정보보호 패러다임 변화 및 정보보호 동향에 대한 고찰

최명길(Choi Myeonggil),김세헌(Kim Sehun) 한국정보보호학회 2007 情報保護學會誌 Vol.17 No.4

정보보호는 지난 세기에 걸쳐서 많은 발전을 이룩하여 왔다. 정보보호의 패러다임은 메임프레임을 기반으로 하는 제1세대, 정보보호관리를 중심으로 하는 제2세대, 제도화를 중심으로 하는 제3세대를 걸쳐 정보보호 가버넌스를 중심으로 하는 제4세대 이르러고 있다. 본 고는 정보보호의 패러다임의 변화를 살펴봄으로 향후에 전개될 정보보호 발전 양상을 고찰하고, 정보보호 패러다임의 혼재로 나타나고 있는 최근 정보보호 동향을 살펴본다.

개인정보보호법을 대비한 개인정보보호 시스템에 관한 연구

김동례(Dong Rye Kim),심기창(Gi Chang Shim),전문석(Moon-seog Jun) 한국정보보호학회 2011 情報保護學會誌 Vol.21 No.6

개인정보보호법이 2011년 3월 국회 법사위에서 통과되어 2011년 9월 30일 시행예정에 있다. 시행예정에 있는 개인정보보호법은 기존 공공기관의 개인정보보보호에 관한 법률을 포함하게 된다. 기존의 개인정보보호 관련 법규 및 시행령은 크게 관리적 보호조치와 기술적 보호조치로 구분된다. 기술적 보호조치의 주요 기반기술은 개인정보보호시스템, 접근통제, 암호화, 출력매체, 접근 및 이용, 웹사이트 노출방지대책 등으로 분류할 수 있다. 본 연구에서는 개인정보보호 기술적 조치사항의 주요기반기술에 대해 기술 및 솔루션, 시스템을 살펴보고 최근 웹 사이트 및 내부 업무시스템에서의 개인정보보호 시스템 특징을 연구하고 단계적 적용을 제안하였다. 본 연구를 통하여 2011년 9월 30일 시행되는 개인정보보호법에 대비하여 기술적 보호조치 단계를 제시함으로써 개인정보 담당자 및 정보보호 담당자에게 한정된 예산과 일정기간에 단계별로 개인정보보호 수준을 높이는 참조 모델로 활용될 수 있을 것으로 기대된다.

국내 정보보호 교육체계 연구

김동우(Dong-woo Kim),채승완(Seung-woan Chai),류재철(Jae-cheol Ryou) 한국정보보호학회 2013 정보보호학회논문지 Vol.23 No.3

최근의 사이버 공격은 내부 직원을 목표로 하거나 불특정 다수의 PC를 이용하는 등 지능화, 대규모화 되고 있어 기술적인 보안대책만으로 대응하는데 한계가 있으며, 관련 인력이 중심이 되는 종합적인 대책이 필요하다. 그러나 정보보호 전문 인력을 양성하는데 있어서 근간이 되는 국내의 정보보호 교육체계는 정보보호 교육 중장기 계획 부재, 교육 프로그램에 대한 검증 부족, 교육기관 간의 정보 교류 부재 등 여러 가지 문제점을 가지고 있다. 본 논문에서는 국내 정보보호 교육체계의 문제점을 해결하고 사이버 정보보호 환경을 개선하기 위한 정보보호 교육 발전 방안을 제안한다. 본 논문에서 제안하는 정보보호 교육체계 발전 방안은 국가 정보보호 교육 마스터플랜의 기획 및 추진, 정보보호 교육 프로그램 인증제도 도입, 정보보호 전문인력 DB 운영, 정보보호 전문 인력에 대한 다양한 혜택 개발 등의 세부 방안을 포함한다. There is a limitation on counteracting recent cyber-attacks with only technical security measures because they become more intelligent and large-scale to aim at employees instead of systems directly or to be conducted with unspecified multiple PCs. Thus, comprehensive measures revolved around related manpower are necessary to deal with them. However, domestic information security education system which is the base of professional manpower training lacks medium-and long-term plans for information security education, verification of education programs, and information sharing among educational institutions. This paper suggests information security education development plans for resolving problems on domestic education systems and improving cyber information security environment such as a national information security education master plan, certification system introduction of education programs, and professional manpower database management.

