SSE-CMM 기반 기술적 보안 성숙도 수준 측정 모델 연구 = A Study on Models for Technical Security Maturity Level Based on SSE-CMM

국문 초록 (Abstract)

정보보호수준 검증방법은 프로세스를 중심으로 정보보호 제품, 시스템, 서비스를 개발하려는 조직의 개발능력을 평가 하는 SSE-CMM(System Security Engineering-Capability Maturity Model)모델이 있다. CMM은 소프트웨어 개발업자 의 개발능력을 평가하고 개선시키며 조직 전체의 성숙도 수준을 측정하는 모델이다. 그러나 이 방법은 보안엔지니어링 프로세스의 개선과 능력을 평가하는데 조직차원이 아닌 개별 프로세스의 능력수준 평가에 그치고 있다. 본 연구과제에 서는 이들 기존연구를 근간으로 기술적 관점에서 정보보호수준 성숙단계를 정의하고자 한다. 연구방법은 정보보호취약 점 진단, 기술보안체계 검증, 기술보안 이행실태 진단으로 구성한다. 제안하는 방법론은 업무현장 에서의 범위와 수준에 서 정보시스템의 현재 상태, 취약점 실태, 정보보호 기능 이행과 기능만족도 수준을 평가한다. 제안된 방법에 의한 평가 결과는 정보보호 개선대책 권고모델 수립 근거로 활용하여 정보보호 개선의 활용을 목표로 하고 있다.

목차 (Table of Contents)

• 요약
• ABSTRACT
• 1. 서론
• 2. 기존 모델 사례
• 2.1 성숙도 모델 (CMM:capability maturity model)
• 2.2 시스템보안공학 성숙도 모델 (SSE-CMM:system security engineering capability maturity model)
• 3. 기존 모델의 실무 적용 어려움
• 4. 성숙도 수준 측정방법 개발
• 4.1 측정 목적
• 4.2 측정작업의 목표
• 4.3 측정작업 프레임워크
• 4.4 측정작업의 수행단계
• 4.5 보안사고 코드체계
• 4.6 측정 체크리스트
• 4.7 측정결과 평가방법
• 4.8 영역별 점수 배분
• 4.9 정보보호수준 성숙단계 부여
• 5. 결론
• 참고문헌

참고문헌 (Reference)

1 정보통신부, "정보보호시스템공통평가기준(정통부고시 제 2002-40)"

2 TTAS.KO-12.004, "네트워크 보안 장비에 대한 성능 측정 방법"

3 오흥륭, "국제 공통평가기준(CC)의 교육동향 및 평가된 정보보호 제품 분석, in 사이버 범죄와 프라이버시" 13 (13): 2003

4 류재철, "국외 민간평가기관" 13 (13): 2003

5 한국정보보호진흥원, "공통평가기준 기반 평가기관 산정 방안 및 평가수수료 정책 연구" 한국정보보호학회 2003

6 "SSE-CMM Org"

7 SSE-CMM, "Project, Systems Security Engineering Capability Maturity Model (SSE-CMM) - Model Description Document"

8 CC, "Common Criteria for Information Technology Security Evaluation, Version 2.1" 1999

9 "CMM"

10 "CC인증 제품 중 국제용은 15%에 불과"

11 "CCRA(Arrangement on the Recognition of Common Criteria Certificates)"

12 British Standards Institution(BSI), "BS-7799"