취약점 분석평가 프로세스를 통한 금융기관 정보보호 수준측정 방안
Measuring the Level of Information Protection of Financial Institutions through Vulnerability Analysis Evaluation Process
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
본 논문에서는 금융회사에서 매년 의무적으로 수행하고 있는 취약점 분석· 평가 결과를 활용하여 정보보호수준을 측정할 수 있는 모델을 제안하였다. 이를 위해 전자금융거래법 및 정보통신기반보호법에서 요구하는 평가항목을 기반으로 금융회사에 최적화된 정보보호수준 측정지수를 개발하였다. 세부적으로는 첫째, 정보자산, 정보보호목적 중요도(기밀성, 무결성, 가용성) 및 생산비용을 통한 자산가치 산정 방법을 제안하였다. 둘째, 법령에서 정한 평가항목의 등급(위험도) 및 준수요구사항(중요도)을통한 평가지수를 정의하였다. 셋째, 취약점 분석평가 결과를 통한 개별 정보자산의 취약도 및 해당 분야의 정보보호수준을 측정하는 방법 등을 정의하였다. 제안한 방안을 금융기관을 대상으로 취약점 분석평가 절차에 따라 시범적으로 적용하여 서버자산에 대한 정보보호수준 측정과정을 소개하였다. 측정방법의 타당성· 효용성· 적용가능성에 대해 평가전문가를 대상으로 심층 인터뷰를 진행하여 검토하였다. 본 논문의 결과는 금융회사가 관계 법령에 대한 법적 준거성을 동시에 만족시키며 정보자산에대한 정보보호수준을 측정하여 효과적으로 보호대책을 수립하고 정보보호예산을 투자할 수 있는 데기여할 수 있다.
Abstract
In this paper, we propose a method to measure the level of information protection by using the evaluation result of vulnerability analysis which is performed mandatory yearly on financial institutions. To this end, we developed an information security measure index optimized for financial institutions based on the evaluation items required by the Electronic Financial Transactions Law and the Information and Communication Infrastructure Protection Law. In detail, firstly, we proposed a method to measure the value of information asset, information security objective(confidentiality, integrity, availability) and asset value through production cost. Secondly, we defined the evaluation index based on the rating(risk level) and compliance requirement(importance) of the evaluation item. Thirdly, we defined the vulnerability of individual information assets through the evaluation result and the method of measuring the level of information protection in the relevant field. We applied the method of vulnerability analysis evaluation procedure to an organization.
참고문헌 (19)
- 김보라, "보안교육 및 보안서비스가 조직구성원의 정보보안정책 준수에 미치는 영향", 정보화정책, 25(1), pp.99~114 (2018), 한국지능정보사회진흥원[DOI]
- 임동성, "수탁사 개인정보 보호 관리 수준 점검 활동과 정보보안 성과간의 실증 연구", 정보화연구, 15(1), pp.31~42 (2018), 한국엔터프라이즈아키텍처학회[DOI]
- 박근덕, "전자금융기반시설 정보보호 수준강화 방안 (정보보호 관리수준 분석을 통한)", 정보보호학회논문지, 26(6), pp.1605~1618 (2016), 한국정보보호학회[DOI]
- 이희명, "기업의 정보보호수준 측정모델 개발에 관한 연구", 정보보호학회논문지, 18(5), pp.161~170 (2008), 한국정보보호학회
- 문흥근, "기업용 Endpoint 보안솔루션 도입을 위한 의사결정 프로세스에 대한 연구", 정보화연구, 11(2), pp.143~155 (2014), 한국엔터프라이즈아키텍처학회
- Hsia-Ching Chang, "Modelling the Development Trajectories of Information Security and Cyber-Secueity Research", Journal of Information & Knowledge Management, 15(4), pp.4~6 (2015)
- 전재찬, "조직 구성원의 정보보안 인식에 영향을 미치는 동기 및 심리적인 요인 분석", 정보화연구, 15(2), pp.165~177 (2018), 한국엔터프라이즈아키텍처학회[DOI]
- 김종기, "조직 구성원들의 보안정책 위반에 관한 연구", 정보화정책, 25(3), pp.95~115 (2018), 한국지능정보사회진흥원[DOI]
- 이주호, "전자금융 소프트웨어 보안기술 수준평가 지표", 정보화연구, 13(3), pp.405~419 (2016), 한국엔터프라이즈아키텍처학회
- Ki-Yoon Kim, "Quantifying Information Protection Indicators by Vulnerability Assessment - Information Asset Value-weighting Method", Journal of the Korea Institute of Information Security, 10(1), pp.51~62 (2000)
- Myung-Gil Choi, "Application of Meta Model for Value Measurement of Information Assets Based on Financial Engineering Techniques", AIK Spring Conference, pp.724~727 (2010)
- Myung-Gil Choi, "Value Measurement of Information Assets Using Information Asset Profile Based on Financial Technique", AIK Spring Conference, pp.272~275 (2009)
- Nam-Seok Oh, "A Study on the Improvement of the Evaluation Method of Information Security Level", Journal of Korea Society of Electronic Commerce, 16(2), pp.159~169 (2011)
- Enhanced Application Security for the Financial Industry, "Steve Kosten", Sans Institute, ~ (2017)
- 전웅렬, "개인정보 관리를 위한 PDS의 구조 및 보안기능 연구", 정보화연구, 15(3), pp.345~356 (2018), 한국엔터프라이즈아키텍처학회[DOI]
- 소우영, "정보보호 시스템기반의 보안 수준 평가 도구(ISSPET) 개발", 한국산학기술학회논문지, 10(8), pp.1911~1919 (2009), 한국산학기술학회
- 최영진, "모바일오피스 환경에서의 보안위협 및 취약점에 대한 탐색적 연구", 정보화연구, 11(2), pp.175~185 (2014), 한국엔터프라이즈아키텍처학회
- 최영진, "클라우드 서비스 사용자 관점에서의 취약점과 보안관리체계", 정보화연구, 9(4), pp.401~411 (2012), 한국엔터프라이즈아키텍처학회
- Young-Rae Park, "A study on measurement of information protection level and improvement of vulnerability for improvement of financial information protection level", pp.2014