정보보호 분야 지식 및 기술 수요

유혜원(Hye-Won Yoo),김태성(Tae-Sung Kim),전효정(Hyo-Jung Jun) 한국정보보호학회 2009 情報保護學會誌 Vol.19 No.1

다년간의 국가정보화 노력으로 우리나라는 이미 IT 강국으로서 선진 정보강국과 어깨를 나란히 하고 있다. 인터넷의 발달과 이를 통한 전자상거래 및 인터넷뱅킹 등 IT 산업의 급격한 발전이 이를 뒷받침해주고 있다. 이러한 추세에 따라 각종 정보보호 제품 및 기술의 개발과 정보보호의 중요성을 인식한 정보보호관리 정책의 수립도 함께 이루어져왔다. 향후 유비쿼터스 사회를 맞이하여 국민 삶의 질적 수준을 한 단계 끌어올리기 위해서는 보다 안정된 정보사회 기반을 마련해야 할 것이다. 이를 위해서 정보보호의 중요성을 확산시키고 정보보호를 담당하는 전문인력을 양성하는 데에 주력해야 할 것이다. 본 연구는 정보보호 인력의 질적 양성을 위해 보다 체계적인 정보보호 교육의 필요성을 높이 인식하여, 정보보호 전문인력이 갖추어야 할 지식 및 기술에 대해 분석하고 있다. 우선, 정보통신 및 정보보호 관련 선행 연구를 통해 55개의 정보보호 분야 지식 및 기술을 도출하고, 산업계 및 학계의 전문가 대상의 검토를 통해 총 71개의 지식 및 기술을 최종 도출하였다. 본 연구의 결과는 정보보호 분야의 실무 수행에 필요한 지식 및 기술 항목들을 제시함으로써, 수요 지향적인 정보보호 교육 프로그램 개발 및 운영에 활용될 수 있을 것이다.

ISO에서의 정보보호관리 국제 표준화 동향

홍기향(Kihyang Hong),김정덕(Jungduk Kim) 한국정보보호학회 2004 情報保護學會誌 Vol.14 No.2

ISO의 정보보호관리 표준은 ISO/IEC JTC1/SC27 WG1에서 표준화를 진행하고 있으며, 현재까지 제정된 정보보호관리 표준으로는 ISO 13335 MICTS와 ISO 17799 Code of practices for information security management 등이 있다. ISO 13335는 정보보호관리 모델 및 기술에 대한 가이드를 제공하는 표준이고, ISO 17799는 정보보호관리 통제에 대한 가이드를 제공하는 표준이다. 최근 동향으로는 ISMS(Information Security Management Systems)국제표준화 작업이 시작될 것으로 예상되며, WG1에서 작업 중인 정보보호관리 표준 간 유사성을 배제하고 통합된 체제를 만들기 위한 로드맵 작성 작업이 진행 중에 있다. 인터넷의 확산과 정보화의 역기능 증가에 따라 능동적인 정보보호관리체계의 수립을 위하여, 우리나라도 정보보호 관리 표준의 제정 과정에 적극적으로 참여할 뿐 아니라 국내 많은 조직에서 정보보호관리 표준이 적용되어 국가적인 정보보호관리 수준이 향상될 수 있도록 할 필요가 있다.

정보보호 기반 강화를 위한 정보보호 예산 확대 및 개선 방안 연구

배선하(Sunha Bae),김소정(So Jeong KIM) 한국정보보호학회 2016 정보보호학회논문지 Vol.26 No.5

전자상거래, 전자정부 등 사이버 공간에서 활동 증가에 따라 안전하고, 신뢰성있는 정보화 기술 활용을 위한 정보보호의 중요성이 날로 높아지고 있다. 이에 미국, 영국을 비롯한 주요 선진국은 자국의 정보보호 강화를 위해 지속적으로 예산을 확대해 나가고 있다. 우리나라도 정보보호를 차세대 먹거리 산업 및 신성장동력 산업으로 육성하겠다는 계획을 발표하는 등 정보보호에 대한 관심이 지속적으로 높아지고 있다. 그러나 높아지는 관심과 필요성에 비해 우리나라의 정보보호 예산은 소폭 확대되었고, 정보보호 예산 부족이 우리나라의 정보보호 산업 성장 저해 요소로 지속적으로 지적되고 있다. 또한 정보보호 예산 편성 방안도 전체적인 정보보호 내용을 포괄하지 못하고, 정보화 사업 내에서 일부 보안 SW, HW, 서비스에 국한되어 요구가 가능하도록 되어 있어 명확한 예산 파악 및 실질적인 예산 확대에 어려움을 야기한다. 국가 전체적인 정보보호 역량 강화를 위해서는 정보보호 예산 및 투자의 확대가 필수적이다. 이에 본 논문에서는 우리나라의 정보보호 예산 현황 및 편성 방안에 대해서 검토하고, 미국의 정보보호 예산 현황 및 편성 방안을 분석하여 효과적인 정보보호 예산 확대 및 개선 방안을 제안하였다. Information security to use information technology(IT) in safety and reliability environment is becoming of great importance. In advanced countries including United States and United Kingdom are consistently expanding budget for information security. Korea also has been a growing interest in information security and Korea government announced plan to develop information security into next-generation growth engine. However, information security budget has increased slightly in recent years, so many national institutions and state governments have budget shortfall to perform information security work. Moreover budget items do not include generic contents about information security and there are confined to some security SW, HW and services. It is necessary to expand information security budget for enhancement national capabilities of information security. In this paper, we analyze the IT and information security budget situation for Korea and United States and propose effective budget expansion and improvement approaches for Korea.

