기업의 정보보호수준 측정모델 개발에 관한 연구
A Study on the Development of Corporate Information Security Level Assessment Models
1
조회
0
다운로드
11
인용
0
참고문헌
초록
최근 첨단기술과 핵심정보의 불법적인 유출 및 해킹과 바이러스 등으로 인한 피해사례가 계속 증가하고 있으나, 기업에서의 보안사고 방지와 예방체제는 아직도 미흡한 편이다. 대기업을 중심으로 회사의 중요한 정보를 보존하기 위한 장치로써 정보보호관리체계(ISMS)를 도입하여 운영하고 있으나, 기존의 정보보호수준 진단 및 측정 모델은 주로 ISO 27001에 기반을 둔 정보보호정책과 제도의 수립여부, 또는 IT 분야에 초점을 둔 지표 중심으로 평가를 함으로써 기업의 전반적인 보안수준 평가와 보안사고 예방체제 강화에는 부족한 점이 많았다. 본 논문에 소개 된 정보보호수준 측정모델은 기존의 정보보호관리체계는 물론, 정보보호활동의 성과를 정량적으로 평가하여 각종 보안사고의 예방 및 대응방안 수립에 활용 가능하도록 국내외 사례연구와 함께 경영관리기법으로 많이 사용되고 있는 BSC(Balanced Scorecard)를 적용한 실용성에 초점을 맞추어 개발하였다.
Abstract
Despite the recent growth in size and frequency of damages caused by illegal information breaches, current business counter-measures and precautionary systems are greatly limited. Some major companies have developed Information Security Management Systems (ISMS) to safeguard their vital information; however, such measures are largely based on the ISO27001 and lacks in many aspects to grasp the holistic corporate security level and reinforce precautionary measures. The information protection level evaluation model introduced in this paper is a pragmatic evaluative tool that can be utilized to devise effective corporate information security precautionary measures and countermeasures, based on the BSC (Balanced ScoreCard) method for an actual and realistic corporate information security level evaluation possible.
참고문헌 (11)
- 한국정보보호진흥원, "2007 정보시스템 해킹·바이러스 현황 및 대응" (2007), 한국정보보호진흥원
- 국가정보원, "첨단 산업기술 보호동향 (8호)" (2007), 국가정보원
- "ISO", IEC27001：2005(FDIS) Information Security Management System Requirements
- 최선태, "기업보안 관리전략" (2008), 인포더
- "concert, 2008 Security Forecast 발표자료, 2008. 3", ~
- Robert S. Kaplan, "전사적 전략경영(SEM)을 위한 SFO" (2001), 한언
- Robert S. Kaplan, "가치실현을 위한 통합경영지표 BSC" (2007), 한언
- "SP800-53(Rev.2)：Recommended Security contorls for Federal Information Security, 2007. 10 NIST", ~
- "ISO", IEC 27004(Draft) Information Security Mana- gement measurement
- "SP800-55：Security Metrics Gudie for Infor- mation Technology Systems 2003, NIST", ~
- "ISO", IEC 27002(FDIS) The Code of Practice for Inforamtion Security Management