KR101505079B1 - System and method of supporting task of information security - Google Patents

System and method of supporting task of information security Download PDF

Info

Publication number
KR101505079B1
KR101505079B1 KR1020140098179A KR20140098179A KR101505079B1 KR 101505079 B1 KR101505079 B1 KR 101505079B1 KR 1020140098179 A KR1020140098179 A KR 1020140098179A KR 20140098179 A KR20140098179 A KR 20140098179A KR 101505079 B1 KR101505079 B1 KR 101505079B1
Authority
KR
South Korea
Prior art keywords
control
item
items
control item
business
Prior art date
Application number
KR1020140098179A
Other languages
Korean (ko)
Inventor
황재윤
김세호
Original Assignee
주식회사 이볼케이노
황재윤
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 이볼케이노, 황재윤 filed Critical 주식회사 이볼케이노
Application granted granted Critical
Publication of KR101505079B1 publication Critical patent/KR101505079B1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0631—Resource planning, allocation, distributing or scheduling for enterprises or organisations
    • G06Q10/06311—Scheduling, planning or task assignment for a person or group
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0631—Resource planning, allocation, distributing or scheduling for enterprises or organisations
    • G06Q10/06316—Sequencing of tasks or work

Landscapes

  • Business, Economics & Management (AREA)
  • Human Resources & Organizations (AREA)
  • Engineering & Computer Science (AREA)
  • Strategic Management (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Economics (AREA)
  • Operations Research (AREA)
  • Game Theory and Decision Science (AREA)
  • Development Economics (AREA)
  • Marketing (AREA)
  • Educational Administration (AREA)
  • Quality & Reliability (AREA)
  • Tourism & Hospitality (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

Provided are a system and a method for supporting information security work which can authenticate and maintain an information security management system without consulting. The system for supporting information security work comprises: a work instructing unit for transmitting a work instruction to a terminal of a person in charge of each work item in the case that an event occurs under the condition that work items included in a work procedure to process an event requiring information security are connected to control items of each control requirement of an information security management system required to perform the work procedure; and a sorting unit for sorting the outcomes which are the work results received from the terminal of the person in charge according to the control items, and storing the sorted outcomes in a database based on the sorting.

Description

정보보호업무 지원시스템 및 방법{SYSTEM AND METHOD OF SUPPORTING TASK OF INFORMATION SECURITY}[0001] SYSTEM AND METHOD OF SUPPORTING TASK OF INFORMATION SECURITY [0002]

본 발명은 정보보호업무 지원시스템 및 방법에 관한 것으로, 더욱 자세하게는 정보보호업무를 현장에서 담당하는 업무 담당자에 의해서 만들어진 정보보호 업무절차에, 상기 정보보호 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제항목들이 반영된 상태에서, 상기 정보보호 업무절차와 연관된 이벤트 발생시 상기 통제항목들 별 업무 담당자에게 업무지시가 내려지고 그 업무지시에 따라 발생하는 산출물들을 상기 통제항목들 별로 자동으로 분류 및 저장하여 증적(evidence)으로 축적하는 기술에 관한 것이다. The present invention relates to a system and method for supporting an information security business, and more particularly, to an information security business process created by a person in charge of carrying out an information security business in the field, When an event related to the information security service procedure is reflected in the state where the control items of the information security management system are reflected, a task instruction is issued to the task person in charge of each of the control items, And accumulating the information as evidence.

정보보호 관리체계는 정보통신망의 안정성 확보를 위하여 수립·운영하고 있는 관리적·기술적·물리적 보호조치 등 종합적인 관리체계에 대한 인증제도이다. 즉 정보보호 관리체계는 관리적 관점의 정보보호체계로서, 조직의 운영에 있어 체계적인 관리의 틀을 마련하고 지속적인 정보보호 관리업무를 수행하고 이를 증명하기 위한 증적(evidence)를 관리하여야 주어지는 인증이다.The information security management system is a certification system for comprehensive management system including administrative, technical and physical protection measures that are established and operated to secure the stability of information and communication network. In other words, the information security management system is a management information security system, which establishes a systematic management framework for the management of the organization and conducts continuous information security management tasks and is required to manage the evidence to prove it.

