위험 평가 모델 기반의 정량적 사이버 보안 평가 체계
Quantitative Cyber Security Scoring System Based on Risk Assessment Model
1
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
사이버보안성 평가란 자산분석, 위협분석, 취약성 분석을 통하여 자산 및 시스템의 위험 수준을 평가하여 적절한 보안조치를 적용하는 일련의 과정으로 증가하는 사이버 공격에 대한 대비를 위해 체계적인 사이버보안성 평가가 요구된다. 이에 CWSS, CVSS 등 사이버 보안 수준 측정을 위한 다양한 지표가 개발되고 있으나 표준화된 보안성 평가 결과를 통해 위험 우선순위에 따라 적절한 보안조치를 적용하기 위한 정량적 방법은 미흡한 실정으로 대상자산이 가지는특성, 적용되어 있는 환경, 자산에 미치는 영향 등을 고려한 평가 체계가 필요하다. 이에 본 논문에서는 기존의 사이버보안 평가 방법 분석을 기반으로 정량적 위험 평가 모델을 정립하고 정립한 모델에 적용하기 위한 평가 요소들의 정량화를 위한 방법을 제시한다. 사이버 보안성 평가 시 필요한 정성적 속성 요소들의 수준을 AHP 기법을 통한 보안요건별 가중치, 위협 별 영향도, 취약점 요소 별 점수화를 통한 위협 성공 가능성에 대한 확률값 산출을 통해 통계적 데이터를 적용해야 하는 정량적 방법의 한계점을 보완하여 표준화된 사이버 보안 평가 체계를 확립할 것으로 기대된다.
Abstract
Cyber security evaluation is a series of processes that estimate the level of risk of assets and systems through asset analysis,threat analysis and vulnerability analysis and apply appropriate security measures. In order to prepare for increasing cyberattacks, systematic cyber security evaluation is required. Various indicators for measuring cyber security level such as CWSS andCVSS have been developed, but the quantitative method to apply appropriate security measures according to the risk prioritythrough the standardized security evaluation result is insufficient. It is needed that an Scoring system taking into considerationthe characteristics of the target assets, the applied environment, and the impact on the assets. In this paper, we propose aquantitative risk assessment model based on the analysis of existing cyber security scoring system and a method forquantification of assessment factors to apply to the established model. The level of qualitative attribute elements required forcyber security evaluation is expressed as a value through security requirement weight by AHP, threat influence, and vulnerabilityelement applying probability. It is expected that the standardized cyber security evaluation system will be established bysupplementing the limitations of the quantitative method of applying the statistical data through the proposed method.
참고문헌 (15)
- A Study on Development and Methodology of Globally Standardized Cybersecurity Index, "Korea Communications Commission", ~ (2010)
- 안준선, "보안취약점 중요도 정량 평가 체계 연구", 정보보호학회논문지, 25(4), pp.921~932 (2015), 한국정보보호학회[DOI]
- Korea Information Security Agency, "Guide for Selecting Automated Risk Analysis Tools", ~ (2002)
- "Common Vulnerabilities and Expos ures (CVE)"[URL]
- "Common Weakness Scoring S ystem (CWSS)"[URL]
- FIRST, "A Complete Guide to the Common Vulnerability Scoring System Version 3.0 specification(v1.7)", ~
- "2011 CWE/SANS Top 25 Most Dan gerous Software Errors"[URL]
- 이우묘, "원전 계측제어시스템 사이버보안 위험도 산정 프로세스", 정보보호학회논문지, 25(3), pp.639~648 (2015), 한국정보보호학회[DOI]
- 강동주, "전력 SCADA 시스템의 사이버 보안 위험 평가를 위한 정량적 방법론에 관한 연구", 정보보호학회논문지, 23(3), pp.445~457 (2013), 한국정보보호학회[DOI]
- 박중길, "정량적 방법을 이용한 위험분석 방법론 연구", 정보처리학회논문지C, 13(7), pp.851~858 (2006), 한국정보처리학회
- 신상식, "확률 기반의 위험등급평가 객관화 방안", 품질경영학회지, 41(3), pp.465~474 (2013), 한국품질경영학회[DOI]
- 백남균, "확률적 분석에 기반한 위험평가 기법에 대한 연구", 보안공학연구논문지, 10(2), pp.141~150 (2013), 보안공학연구지원센터
- 이동혁, "스마트그리드 개인정보보호를 위한 미터링 데이터 비식별화 방안 연구", 정보보호학회논문지, 26(6), pp.1593~1603 (2016), 한국정보보호학회[DOI]
- Namje Park, "Mutual Authentication Scheme in Secure Internet of Things Technology for Comfortable Lifestyle", Journal of Sensors (Basel), 16(1), pp.1~16 (2015)
- Donghyeok Lee, "De-identification of metering data for smart grid personal security in intelligent CCTV-based P2P cloud computing environment", Journal of Peer-to-Peer Networking and Applications, 11(6), pp.1299~1308 (2018)