• 정보보호학회논문지
• /
• 제27권2호
• /
• pp.241-250
• /
• 2017

폐쇄적으로 운영되던 과거의 기반시설과 달리 현재의 기반시설 네트워크는 IoT 기기와 외부 망과의 연계를 통한 효율적인 관리 시스템을 도입하고 있다. 이를 통해 과거의 기반시설 네트워크에 비해 생산성과 관리의 효율은 증대 될 수 있으나 외부 망과의 연계 접점이 생김에 따라 S/W 취약점과 이를 악용한 사이버 보안 이슈가 발생할 수 있으며 이에 대응하기 위한 사이버보안 가이드라인은 필수적이다. 그러나 각 기관에서 적합한 사이버보안 가이드라인을 개발하는 것이 용이하지 않아 정부 기관에서 작성한 사이버보안 점검 리스트를 활용하고 있으며 이는 각 기반시설 네트워크의 특징을 충분히 반영하지 못하는 한계가 있다. 따라서 본 연구에서는 기반시설 네트워크의 특징을 반영한 사이버 보안 가이드라인을 개발을 위해 NIST CSF[2], DoE C2M2[3] 등 주요 국가의 사이버보안 가이드라인 관련 표준과 기반시설 네트워크를 분석하고 이를 통해 기반시설 네트워크 사이버보안 가이드라인 개발 방안을 도출하고 검증방안을 제시하였다.

• 디지털융복합연구
• /
• 제17권8호
• /
• pp.105-113
• /
• 2019

본 연구는 원자력 발전소등의 국가 핵심기반시설에 대한 기존의 사이버 보안 위험 모델링 기법을 분석하고 이의 한계점 및 개선방안을 도출하는데 목적이 있다. 연구 대상은 전력 및 원자력 발전소, SCADA등의 국가 핵심기반시설의 사이버 보안 위험 모델링 기법이다. 연구에서는 SCADA, 전력, 원자력 발전의 사이버 보안 위험 모델링 분야의 총 26편에 대한 선행 연구 사례를 분석하고, 이를 정성적 모델링과 정량적 모델링 기법으로 구분하여 각각의 특징과 한계점에 대해 분석하였다. 최근 핵심기반시설은 디지털화 되어 가는 추세이며 Windows등의 운영체제를 사용하는 시스템들로 구성되어 있지만, 상시 운영되어야 하는 요구사항으로 인해, 취약점이 발견되더라도 패치등을 즉각 행할 수가 없는 특징이 있다. 본 연구에서는 이러한 제약사항들을 감안하여 취약점들이 핵심기반시설의 생명주기동안 어떤 특성으로 전파되고 예방 할 수 있는지에 대한 모델링 기법 방안을 제시하고 있다.

• 한국컴퓨터정보학회논문지
• /
• 제22권2호
• /
• pp.51-57
• /
• 2017

The first thing to be prioritized is to set the scope of the management system when establishing an information security management system for systematic and effective information security management. It is important to set the scope for an organization's information security goals due to the scope affects the organization's overall information security activities. If the scope is set incorrectly, it might become impossible to protect important services and therefore, the scope of the management system should be determined in consideration of the core business services of the organization. We propose a core service selection model based on the organization's mission-critical service and high risk service in order to determine the effective information security management system scope in this paper. Core service selection criteria include the type of service, contribution to sales, socio-economic impact, and linkage with other services.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제17권12호
• /
• pp.3398-3415
• /
• 2023

Internet-of-Things (IoT) is an emerging technology that interconnects millions of small devices to enable communication between the devices. It is heavily deployed across small scale to large scale industries because of its wide range of applications. These devices are very capable of transferring data over the internet including critical data in few applications. Such data is exposed to various security threats and thereby raises privacy-related concerns. Even devices can be compromised by the attacker. Modern cryptographic algorithms running on traditional machines provide authentication, confidentiality, integrity, and non-repudiation in an easy manner. IoT devices have numerous constraints related to memory, storage, processors, operating systems and power. Researchers have proposed several hardware and software implementations for addressing security attacks in lightweight encryption mechanism. Several works have made on lightweight block ciphers for improving the confidentiality by means of providing security level against cryptanalysis techniques. With the advances in the cipher breaking techniques, it is important to increase the security level to much higher. This paper, focuses on securing the critical data that is being transmitted over the internet by PRESENT using key-based dynamic S-Box. Security analysis of the proposed algorithm against other lightweight block cipher shows a significant improvement against linear and differential attacks, biclique attack and avalanche effect. A novel key-based dynamic S-Box approach for PRESENT strongly withstands cryptanalytic attacks in the IoT Network.

• 정보보호학회논문지
• /
• 제29권2호
• /
• pp.401-415
• /
• 2019

최근 기반시설에 대한 사이버 공격의 증가에 따라 기반시설의 안전성 강화를 위한 연구와 노력이 계속되어 왔다. 본 논문에서는 다양한 사이버 위협의 정의와 유형에 대해 살펴보고 사이버 위협의 정의를 명확히 하였다. 중국으로부터의 심각한 사이버 위협에 대해 살펴본 후, 사이버 위협의 실체, 즉, 사이버 위협의 출발지, 위협의 유형, 빈도 등을 분석하여 사이버 위협의 명확한 모습을 규명하였다. 이를 통해 사이버 위협 차단을 위한 불필요한 해외 IP 대역 차단 기준을 확립하였다. 불필요한 해외 IP 대역 차단을 위한 방법으로 정보시스템 단위별 차단 방법과 네트워크 단위별 차단방법을 제안하였다. 또한 보안장비별 차단 특성과 보안관제 개선 효과, 악성 해외 IP 대역 차단시의 영향, 해외 정상 사용자들에 대한 서비스 방안 등을 제시하였다.