최근 개인정보보호법 발효와 대형보안사고 급증으로 인해 관리적 관점의 정보보호체계 인증이 권고사항에서 강제사항으로 변경되어 2013년부터 시행되고 있으며, 최소한의 보호조치의무를 이행하였다는 객관적인 지표로 인정되어 정보보호사고 발생시 과징금, 과태료의 50% 경감과 소송에서 면책의 수단으로 활용될 수 있다.Recently, as a result of the enactment of the Personal Information Protection Act and the surge of large-scale security accidents, the information security system certification from the management point of view has been changed from the recommendation to the compulsory information and it has been implemented since 2013 and it is recognized as an objective indicator that the minimum protection measure obligation has been fulfilled. It can be used as a means of indemnification in case of protection accidents, 50% reduction of fines, fines and lawsuits.

이러한 정보보호 관리체계에는 미국의 FISMA(Federal Information Security Management Act), 국제표준으로 ISO27001, 대한민국 국내의 경우 한국인터넷진흥원의 KISA-ISMS(KISA-Inforamtion Security Management System), 개인정보보호관리체계(Personal Information Management :PIMS) 등이 있다. 이들 중 국내의 경우 KISA-ISMS와 PIMS 인증을 얻어야 한다.This information protection management system includes the US Federal Information Security Management Act (FISMA), ISO 27001 as an international standard, KISA-ISMS (KISA-Inforamtion Security Management System) Management: PIMS). Among these, KISA-ISMS and PIMS certification should be obtained in Korea.

이러한 정보보호 관리체계는 명제중심으로 통제요건들이 규정되고 이러한 통제요건의 준수를 위해 수행되어야 할 통제항목들로 이루어져 있다. 하지만 실제 업무 현장에서는 이벤트 중심으로 업무절차가 규정되어 있는 상황이다. 즉 정보보호 관리체계는 명제 중심으로 규정되어 있고 현업에서의 업무절차는 이벤트 중심이므로, 정보보호 관리체계와 현업에서의 업무절차 간에 괴리가 발생한다. 또한 현업에서 정보보호 업무를 담당하기 위해서는 높은 수준의 정보보호 지식을 필요로 한다. 이러한 원인 들로 인해서 기업들은 정보보호 관리체계의 인증을 받고 유지하는데 대부분 전문 정보보호 컨설팅에 의존하고 있는 실정이다.This information protection management system consists of control items that are defined on proposition basis and that are to be performed in order to comply with these control requirements. However, in actual work sites, business procedures are defined based on events. In other words, the information protection management system is defined as proposition-based, and since the business processes in the business are event-driven, there is a gap between the information protection management system and the business processes in the business. In addition, a high level of information security knowledge is required in order to carry out information security work in the business. Due to these reasons, companies are relying on professional information security consulting for the certification and maintenance of the information protection management system.

한편 기업 내에 정보보호 정책을 관리하는 보안 관리자가 있는 경우, 보안 관리자는 실제 업무 현장에서 정보보호가 필요한 이벤트가 발생한 경우 이벤트 처리와 연관된 정보보호 관리체계의 통제항목들이 제대로 수행되는지를 확인하고 수행결과들을 정보보호 관리체계의 통제항목들에 맞게 정리해서 증적으로 감사자에게 제공하는 역할을 수행한다. On the other hand, if there is a security administrator who manages the information protection policy in the enterprise, the security manager confirms whether the control items of the information protection management system related to the event processing are properly performed when an event requiring information protection occurs in the actual business site, To the auditors by arranging them according to the control items of the information security management system.