개인정보보호 관련 법령의 내용과 보안제품 분포간의 연관성 분석

김민정(Min-Jeong Kim),이정원(Jung Won Lee),유진호(Jinho Yoo) 한국정보보호학회 2015 정보보호학회논문지 Vol.25 No.6

최근 몇 년간 크고 작은 개인정보 유출 사고가 끊이지 않고 있다. 그에 따라 개인정보보호 관련 법령이 지속적으로제·개정 되고 있으며, 정보보호 제품도 발전하고 있다. 또한 보안 적합성 검증인 CC인증, 국정원 검증 암호모듈(KCMVP)등 정보보호 제품에 대한 인증체계도 엄격히 이뤄지고 있다. 본 논문에서는 개인정보보호 관련 법령인 개인정보보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 위치정보의 보호 및 이용 등에 관한 법률과 신용정보의 이용 및 보호에 관한 법률, 전자금융거래법의 5개 법령의 물리적, 기술적, 관리적 보호조치 중 기술적 보호조치의 키워드를 분석 및 분류하였다. 그리고 법령상 기술적 보호조치와 CC인증 및 KCMVP 제품군과 지식정보보안산업협회(KISIA) 회원사의 정보보호 제품 분포와의 연관성을 분석하였다. For the past few years, personal information breach incidents, great and small, occurred constantly. Accordingly, the Personal Information Protection related Ordinances are enacted and amended persistently, and the information security products also keep advancing and developing in the same way. There are the certification systems such as Common Criteria Evaluation and Validation(CC) and Korea Cryptographic Module Validation Program(KCMVP) for the information security products. These are also strictly carried out. This paper analyzes and categorizes the 5 Personal Information Protection related Ordinances in the aspects of technical protection measures by using key words. Here are the 5 related ordinances; ‘the Personal Information Protection Act’, ‘the Act on Promotion of Information and Communications Network Utilization and Information Protection, etc’, ‘the Act on the Protection, Use, Etc, of Location Information’, ‘the Use and Protection of Credit Information Act’, and ‘the Electronic Financial Transactions Act.’ Moreover, this study analyzes the association between the technical protection measures in the 5 relevant laws and the information security products that are obtaining the CC Evaluation & Validation(CC) and the products that are now produced at KISIA’s member companies.

일본 중소기업 정보보호 대책 가이드라인 동향

박춘식(Park Choon-Sik) 한국정보보호학회 2010 情報保護學會誌 Vol.20 No.1

정보화의 진전에 따라 기업의 정보화도 급속하게 추진되고 이에 따른 역기능인 정보보호 문제도 함께 고려해야 하는 실정이다. 특히 개인 정보 유출, 영업 영보 누설, 기업 내부 핵심 기술 유출 등은 현재 중소기업이 직면하고 있는 문제이며 대기업으로 부터의 위탁 업무를 수행하거나 자체 업무를 위해서도 정보보호 대책을 마련하지 않으면 안 되는 상황임은 주지의 사실이다. 그러나 많은 통계나 보고 자료에서 알려진 바와 같이 자금 면이나 인력 면 등에서 중소기업이 정보보호 대책을 수립하고 이를 구현하여 운영하는 것은 여러 면에서 어려운 것 또한 사실이다. 이러한 중소기업의 실정을 고려하여 우리나라에서는 2006년도 정보보호진흥원(현재 한국인터넷진흥원)에서 중소기업을 위한 정보보호 가이드라인을 발행하여 중소기업의 정보 보호 대책을 수립하는 등 중소기업의 정보보호 대책을 위한 많은 지원을 해 왔다. 우리나라와 유사한 환경에 있는 일본에서도 최근 중소기업 정보보호 대책 가이드라인을 발행하였다. 이에 본고에서는 국내 중소기업 정보보호 대책 수립과 지원에 참고하고자 2009년도에 발행한 일본 중소기업 정보보호 대책 가이드라인을 소개하고 시사점을 살펴보고자 한다.

