, 항공 고객의 검색 등의 서비스 시스템에 이용되기 때문에 비용의 리스크, 손실의 리스크, 이용가능 리스크, 그리고 사용상의 리스크에 관련 되어 있다. 스마트 폰의 보안성 이슈는 이들의 관찰된 고장들을 사용하여 소프트웨어 장애 분석을 하는 것이 핵심 접근 방법이다. 본 연구에서는 손으로 조작하는 디바이스들의 수렴하는 보안성과 신뢰성 분석 기법을 얻기 위해서 결함 트리 분석 (FTA)와 고장 모드 효과 분석(FMEA)을 사용하여 스마트 폰의 소프트웨어 보안성 분석을 위한 하나의 유효한 통합적 프레임 워크를 제안한다. 그리고 만약 하나의 고장 모드 효과 분석이 더욱 더 간단해지면 스마트 디바이스들의 보안성 개선뿐만 아니라 고장효과 의 감소를 위해서 제안된 통합적인 프레임 워크는 핵심 해법이 됨을 논의한다.

• 한국멀티미디어학회논문지
• /
• 제17권12호
• /
• pp.1494-1502
• /
• 2014

Since smartphones are utilized in the ranges from personal usages to governmental data exchanges, known but not patched vulnerabilities in smartphone operating systems are considered as major threats to the public. To minimize potential security breaches on smartphones, it is necessary to estimate possible security threats. So far, there have been numerous studies conducted to evaluate the security risks caused by mobile devices qualitatively, but there are few quantitative manners. For a large scale risk evaluation, a qualitative assessment is a never ending task. In this paper, we try to calculate relative risk levels triggered by software vulnerabilities from unsecured smartphone operating systems (Android and iOS) among 51 Asian countries. The proposed method combines widely accepted risk representation in both theory and industrial fields. When policy makers need to make a strategic decision on mobile security related agendas, they might find the presented approach useful.

• Nuclear Engineering and Technology
• /
• 제44권8호
• /
• pp.919-928
• /
• 2012

The applications of computers and communication system and network technologies in nuclear power plants have expanded recently. This application of digital technologies to the instrumentation and control systems of nuclear power plants brings with it the cyber security concerns similar to other critical infrastructures. Cyber security risk assessments for digital instrumentation and control systems have become more crucial in the development of new systems and in the operation of existing systems. Although the instrumentation and control systems of nuclear power plants are similar to industrial control systems, the former have specifications that differ from the latter in terms of architecture and function, in order to satisfy nuclear safety requirements, which need different methods for the application of cyber security risk assessment. In this paper, the characteristics of nuclear power plant instrumentation and control systems are described, and the considerations needed when conducting cyber security risk assessments in accordance with the lifecycle process of instrumentation and control systems are discussed. For cyber security risk assessments of instrumentation and control systems, the activities and considerations necessary for assessments during the system design phase or component design and equipment supply phase are presented in the following 6 steps: 1) System Identification and Cyber Security Modeling, 2) Asset and Impact Analysis, 3) Threat Analysis, 4) Vulnerability Analysis, 5) Security Control Design, and 6) Penetration test. The results from an application of the method to a digital reactor protection system are described.

• 융합보안논문지
• /
• 제15권5호
• /
• pp.9-15
• /
• 2015

클라우드 컴퓨팅은 서버의 추가 구축에 대한 비용절감, 데이터 스토리지 확대에 대한 비용 절감, 컴퓨터 자원에 대한 공유, 새로운 기술의 적용에 대한 편의성 등의 장점을 가지고 있다. 그러나 서비스 모델의 다양성으로 인하여 새로운 보안의 우려사항이 높아지고 있어, 이용자가 서비스의 안정성을 신뢰할 수 있도록 인증제도가 운영되고 있다. 이에 본 논문에서는 인증제도의 신뢰성을 확보하기 위해 기존 IT환경에서 적용되던 위험 분석 방법과 달리 공공 IaaS(Infrastructure as a Service) 클라우드 서비스 특징을 고려, 새로운 위험분석 방법을 제안한다.