즉, 실제 업무 현장에서 기업 내의 정보보호가 필요한 이벤트, 예를 들어 퇴사자가 발생한 경우, 보안 관리자는 퇴사자 발생과 연관된 정보보호 관리체계의 통제항목들에 대하여 업무 담당자가 지정되어 있는지를 확인하고, 이후 각 업무 담당자에게 통제항목을 수행하는데 필요한 업무정보 및 양식을 제공하고, 각 업무 담당자의 조치결과를 증적으로 확보한다. 이후 보안 관리자는 증적을 정보보호 관리체계의 통제항목들에 맞게 정리한 후 감사자에게 제공한다. 한편 각 업무 담당자는 보안 관리자로부터 업무정보 및 양식을 제공받은 후, 해당 업무를 수행한 후 그 결과를 보안 관리자에게 증적으로 제공한다. In other words, when an event that requires protection of information in the enterprise in the actual workplace, for example, a retired person, the security manager confirms whether a person in charge of the work is designated for the control items of the information protection management system related to the occurrence of the employee, After that, each task manager is provided with task information and form necessary to perform the control item, and the result of the action of each task manager is obtained as a trace. After that, the security administrator arranges the trace according to the control items of the information protection management system, and then provides it to the auditor. On the other hand, each worker receives work information and forms from the security officer, and after performing the work, provides the result to the security manager in a statistical manner.

이러한 작업은 해당 이벤트가 발생할 때마다 계속 오로지 인증을 받는데 필요한 증적을 축적하기 위해서 반복되고 있어서, 이로 인해서 각 업무 담당자 및 보안 관리자의 업무만 가중시키는 원인으로 작용하고 있다.This operation is repeated to accumulate the necessary indications for authentication only when the event occurs, thereby causing the worker and the security manager to only work.

본 발명과 관련된 선행문헌으로는 대한민국 등록특허 제10-1008148호(등록일: 2011년 01월 06일)가 있다.A prior art related to the present invention is Korean Patent No. 10-1008148 (registered on January 06, 2011).

정보보호 관리체계의 인증을 받고 유지하는 것을 컨설팅에 의하지 않고서도 수행이 가능케 한 정보보호업무 지원시스템 및 방법이 제안된다.A system and method for supporting the information security work that enables the certification and maintenance of the information security management system to be carried out without consulting is suggested.

또한 정보보호 관리체계의 인증으로 인한 보안 관리자 및 통제항목을 수행하는 업무 담당자의 업무 가중을 방지한 정보보호업무 지원시스템 및 방법이 제안된다.
In addition, a security support system and method are proposed to prevent the work load of the security administrator and the person in charge of performing the control items due to the authentication of the information protection management system.

본 발명의 해결하고자 하는 과제는 이상에서 언급한 과제로 제한되지 않으며, 언급되지 않은 또 다른 과제들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.The problems to be solved by the present invention are not limited to the above-mentioned problems, and other problems that are not mentioned can be clearly understood by those skilled in the art from the following description.

본 발명의 일 양상에 따른 정보보호업무 지원 시스템은, 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 연결된 상태에서, 상기 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기로 업무지시를 전송하는 업무 지시부; 와 상기 업무 담당자의 단말기로부터 수신되는 업무결과인 산출물들을 상기 통제항목들 별로 분류하여 이를 증적으로 데이터베이스에 저장하는 분류부를 포함한다.An information security service support system according to an aspect of the present invention includes a task information item included in a business procedure for processing an event requiring information protection and an information security management system A task instruction unit for sending a task instruction to a terminal of a task manager for each task item when the event is generated in a state that control items for each of the control requirements are connected; And a classifying unit for classifying the outputs as work results received from the terminal of the task manager according to the control items and storing them in a database in a database.

상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차는, 상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나 또는 상기 업무항목들 별 업무 담당자에 의해서 생성되는 과정을 거치지 않고 처음부터 상기 보안 관리자에 의해서 표준화된 업무절차인 것일 수 있다.The business process for processing the event requiring the information protection may be a standardized business process modified or supplemented by the security manager that manages the information protection management system after being created by the person in charge of the task for each business item, It may be a business procedure standardized by the security manager from the beginning without going through the process generated by the person in charge of the task by items.

상기 업무절차에 포함된 업무항목들 및 상기 통제항목들 간 연결은, 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수행될 수 있다.The connection between the business items included in the business procedure and the control items may be performed by a security manager managing the information protection management system.

상기 업무항목들 별 업무 담당자의 단말기로의 업무지시 및 상기 업무결과인 산출물들의 수신은 그룹웨어(groupware)를 통해서 이루어질 수 있다.The task assignment to the terminal of the task manager for each task item and the reception of the task result as the task result may be performed through groupware.

