정보보호 수준평가 방법 개선에 관한 연구

국문 초록 (Abstract)

본 논문은 정보통신 서비스 제공기관 및 업체가 현재의 보안 상태를 단계별로 등급화된 지표에 따라 평가하고, 지속적으로 정보보호 수준을 상위 단계로 개선해 나갈 수 있도록 정보보호 수준평가방법을 제안하였다. 이를 위해 SP800-26의 17개 분야, SP800-53의 3개 분야, ISMS의 15개 분야, ISO27001의 10개 분야를 분석하여 중복적인 분야를 제거하고, 관련 전문가 회의를 통해 12개 평가분야와 SP800-26의 221개 항목, SP800-53의 17개 항목, ISMS의 137개 항목, ISO27001의 127개 항목을 분석하여 54개 평가항목을 도출하였다. 또한, 54개 평가항목에 대한 수준을 5단계로 구분된 지표에 따라 각각 평가하고, 각 평가분야별로 등급을 결정할 수 있도록 하였다. 아울러, 개발된 평가항목과 등급 등이 실제 운영환경에 잘 적용될 수 있도록 운영상에서 발생할 수 있는 문제점을 사전에 분석하고, 이를 고려한 수준평가의 효과적인 7가지 수행방안을 제시하였다. 본 논문에서 제안한 정보보호 수준평가 방법은 계량화된 데이터를 통해 해당조직의 정보보호 대책을 수립할 수 있도록 지원하며, 조직관리자들의 정보보호 목표수준 설정을 위한 자료로 활용되어 국가적 차원의 정보보호 수준 향상에 기여할 수 있을 것이다.

다국어 초록 (Multilingual Abstract)

In order for agencies and companies at the IT service industry to check as well as to upgrade the current status of their information security programs, this paper suggests the assessment method for information security levels. The study developed 12 assessment fields and 54 assessment items derived from domestic and foreign cases including SP800-26, SP800-53, ISMS, and ISO27001. It categorized 54 assessment items into 5 levels for determining information security levels. Also, the study presents 7 strategies for performing their efficient evaluations. The proposed method and process in this paper can be useful guidelines for improving the national information security level.

목차 (Table of Contents)

• 초록
• ABSTRACT
• 1. 서론
• 2. 국내외 정보보호 수준평가 사례 조사
• 3. 정보통신 서비스의 정보보호 수준평가 방법
• 4. 정보보호 수준평가의 효과적 수행방안
• 5. 결론
• 참고문헌
• 저자소개

참고문헌 (Reference)

1 김진영, "정보보호수준 평가 방법론 개발에 관한 연구" 2003

2 이강신, "정보보호관리체계 인증가이드"

3 한근식, "정보보호 수준평가에서의 표본설 계방법에 따른 허용오차" 2009

4 한국인터넷진흥원, "정보보호 수준평가 방법론 안내서"

5 강신원, "국가정보화지수 측정을 위한 가 중치 연구：RCSS를 중심으로" 6 (6): 47-64, 1999

6 황종성, "국가정보화종합지수 모델개발 연구" 한국전산원 2005

7 정경호, "국가 정보보호수준 평가 모델 개발" 한국정보보호진흥원 2001

8 Carnegie Mellon University, "The SSECMM Appraisal Method (SSAM)-Capability Maturity Model"

9 Carley, M, "Social Measurement and Social Indicators" George Allen and Unwin, Ltd. 1981

10 Swanson, M, "Security Self-Assessment Guide for Information Technology System" NIST 2001

11 Carnegie Mellon University, "SSE-CMM Model Decripton Document"

12 ISO/IEC, "Information Security Management System Part 2：Specification for Information Security Management System" 2005

13 Ross, R., "Guide for Assessing the Security Controls in Federal Information Systems：Building Effective Security Assessment Plans" NIST 2008