정보화사업에서 보안성검토를 위한 보안프레임워크의 설계 : 보안대책의 적정성 평가를 위한 표준 보안프레임워크 = A Design of the Security Framework for Security Review in IT Project : The Standard Security Framework for Assessment of the adequacy of Security countermeasures

국문 초록 (Abstract)

정보화사업에 대한 보안성검토는 안전한 정보화 환경의 구축을 위한 필수 절차로서 정부 및 공공기관의 모든 정보화사업 추진 시 보안대책의 적정성과 효용성을 검토하도록 하는 제도이다. 이를 수행하기 위하여서는 국가정보보안기본지침을 비롯한 많은 지침, 가이드, 매뉴얼들의 숙지와 IT분야 전반에 대한 전문지식의 습득이 필요하다. 하지만, 현재까지 표준화된 프레임워크가 존재하지 않고, 보안성검토를 수행하는 담당자들은 정부 및 공공기관들의 업무 특성(순환보직 등)으로 인해 필요한 분야의 전문성 확보에 어려움을 가지고 있으며, 이를 외부 전문가나 기관을 통해 수행하고자 하여도 비용과 시간의 확보가 필요하다.

이에, 본 연구에서는 보안성검토 관점에서 정보화사업의 유형을 분류하고, 분류된 각 유형별 보안 위험요소와 보안대책들을 정의하여 추진하고자 하는 정보화사업의 보안대책 수준 값 측정을 통해 추진되는 정보화사업계획에 수립된 보안대책들이 정의된 보안 위험요소들을 제거 또는 회피할 수 있도록 되어 있는지를 확인․조치 할 수 있도록 정보화사업에 대한 보안성검토 보안프레임워크를 설계․제시하였다.

이를 통해, 기존의 보안성검토 기법에서의 지침과 절차의 준수 여부 확인을 통한 보안대책의 적정성 여부만이 검토결과로서 통보되어 오던 것을 수치화된 수준 값을 산정하고 이를 통해 적용된 보안대책의 수준과 강도를 확인하여 적용 된 보안대책(정보보호제품의 적용 등)이 불필요하거나 과다한 보안예산이 낭비되지 않는지에 대한 여부도 판단할 수 있도록 하고자 하였다.

정보화사업에 대한 보안성검토는 안전한 정보서비스 제공을 위해 반드시 필요한 사전 검토 절차임에도 불구하고 보안성검토를 담당하는 사람의 전문성 부족으로 인해 사전에 제거하여야 할 취약점을 놓치는 일이 발생 할 수 있고, 이로 인해 제공되는 정보화서비스의 안정성이 훼손될 위험에 노출되게 될 것이다. 이러한 위험요소들을 사전에 제거하여 안전한 정보화서비스 제공을 도모하기 위하여서는 다소 전문성이 부족한 보안담당자 일지라도 기본적인 보안성검토를 수행할 수 있도록 보다 쉽게 적용하여 사용할 수 있는 표준화된 프레임워크의 개발이 지속적으로 수행되어져야 할 것이다.

다국어 초록 (Multilingual Abstract)

Security review for IT project, procedure to build safe IT infra, is system to examine propriety and usefulness of security measure by pushing all IT project of government and public institution ahead. It is required to be familiar with various guideline including national basic guidance for IT security as well as broad expertise about IT field.

However, people who in charge of security review not only struggle to have expertise for specialized filed because they characteristic of government and public institution (e.g. job rotation) but also need too much of cost and time by employing external specialist.

This research not only classify IT project category from a security review, but also provide framework of IT project security review to can check and take action for removing or avoiding security threat factor.
Thereby, it confirms applied standard and intensity of security measure through figuring out valued standard in order to decide whether excessive security budget about applied security measure(to information protection product) wastes or not, instead of notify examination result of qualified or unqualified of security measure by confirming comply with guideline and process of existing security review mechanism or not.

Although the IT project security review is should be done in advance procedure for safe IT service, people in charge of security review who lack of expertise could be exposed to lots of security threat and unsafe IT infra. Thus, we need to make and develop standard framwork for basic security review which can perform basic security review in order to provide safe IT infra and service.

목차 (Table of Contents)

• 제 1 장 서론 1
• 1.1 연구의 배경 1
• 1.2 연구의 목적 2
• 제 2 장 관련 연구 3
• 2.1 보안성검토 관련 근거 및 절차 3
• 2.1.1 보안성검토 관련근거 3
• 2.1.2 보안성검토 대상 판단의 기준 4
• 2.1.3 보안성검토 요청에 필요한 제출 서류 5
• 2.1.4 보안성검토 절차 6
• 2.2 보안성검토를 위한 관련 지침 및 가이드 8
• 2.2.1 행정기관 및 공공기관 정보시스템 구축․운영 지침 8
• 2.2.2 행정기관을 위한 정보화사업 단계별 관리․점검 가이드 10
• 2.2.3 행정기관 정보화사업 추진매뉴얼 13
• 2.2.4 정보신기술 도입 보안관리 실무가이드 15
• 2.3 정보화사업의 유형 구분 18
• 2.4 전자정부서비스의 부문별 보안요소 18
• 제 3 장 보안성검토를 위한 보안프레임워크의 설계 22
• 3.1 보안성검토 관점에서의 정보화사업 유형 분류 22
• 3.2 정보화사업 유형별 보안대책 25
• 3.2.1 정보화사업 유형별 보안대책 25
• 3.2.2 보안대책 수준 값 산정 및 잔존 보안위협에 대한 감내 27
• 3.3 정보화사업에 대한 보안성검토 프로세스 28
• 3.4 정보화사업 보안성검토 프레임워크의 설계 29
• 제 4 장 정보화사업 사례별 프레임워크 적용 33
• 4.1 사례 1 33
• 4.2 사례 2 36
• 4.3 사례 3 39
• 4.4 기존방법과의 비교 42
• 제 5 장 결론 45
• 참고문헌 46