상기 시스템은, 상기 정보보호관리체계의 통제요건들 별 통제항목들의 수행점수를 이용하여 통제요건들의 수행율을 산출하는 관리부를 더 포함할 수 있다.The system may further include a management unit for calculating a performance rate of the control requirements using the performance score of the control items by the control requirements of the information security management system.

상기 관리부는, 상기 통제항목들 중 최하위 수준 통제항목들의 수행점수를 이용하여 통제요건들의 수행율을 산출할 수 있다.The management unit may calculate the execution rate of the control requirements using the performance score of the lowest level control items among the control items.

상기 통제항목들의 수행점수는, 해당 통제항목이 통제항목 점수화 기준들을 만족하는지에 따라 달라지는 점수를 포함한 통제항목 점수화 테이블을 이용하여, 상기 해당 통제항목이 상기 통제항목 점수화 기준들을 만족하는지로 각기 파악될 수 있다.The performance score of the control items may be determined as to whether the corresponding control item meets the control item scoring criteria using a score item of the control item score including a score that varies depending on whether the control item satisfies the control item scoring criteria .

상기 통제항목들의 수행점수는, 해당 통제항목이 상기 통제항목 점수화 기준을 만족하는지로 파악되는 점수에다가 해당 통제항목에 설정된 중요도에 따른 가중치를 더 적용하여 산출될 수 있다.The performance score of the control items may be calculated by applying a weight according to the importance set in the control item to a score obtained by determining whether the control item meets the control item scoring criteria.

상기 통제항목 점수화 기준들은, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계의 통제요건들 별 통제항목들의 연결 여부를 나타내는 표준업무절차의 연결 여부, 상기 통제항목에 해당 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나가 연결되었는지 여부를 나타내는 문서의 등록 여부 및 상기 업무항목들 별 업무 담당자의 단말기로 업무지시가 완료되었는지 여부를 나타내는 시작된 모든 업무절차의 완료 여부 중 적어도 하나를 포함할 수 있다.The criteria for scoring the control item may include a standard that indicates whether or not the items of control included in the business procedure for processing the event requiring the information protection and the control items of the information protection management system necessary for performing the business procedure are linked Whether or not a document indicating whether or not at least one of a policy document, a guidebook, a procedure document and a form document for linking a control procedure item is linked to the control item, whether or not a document is registered, And whether or not all of the business procedures started indicating whether the business order has been completed have been completed.

상기 통제요건들의 수행율은, 해당 통제요건의 통제항목들의 수행점수가 만점일 때의 점수들과 해당 통제요건의 통제항목들의 수행점수들을 이용하여 산출될 수 있다.The performance rate of the above control requirements can be calculated by using the scores when the performance score of the control items of the control requirement is perfect score and the performance scores of the control items of the control requirement.

상기 관리부는, 상기 통제항목들의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하고, 상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장할 수 있다.The management unit may provide an accuracy evaluation interface for receiving an evaluation as to whether or not the performance of the control items has been correctly performed, and may store evaluation information inputted through the accuracy evaluation interface in the database.

본 발명의 다른 양상에 따른 정보보호업무 지원방법은, 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 연결된 상태에서, 상기 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기로 업무지시를 전송하는 단계; 와 상기 업무 담당자의 단말기로부터 수신되는 업무결과인 산출물들을 상기 통제항목들 별로 분류하여 이를 증적으로 데이터베이스에 저장하는 단계를 포함한다.According to another aspect of the present invention, there is provided a method for supporting an information security service, including: a task item included in a business procedure for processing an event requiring information protection; and an information security management system Transmitting a task indication to a terminal of a task manager for each task item when the event occurs, in a state where control items for each of the control requirements are connected; And classifying the outputs as work results received from the terminal of the task manager according to the control items and storing them in a database as a trace.

상기 방법은, 상기 정보보호관리체계의 통제요건들 별 통제항목들의 수행점수를 이용하여 통제요건들의 수행율을 산출하는 단계를 더 포함할 수 있다.The method may further include calculating a performance rate of the control requirements using the performance score of the control items by the control requirements of the information security management system.

상기 통제요건들의 수행율을 산출하는 단계는, 상기 통제항목들 중 최하위 수준 통제항목들의 수행점수를 이용하여 통제요건들의 수행율을 산출할 수 있다.The step of calculating the execution rate of the control requirements may calculate the execution rate of the control requirements using the execution score of the lowest level control items among the control items.

