주요정보통신기반시설 관리적/물리적 분야 취약점 점검 항목 개선 연구 = A Study on Improvement of Vulnerability Checklist for the Critical Information and Communication Infrastructure Management/Physical field

국문 초록 (Abstract)

정보기술의 발전과 함께 악성코드 등의 사이버 공격은 지능화·대형화되어 가고 있으며, 민간을 넘어서 산업 및 공공시설에까지 그 범위를 넓혀가고 있다. 이러한 사이버 위협으로부터 주요정보통신기반시설을 보호하기 위하여 정부는 정보통신기반보호법을 통해 보호대책 수립, 취약점 분석/평가 기준과 같은 체계적인 예방 및 대응체계를 마련하고 있다.
본 연구는 주요정보통신기반시설 관리적/물리적 분야의 취약점 점검 항목을 점검하고, 주요 정보보호 관리체계(KISA ISMS, ISO/IEC 27001:2013, NIST 800-53 Rev.4)의 통제항목을 비교·분석하였다. 그리고 11개 영역(41개 통제 항목)을 제안하였다.
개선 항목에 대한 실증 검증을 위하여 공공 및 정보보호 업무관련자 63명을 대상자를 선정하였다. 그리고 주요업무, IT경력, 주요정보통신기반시설 운영경험, 주요정보통신기반시설 개선 필요성, 관리적 분야(9개 37개제항목) 및 물리적 분야(2개 영역, 4개 항목)에 대한 적합성 검증을 설문조사를 통해 수행하였다. 설문결과, 주요정보통신기반시설 취약점 분석·평가 기준은 개선이 필요하다는 결론과 제안한 41개 점검 항목들은 모두 적합하다는 결론을 얻을 수 있었다.
주요정보통신기반시설 관리적/물리적 분야의 취약점 점검 항목의 개선을 통하여 기관의 정보보안 수준 향상에 기여할 수 있을 것이다. 또한 정보보안 담당자에게는 합리적인 의사결정을 지원하여 사이버공격에 대한 사전 예방 및 대응을 강화할 수 있다는 점에서 실무적 의의가 있다고 할 수 있다.

다국어 초록 (Multilingual Abstract)

With the advancement of information technology, cyber attacks such as malicious codes are becoming more intelligent and larger, and they are expanding beyond the private sector to industrial and public facilities. In order to protect the Critical Information and Communication Infrastructures from cyber threats, the government has established systematic prevention and response system such as establishment of protection measures, analysis/evaluation of vulnerability through information and communication infrastructure protection law.
This study examines vulnerability checklist of Critical Information and Communication Infrastructure management and physical field, compares/analyzes the control items of major information protection management system(KISA ISMS, ISO/IEC 27001:2013, NIST 800-53 Rev.4). and 11 zones (41 control items) were proposed.
To verify the verification of the improvement items, 63 persons related to the public and the information protection work were selected. and The survey was conducted to verify the suitability of major tasks, IT career, Critical Information and Communication Infrastructure operation experience, need for improvement of Critical Information and Communication infrastructure, management field (9 zones, 37 items) and physical field (2 zones, 4 items). As a result of the survey, it was concluded that the analysis and evaluation standard for Critical Information and Communication Infrastructure need to be improved and that the 41 control items proposed are appropriate.
It will contribute to the enhancement of the information security level of the organization through improvement of vulnerability checklist in the Critical Information and Communication Infrastructure management/physical field. In addition, it can be said that there is a practical meaning in that information security officers can support rational decision-making to strengthen the prevention and response to cyber attacks.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구 배경 및 목적 1
• 제2절 연구 방법 및 범위 2
• 제2장 관련 법·제도 동향·분석 4
• 제1절 주요정보통신기반시설 취약점 분석·평가 기준 4
• 1. 정보통신기반보호법 4
• 2. 주요정보통신기반시설 8
• 3. 취약점 분석·평가 기준 13
• 제2절 국내·외 정보보호 관리체계 25
• 1. KISA ISMS 25
• 2. ISO/IEC 27001 28
• 3. NIST SP 800-53 Rev.4 30
• 제3절 관련연구 34
• 제3장 관리적・물리적 분야 취약점 점검 항목 개선 연구 37
• 제1절 취약점 분석·평가 기준 개선 필요성 및 개선 영역 정의 37
• 1. 취약점 분석·평가 기준 개선 필요성 37
• 2. 취약점 분석·평가 기준 개선 영역 40
• 제2절 취약점 분석·평가 개선 항목 44
• 1. 관리적 분야 개선 항목 44
• 2. 물리적 분야 개선 항목 54
• 제4장 관리적·물리적 분야 개선 항목 검증 57
• 제1절 설문 개요 57
• 제2절 설문 결과 59
• 1. 표본 응답자 구성 59
• 2. 설문 결과 62
• 제3절 관리적·물리적 분야 개선 항목 검증 72
• 제5장 결론 및 향후 발전 방향 73
• 제1절 결론 73
• 제2절 한계 및 향후 발전방향 74
• 참고문헌 75
• 부록 77
• 국문초록 83