정보보호관리체계(ISMS) 항목의 중요도 인식과 투자의 우선순위 비교 연구

이중정(Choong-Cheang Lee),김진(Jin Kim),이충훈(Chung-hun Lee) 한국정보보호학회 2014 정보보호학회논문지 Vol.24 No.5

최근의 개인정보 유출과 같은 정보보안 사고들이 기업의 매출 감소와 이미지 손실에 직접적인 영향을 주는 심각한 위험 관리 요소가 됨에 따라 체계적인 정보보호 관리를 위해 정보보호관리체계를 도입하는 기업들이 증가하고 있다. 그러나 기업 내 정보보호 인식과 달리 적은 투자로 인해, 한정된 예산으로 다양한 정보보호 요소들을 효과적으로 관리할 수 있는 방안이 중요해지고 있다. 본 연구에서는 정보보호관리체계의 13개 항목들에 대해 정보보호전문가들의 중요도 평가를 통해 우선순위를 도출하여, 단계적으로 정보보호관리체계를 구축할 수 있는 방향을 제공한다. 그리고 각 항목들에 대한 투자 정도도 평가하여 중요도와 투자 간의 우선순위 차이를 비교·분석하였다. 연구 결과 침해사고 관리가 가장 중요한 것으로 나타났으며, 투자 정도에서는 IT 재해복구가 가장 높은 것으로 확인되었다. 그리고 정보보호 중요도와 투자 간의 우선순위 차이가 큰 정보보호 항목은 암호통제, 정보보호정책, 정보보호교육, 인적보안으로 확인되었다. 본 연구 결과는 정보보호관리체계 도입을 고려하거나 운영 중인 기업들이 한정된 예산을 고려하여 효과적인 정보보호 투자에 대한 의사결정 자료로 활용될 수 있을 것으로 기대한다. Recently, organizational efforts to adopt ISMS(Information Security Management System) have been increasingly mandated and demanded due to the rising threat and the heavier cost of security failure. However there is a serious gap between awareness and investment of information security in a company, hence it is very important for the company to control effectively a variety of information security threats within a tight budget. To phase the ISMS, this study suggests the priorities based on evaluating the Importance of 13 areas for the ISMS by the information security experts and then we attempt to see the difference between importance and investment through the assessment of the actual investment in each area. The research findings show that intrusion incident handling is most important and IT disaster recovery is the area that is invested the most. Then, information security areas with the considerable difference between priorities of importance and investment are cryptography control, information security policies, education and training on information security and personnel security. The study results are expected to be used in making a decision for the effective investment of information security when companies with a limited budget are considering to introduce ISMS or operating it.

공공분야 개인정보보호 정책 집행과제의 우선순위 분석

신영진(Young-Jin Shin),정형철(Hyeong-Chul Jeong),강원영(Won-Young Kang) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.2

본 연구는 2008년부터 2011년까지 행정안전부에서 시행하고 있는 공공기관의 개인정보보호 수준진단 지표의 정책적 의미를 고찰하고, 각 지표의 중요도 선정에 따른 개인정보보호의 정책적 문제를 다루었다. 우선, 개인정보보호 수준진단 지표를 선정하기 위해 개인정보보호에 대한 정책 방향을 개인정보보호의 정책 및 기술적 측면, 개인정보의 관리적 측면, 개인정보 침해 대응적 측면인 세 분야로 구분하였다. 그리고, 각 정책방향에 따라 선정된 지표의 세부사항에 대해 학자, 전문가, 실무자를 대상으로 AHP 조사를 실시하여 우선적으로 추진해야 할 정책을 정하도록 하였다. AHP를 통해 개인정보보호 수준 진단 지표의 중요도를 도출하였으며, 개인정보보호정책의 일반적인 체계를 갖추기 위해 필요한 정책과제를 도출하였다. 결과적으로 공공기관의 개인정보보호의 제도적 기반 확충을 위해서는 웹사이트 상의 개인정보관리, 개인정보보호를 위한 전담 조직 및 인력, 그리고 개인정보보호시스템 도입 등이 우선 시 된다.본 연구의 정책과제를 기초로 공공기관의 개인정보보호 수준진단 체계가 지속된다면 개인정보를 취급하는 공공기관에 대한 국민의 신뢰가 높아지고, 개인정보의 안전한 유통 및 가치가 향상되리라 기대한다. This study is to consider political implication of indicators to measure personal information security in public sector studied by Ministry of Public Adminstration and Security from 2008 to 2011. The study analyzed the priority of personal information security policy dividing into personal information security infrastructure, personal information management with life cycle, correspondence of information infringement by scholars, experts, and chargers. As the results, to progress personal information security policy is important to management of personal identification information on web site; specially institutional infrastructure as responsible organization, exclusive manpower, and security budget; personal information security infrastructure. As like the results, it would be reflected in the progress of personal information security policy and tried to provide systematic management program with improving safe information distribution and usefulness.