상기 방법은, 상기 통제항목들의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하는 단계; 와 상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장하는 단계를 더 포함할 수 있다.The method includes providing an accuracy evaluation interface for receiving an evaluation of whether or not the performance of the control items has been correctly performed; And storing the evaluation information input through the accuracy evaluation interface in the database.

본 발명의 실시예에 따른 정보보호업무 지원시스템 및 방법에 따르면, 정보보호업무를 현장에서 담당하는 업무 담당자에 의해서 만들어진 정보보호 업무절차에, 상기 정보보호 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제항목들이 반영된 상태에서, 상기 정보보호 업무절차와 연관된 이벤트 발생시 상기 통제항목들 별 업무 담당자에게 업무지시가 내려지고 그 업무지시에 따라 발생하는 산출물들을 상기 통제항목들 별로 자동으로 분류 및 저장하여 증적으로 축적함으로써, 정보보호 관리체계의 인증을 받고 유지하는 것을 컨설팅에 의하지 않고서도 수행이 가능케 할 수 있다.According to the system and method for supporting the information security service according to the embodiment of the present invention, the information security service procedure created by the person in charge of the information security service in the field, When an event related to the information security service procedure is reflected in the state where the control items of the information security management system are reflected, a task instruction is issued to the task person in charge of each of the control items, , It is possible to carry out the certification and maintenance of the information security management system without consulting.

또한 정보보호 관리체계의 인증으로 인한 보안 관리자 및 통제항목을 수행하는 업무 담당자의 업무 가중을 방지할 수 있다.In addition, it is possible to prevent the work load of the security manager and the person in charge of performing the control item due to the authentication of the information security management system.

도 1은 본 발명의 실시예에 따른 정보보호업무 지원시스템이 포함된 정보보호 네트워크 구성을 나타낸 도면이다.
도 2는 본 발명의 실시예에 따른 정보보호업무 지원을 수행하는 어플리케이션(App)의 구성을 나타낸 도면이다.
도 3은 퇴직자를 처리하기 위한 업무절차를 예시한 도면이다.
도 4는 통제요건들의 수행율을 막대 그래프와 방사형 차트로 나타낸 도면이다.
도 5는 통제요건인 정보보호정책에 대한 통제항목들을 예시한 도면이다.
도 6은 통제항목 점수화 테이블을 예시한 도면이다.
도 7은 통제항목 점수화 방법에 대한 흐름도이다.
도 8은 통제요건의 수행율의 산출과정에 대한 흐름도이다.
도 9는 정확성 평가 인터페이스를 예시한 도면이다.
도 10은 본 발명의 실시예에 따른 정보보호업무 지원방법에 대한 흐름도이다.FIG. 1 is a diagram illustrating a configuration of an information protection network including an information security service support system according to an embodiment of the present invention.
FIG. 2 is a diagram illustrating a configuration of an application for supporting an information security service according to an embodiment of the present invention. Referring to FIG.
3 is a diagram illustrating a business procedure for processing retirees.
Figure 4 is a bar graph and a radar chart showing the performance of control requirements.
FIG. 5 is a diagram illustrating control items of an information protection policy as a control requirement.
6 is a diagram illustrating a control item scoring table.
7 is a flowchart of a method of scoring a control item.
8 is a flowchart of a process of calculating the execution rate of the control requirement.
9 is a diagram illustrating an accuracy evaluation interface.
10 is a flowchart illustrating a method of supporting an information security service according to an embodiment of the present invention.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예를 상세히 설명하기로 한다.　 Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the accompanying drawings.

본 발명의 실시예들은 당해 기술 분야에서 통상의 지식을 가진 자에게 본 발명을 더욱 완전하게 설명하기 위하여 제공되는 것이며, 아래의 실시예들은 여러 가지 다른 형태로 변형될 수 있으며, 본 발명의 범위가 아래의 실시예들로 한정되는 것은 아니다. 오히려, 이들 실시예는 본 개시를 더욱 충실하고 완전하게 하며 당업자에게 본 발명의 사상을 완전하게 전달하기 위하여 제공되는 것이다.　 Embodiments of the present invention are provided to more fully describe the present invention to those skilled in the art, and the following embodiments may be modified in various other forms, The present invention is not limited to the following embodiments. Rather, these embodiments are provided so that this disclosure will be more thorough and complete, and will fully convey the concept of the invention to those skilled in the art.

