정보보호 공시제도의 운영실태와 효과성 분석
A Study of the Effectiveness and Status of the Information Security Disclosure System
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
정보보호 공시제도는 이해관계자 보호 및 알권리를 보장하고, 기업의 자발적인 정보보호 투자를 촉진하기 위하여2016년부터 시행된 제도이다. 정보보호 공시제도(ISDS)에 대해서는 해당 제도의 시행을 촉구하는 연구들이 있었으나, 제도 시행 후에 공시된 내용을 분석하거나 개선방향을 제시하는 연구는 부족한 편이다. 본 연구에서는 정보보호 산업진흥포털에 2020년까지 공시되었던 정보보호공시의 내용을 분석하여 그 현황을 정리하고, 제도의 개선방향을 제시하였다. 공시제도를 통해 정보보호 관련 정보를 공개한 기업들에서 전담인력을 늘리는 경우가 있었으며, 정보보호 관련 인증을 취득하기도 했음을 알 수 있었지만, 투자의 증/감에는 영향을 발견하지 못했다. 현재의 공시제도는 개별 기업들이 공시를해야하는 유인을 주는 데 어려움을 가지고 있기 때문에 활성화되지 못하고 있고, 이로 인하여 제도의 취지였던 기업의정보보호 위험을 이해관계자들에게 공개하는 것이나 기업의 정보보호 투자를 활성화하는 것을 달성하지 못하고 있다. 현재 의무화되어 활성화되고 있는 정보보호 관리체계 인증제도(ISMS)에 포함하여 활성화하는 방안을 제시하였으며, 현재의 공시제도에서 기업의 이해관계자나 고객이 공시의 내용을 확인하는 것이 어렵기 때문에 이를 보다 인지하기 쉽도록하는 방안으로 개인정보 처리방침 또는 개인정보 이용내역 통지의 내용에 포함하는 방법을 제시하였다.
Abstract
The information security disclosure system (ISDS) has been implemented since 2016 to ensure the protection of stakeholders and the right to know, and to promote voluntary investment in information protection by companies. Regarding the information security disclosure system, there have been studies that urge the implementation of the system, but studies that analyze the contents disclosed after the implementation of the system or suggest improvement directions are few. In this study, the contents of the information security disclosure system that had been announced on the information security industry promotion portal until 2019 were analyzed, the current status was summarized, and the direction of system improvement was suggested. In some cases, companies that disclosed information through the disclosure system increased the number of personnel in charge and obtained certifications related to information security, but did not find any effect on the increase/decrease in investment. The current disclosure system has not been activated because it has difficulty in giving individual companies incentives to disclose. Thus, this study suggests the inclusion of ISDS to information security management system (ISMS), which is currently mandatory for certain companies. In the current disclosure system, it is difficult for the company's stakeholders or customers to check the contents of the disclosure. As a way to do this, a method of including in the contents of the personal information processing policy or the notification of the use of personal information was suggested.
