조직의 실시간 보안관리 체계 확립을 위한 ‘인터페이스 보안’ 강화에 대한 연구
A Study on Interface Security Enhancement
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
특정 보안 기술만으로는 나날이 치밀해지는 공격을 방어할 수 없기 때문에 ISMS(Information Security Management System) 등 다양한 보안관리 모델 등이 적용되고 있지만, 너무 많은 항목에 대한 일반적인 보안관리 방안을 제시하고 있어 취약점이 높은 부분에 집중하지 못하는단점이 있다. 최근 수년간 우리 사회에 막대한 피해를 입힌 주요 정보 및 기밀 유출 관련 사건을 분석한 결과, 공격자는 주로 이메일, 웹 서버, 휴대용 저장매체, 외주업체 직원 등 조직의 내부와 외부를 연결해주는 통로인 ‘인터페이스(interface)’ 취약점을 이용하였음을 발견하였다. 이를통해 우리는 보안에 투자해야 할 시간과 자원이 제한되는 현실을 고려하여 공격자가 악용할 가능성이 높은 인터페이스에 대한 현재 보안 실태를 적시한 후 관리적ㆍ기술적ㆍ물리적 측면을 융합한 보안대책을 제시하고, 해당 인터페이스에 대한 중점적이고 지속적인 관리(continuous management)를 통해 투자 비용 대비 효과적으로 조직의 실시간 보안관리를 가능하게 하는 체계를 제안하고자 한다.
Abstract
Because the specific security technology alone can not cope with sophisticated attacks, various security management models are applied. But, they do not focus on the vulnerability of the highest part because they offer so many common security management criteria. By analyzing the main information and confidential leakage cases inflicting enormous damage to our society, we found that attackers are using mainly an interface vulnerabilities – the paths that connect the internal and external of the organization, such as e-mail, web server, portable devices, and subcontractor employees. Considering the reality that time and resources to invest in security domain are limited, we point out the interface security vulnerabilities the possibility of attackers to exploit and present a convergence method of security measures. Finally, based of ROI(Return on Investment), we propose the real-time security management system through the intensive and continuous management.
참고문헌 (24)
- 김지숙, "민간기업과 공공기관의 정보보호 관리체계 차이 비교", 정보보호학회논문지, 20(2), pp.117~129 (2010), 한국정보보호학회
- Hyewon Shin, "Methodology to Analyze Insider Risk for the Prevention of Corporate Data Leakage", Korea Computer Congress 2012, 39(1), pp.295~297 (2012)
- Oh-Hun Kwon, "A Persistent and Real Time Security Management System for Korea Military Network", Journal of Korea Institute of Information Security and Cryptology, 23(6), pp.54~66 (2013)
- 김송영, "빅데이터를 이용한 보안정책 개선에 관한 연구", 정보보호학회논문지, 23(5), pp.969~976 (2013), 한국정보보호학회[DOI]
- "National Industrial Security Center" (2014)[URL]
- "Munhwailbo" (2014)[URL]
- Joon-Jeong Park, "A Compensation Method to the Deliberate Military Secret Leakers", Conference on Information Security and Cryptology-Winter 2014 (2014)
- "ounhapnewsTV" (2014)[URL]
- "ICT and Future Planning" (2014)[URL]
- "Prosecution Service" (2014)[URL]
- "SBS" (2014)[URL]
- "YTN" (2014)[URL]
- "AJU Business Daily" (2012)[URL]
- "Ministry of Trade, Industry & Energy" (2014)[URL]
- R. West, "The Psychology of Security : why do good users make bad decisions?", Communications of the ACM, 51(4), pp.34~40 (2008)
- "Boannews" (2014)[URL]
- "ICT and Future Planning" (2014)[URL]
- "AJUnews" (2014)[URL]
- National Cyber Security Center, "Introduction to G-ISMS", Journal of Korea Institute of Information Security and Cryptology, 23(5), pp.9~11 (2013)
- "Korea Internet and Security Agency" (2014)[URL]
- "Korea Internet and Security Agency" (2013)[URL]
- NIST, "Critical Success Factors", Special Publication 800-55 Revision1: Performance Measurement Guide for Information Security, ~ (2008)
- "Cyber attack strategy(NaverCast)" (2014)[URL]
- C. Herley, "Security, Cybercrime, and Scale", Communications of the ACM, 57(9), pp.64~71 (2014)