본 명세서에서 사용된 용어는 특정 실시예를 설명하기 위하여 사용되며, 본 발명을 제한하기 위한 것이 아니다. 본 명세서에서 사용된 바와 같이 단수 형태는 문맥상 다른 경우를 분명히 지적하는 것이 아니라면, 복수의 형태를 포함할 수 있다. 또한, 본 명세서에서 사용되는 경우 "포함한다(comprise)" 및/또는"포함하는(comprising)"은 언급한 형상들, 숫자, 단계, 동작, 부재, 요소 및/또는 이들 그룹의 존재를 특정하는 것이며, 하나 이상의 다른 형상, 숫자, 동작, 부재, 요소 및/또는 그룹들의 존재 또는 부가를 배제하는 것이 아니다. 본 명세서에서 사용된 바와 같이, 용어 "및/또는"은 해당 열거된 항목 중 어느 하나 및 하나 이상의 모든 조합을 포함한다.　 The terminology used herein is for the purpose of describing particular embodiments only and is not intended to be limiting of the invention. As used herein, the singular forms "a", "an," and "the" include plural forms unless the context clearly dictates otherwise. Also, " comprise "and / or" comprising "when used herein should be interpreted as specifying the presence of stated shapes, numbers, steps, operations, elements, elements, and / And does not preclude the presence or addition of one or more other features, integers, operations, elements, elements, and / or groups. As used herein, the term "and / or" includes any and all combinations of one or more of the listed items.

본 명세서에서 제1, 제2 등의 용어가 다양한 부재, 영역 및/또는 부위들을 설명하기 위하여 사용되지만, 이들 부재, 부품, 영역, 층들 및/또는 부위들은 이들 용어에 의해 한정되어서는 안됨은 자명하다. 이들 용어는 특정 순서나 상하, 또는 우열을 의미하지 않으며, 하나의 부재, 영역 또는 부위를 다른 부재, 영역 또는 부위와 구별하기 위하여만 사용된다. 따라서, 이하 상술할 제1 부재, 영역 또는 부위는 본 발명의 가르침으로부터 벗어나지 않고서도 제2 부재, 영역 또는 부위를 지칭할 수 있다.Although the terms first, second, etc. are used herein to describe various elements, regions and / or regions, it should be understood that these elements, components, regions, layers and / Do. These terms do not imply any particular order, top, bottom, or top row, and are used only to distinguish one member, region, or region from another member, region, or region. Thus, the first member, region or region described below may refer to a second member, region or region without departing from the teachings of the present invention.

이하, 본 발명의 실시예들은 본 발명의 실시예들을 개략적으로 도시하는 도면들을 참조하여 설명한다. 도면들에 있어서, 예를 들면, 제조 기술 및/또는 공차에 따라, 도시된 형상의 변형들이 예상될 수 있다. 따라서, 본 발명의 실시예는 본 명세서에 도시된 영역의 특정 형상에 제한된 것으로 해석되어서는 아니 되며, 예를 들면 제조상 초래되는 형상의 변화를 포함하여야 한다.
Hereinafter, embodiments of the present invention will be described with reference to the drawings schematically showing embodiments of the present invention. In the figures, for example, variations in the shape shown may be expected, depending on manufacturing techniques and / or tolerances. Accordingly, embodiments of the present invention should not be construed as limited to any particular shape of the regions illustrated herein, including, for example, variations in shape resulting from manufacturing.

도 1은 본 발명의 실시예에 따른 정보보호업무 지원시스템이 포함된 정보보호 네트워크 구성을 나타낸 도면이다.FIG. 1 is a diagram illustrating a configuration of an information protection network including an information security service support system according to an embodiment of the present invention.