• Nuclear Engineering and Technology
• /
• 제45권5호
• /
• pp.637-652
• /
• 2013

Instrumentation and control systems in nuclear power plants have been digitalized for the purpose of maintenance and precise operation. This digitalization, however, brings out issues related to cyber security. In the most recent past, international standard organizations, regulatory institutes, and research institutes have performed a number of studies addressing these systems cyber security.. In order to provide information helpful to the system designers in their application of cyber security for the systems, this paper presents methods and considerations to define attack vectors in a target system, to review and select the requirements in the Regulatory Guide 5.71, and to integrate the results to identify applicable technical security control requirements. In this study, attack vectors are analyzed through the vulnerability analyses and penetration tests with a simplified safety system, and the elements of critical digital assets acting as attack vectors are identified. Among the security control requirements listed in Appendices B and C to Regulatory Guide 5.71, those that should be implemented into the systems are selected and classified in groups of technical security control requirements using the results of the attack vector analysis. For the attack vector elements of critical digital assets, all the technical security control requirements are evaluated to determine whether they are applicable and effective, and considerations in this evaluation are also discussed. The technical security control requirements in three important categories of access control, monitoring and logging, and encryption are derived and grouped according to the elements of attack vectors as results for the sample safety system.

• Asia pacific journal of information systems
• /
• 제21권3호
• /
• pp.51-69
• /
• 2011

Security has been considered one of the most critical issues for managing IT resources in many organizations. Despite a growing interest and extensive research on security at various levels, little research has focused on the comparison of security knowledge levels between different cultures. The current study investigates and compares the security knowledge level between Korea and the U.S. Based on the literature review of spyware, Hofstede's cultural dimensions, and security knowledge, this study identifies three constructs (i.e., security familiarity, spyware awareness, and spyware knowledge) to examine the difference of security knowledge levels between Korea and the U.S. Six hundred ninety-six respondents from Korea and the U.S. participated in the survey, and an in-depth analysis based on analysis of covariance (ANCOVA) was carried out. The results show that the levels of security familiarity, spyware awareness, and spyware knowledge are significantly lower in Korea than in the U.S., as expected. These findings present a significant association between national culture and security knowledge, and the degree of individualism (or collectivism) plays an especially critical role in the perception of security. A number of implications for academia and practitioners emerge. Limitations and future research directions are discussed in the conclusion.

• 디지털융복합연구
• /
• 제8권4호
• /
• pp.97-108
• /
• 2010

최근 정보보호 거버넌스는 기업 거버넌스의 일부로서 기업의 가치 있는 비즈니스 정보자산을 보호하기 위한 중요한 이슈로 부각되고 있다. 현재 국내외에서 정보보호 거버넌스에 대한 활발한 연구가 진행되고 있지만, 그 개념이 추상적이기 때문에 실질적으로 정보보호 거버넌스를 구현한 조직은 드물다. 따라서 본 논문에서는 정보보호 거버넌스의 개념을 보다 구체화하기 위하여 ISO/IEC27014를 기반으로 최고 경영층 및 이사회가 수행 가능한 구체적인 활동을 식별하고, 조직의 목표 및 정보보호 거버넌스 목표를 달성하기 위한 핵심성공요인을 도출하였다.

• 한국전자거래학회지
• /
• 제18권3호
• /
• pp.125-142
• /
• 2013

IT비즈니스의 전략적 연계가 강화됨에 따라 금융서비스에서 IT의존도는 높아지고 있다. 안전하고 신뢰된 금융서비스를 제공하기 위해서는 지속적인 정보보호활동을 수행해야 하며, 이에 관한 조직의 정보보호 업무성과 측정은 의사결정 및 경영지원 측면에서 유용하다. 본 논문은 정보보호관리체계(K-ISMS)와 금융IT 부문 정보보호 업무 모범규준의 평가기준을 기반으로 핵심성공요인(CSF, Critical Success Factor)과 핵심성과지표(KPI, Key Performance Indicator)를 도출한다. 이는 정보보호정책 준수에 유의한 영향을 주는 핵심성과지표를 판별하는 논리적 근거를 제공하며, 금융IT 정보보호 역량을 강화하기 위한 정책을 수립하기 위한 기초자료로 활용할 수 있다.

• Nuclear Engineering and Technology
• /
• 제55권1호
• /
• pp.25-36
• /
• 2023

Nuclear power plants have recognized the importance of nuclear cybersecurity. Based on regulatory guidelines and security-related standards issued by regulatory agencies around the world including IAEA, NRC, and KINAC, nuclear operating organizations and related systems manufacturing organizations, design companies, and regulatory agencies are considering methods to prepare for nuclear cybersecurity. Cryptographic algorithms have to be developed and applied in order to meet nuclear cybersecurity requirements. This paper presents methodologies for validating cryptographic algorithms that should be continuously applied at the critical control system of I&C in NPPs. Through the proposed schemes, validation programs are developed in the PLC, which is a critical system of a NPP's I&C, and the validation program is verified through simulation results. Since the development of a cryptographic algorithm validation program for critical digital systems of NPPs has not been carried out, the methodologies proposed in this paper could provide guidelines for Cryptographic Module Validation Modeling for Control Systems in NPPs. In particular, among several CMVP, specific testing techniques for ECB mode-based block ciphers are introduced with program codes and validation models.