참고문헌 (30)
- 과학기술정보통신부, "정보보호 공시 가이드라인, 공고 제2019-0005호", ~ (2019)
- 권영옥, "정보보안 사고와 사고방지 관련 투자가 기업가치에 미치는 영향", Information Systems Review, 9(1), pp.105~120 (2007), 한국경영정보학회
- 공희경, "보안인증의 경제적 효과에 대한 연구동향 분석: ISMS(정보보호관리체계)를 중심으로", 정보보호학회논문지, 26(3), pp.821~835 (2016), 한국정보보호학회[DOI]
- 김경석, "사이버보안과 내부통제", 중앙법학, 20(3), pp.249~270 (2018), 중앙법학회[DOI]
- 김기현, "4차산업혁명 핵심기술 도입 및 정보보호조직에 관한 탐색적 연구: 성과측면에서의 비교분석", 지식경영연구, 21(1), pp.41~59 (2020), 한국지식경영학회
- 민현우, "정보보호 공시 제도의 기대효과 및도입에 따른 경제성 분석", 한국IT서비스학회 추계학술대회 논문집, pp.295~298 (2016)
- 박재영, "기업의 정보보호 인증이 기업가치에 미치는 영향", 한국IT서비스학회지, 15(3), pp.51~69 (2016), 한국IT서비스학회[DOI]
- 박재영, "기업의 정보보호 공시가 기업가치에 미치는 영향", 지식경영연구, 20(4), pp.39~55 (2019), 한국지식경영학회
- 인증이 조직성과에 미치는 영향에 관한 연구, "한국산학기술학회논문지", 2012, 4224~4233, pp.한국산학기술학회, http:
- 백남균, "국내 주요 정보보호 의무제도 동향", 전자공학회지, 44(10), pp.32~40 (2017)
- 백승익, "정보유출 사고가 기업가치에 미치는영향", 한국경영정보학회 추계학술대회, pp.97~308 (2014)
- 박태완, "분야별 정보보호 경영시스템 인증동향", 한국정보보호학회지, 26(4), pp.16~21 (2016)
- 신현민, "정보보호 전문서비스 기업의 인증 및 상장여부가 재무적 성과에 미치는 영향", 지식경영연구, 21(3), pp.197~213 (2020), 한국지식경영학회[DOI]
- 엄재하, "정보보안사고가 투자주체별 투자성과에 미치는 영향: 개인정보유출사고 중심으로", 정보보호학회논문지, 26(2), pp.463~474 (2016), 한국정보보호학회[DOI]
- 이경준, "데이터 경제와 정보보호 관리·감독제도의 개선에 대한 검토", IT와 법연구, (21), pp.119~170 (2020), IT와 법연구소[DOI]
- 전효정, "정보보안 공시제도 도입을 위한 타당성 분석과 운영체계 제언", 정보보호학회논문지, 22(6), pp.1393~1405 (2012), 한국정보보호학회
- 조중기, "정보보호 관리체계 인증 취득 후 기업가치의 변화에 관한 연구", 한국융합학회논문지, 7(6), pp.237~247 (2016), 한국융합학회[DOI]
- 황해수, "정보보안 사고가 기업가치에 미치는 영향 분석: 한국 상장기업 중심으로", 정보보호학회논문지, 25(3), pp.649~664 (2015), 한국정보보호학회[DOI]
- 홍일유, "정보보안 사고에 대한 공시가 시장에서 기업의 주식가치에 미치는 영향", Entrue Journal of Information Technology, 14(2), pp.33~56 (2015), 엘지씨엔에스
- Bulgurcu, B., "Information security policy compliance : An empirical study of rationality-based beliefs and information security awareness", MIS Quarterly, 34(3), pp.523~548 (2010)
- Bauer, S., "From information security awareness to reasoned compliant action : Analyzing information security policy compliance in a large banking organization", The DATA BASE for Advances in Information Systems, 48(3), pp.44~68 (2017)
- Boss, S. R., "What do users have to fear? Using fear appeals to engender threats and fear that motivate protective behaviors in users", MIS Quarterly, 39(4), pp.837~864 (2015)
- Cram, A., "Seeing the forest and the trees : A meta-analysis of the antecedents to information security policy compliance", MIS Quarterly, 43(2), pp.525~554 (2019)
- D'Arcy, J., "A review and analysis of deterrence theory in the IS security literature : Making sense of the disparate findings", European Journal of Information Systems, 29(6), pp.643~658 (2011)
- Foth, M., "Factors influencing the intention to comply with data protection regulations in hospitals : Based on gender differences in behaviour and deterrence", European Journal of Information Systems, 25(2), pp.91~109 (2016)
- Ifinedo, P., "Understanding information systems security policy compliance : An integration of the theory of planned behavior and the protection motivation theory", Computers & Security, 31(1), pp.83~95 (2012)
- Lee, C. H., "Mandatory standards and organizational information security", Information Systems Research, 27(1), pp.70~86 (2016)
- Siponen, M., "Employees' adherence to information security policies : An exploratory field study", Information & Management, 51(2), pp.217~224 (2014)
- Spears, J. L., "User participation in information systems security risk management", MIS Quarterly, 34(3), pp.503~522 (2010)
- Yoo, C. W., "Is cybersecurity a team sport? A multilevel examination of workgroup information security effectiveness", MIS Quarterly, 44(2), pp.907~931 (2020)