도 1을 참조하면, 정보보호업무 지원시스템(2)은 보안 관리자 단말기(1), 데이터베이스(3), 다수의 업무 담당자 단말기(4)와 네트워크, 예를 들어 인터넷을 통해서 데이터를 송수신할 수 있다. 따라서 정보보호업무 지원시스템(2)은 네트워크에 접속하여 데이터를 송수신할 수 있는 통신모듈(미도시)을 구비한다. 1, an information security service support system 2 can transmit and receive data to and from a security manager terminal 1, a database 3, and a plurality of service personnel terminals 4 via a network, for example, the Internet . Therefore, the information security service support system 2 includes a communication module (not shown) that can access the network and transmit and receive data.

이러한 정보보호업무 지원시스템(2)은 어플리케이션(App), 프레임워크(FrameWork), 미들웨어(MW), 운영체계(OS)로 구성되어 있는데, 미들웨어는 Tomcat, Apache HTTP server 중 어느 하나로 구현될 수 있고, 운영체계는 CentOS로 구현될 수 있으나 이에 한정되지 않음에 유의하여야 한다.The information protection task support system 2 is composed of an application, a framework, a middleware, and an operating system. The middleware can be implemented as any one of Tomcat and Apache HTTP server , The operating system can be implemented with CentOS, but it is not limited thereto.

상기 어플리케이션(App)은 본 발명에 따른 정보보호업무 지원을 수행하는 것으로서, 도 2에 도시된 바와 같이 어플리케이션(App)은 업무 지시부(21), 분류부(22) 및 관리부(23)를 포함한다. 본 발명의 실시예에서는 정보보호업무 지원의 수행이 어플리케이션(App)에 의해서 이루어지는 것으로 예시되어 있으나, 이에 한정되지 않고 하드웨어(hardware)에 의해서도 이루어질 수 있음에 유의하여야 한다. 즉 어플리케이션(App) 내 업무 지시부(21), 분류부(22) 및 관리부(23)가 하드웨어로 구성될 수도 있다는 것이다.2, the application includes an operation instruction unit 21, a classification unit 22, and a management unit 23, . In the embodiment of the present invention, it is exemplified that the support of the information security service is performed by the application (App). However, it should be noted that the present invention is not limited to this but may be implemented by hardware. That is, the business instruction unit 21, the classifying unit 22, and the management unit 23 in the application (App) may be configured by hardware.

업무 지시부(21)는 정보보호가 필요한 이벤트를 처리하기 위한 업무절차 내 업무항목들과 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 연결된 상태에서, 상기 정보보호가 필요한 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기(4)로 업무지시를 전송한다. 이렇게 상기 업무항목들 별 업무 담당자의 단말기(4)로의 업무지시는 도 1에 도시된 바와 같이 그룹웨어(groupware)(5)를 통해서 이루어질 수 있는데, 상기 업무지시에는 업무항목들을 수행하는데 필요한 업무정보 및 양식서가 포함될 수 있다.The task instructing unit 21 may be configured to perform tasks in the work procedure for handling events requiring information protection and control items of the information security management system necessary for performing the task procedures, , And transmits a business instruction to the terminal (4) of the task person in charge of each business item when an event requiring the information protection is generated. In this way, the task assignment to the terminal 4 by the task manager can be performed through the groupware 5 as shown in FIG. 1. The task instruction includes task information required to perform task items, Forms may be included.

이때, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차는, 상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나, 또는 상기 업무항목들 별 업무 담당자에 의해서 생성되는 과정을 거치지 않고 처음부터 상기 보안 관리자에 의해서 표준화된 업무절차일 수 있다. 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차의 생성이 상기 업무항목들 별 업무 담당자에 의해서 이루어지는 것으로 예시되었으나 이에 한정되지 않음에 유의하여야 한다.In this case, the business procedure for processing the event requiring the information protection may be a standardized business procedure modified or supplemented by the security administrator who manages the information protection management system after being created by the person in charge of the task for each business item, Or it may be a business procedure standardized by the security manager from the beginning without going through a process generated by the person in charge of the task by each business item. It should be noted that the creation of the business procedure for processing the event requiring the information protection is exemplified as being performed by the person in charge of the task by each business item, but is not limited thereto.

그리고 상기 업무절차 내 업무항목들과 상기 통제항목들 간 연결은, 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수행될 수 있다. 이때 하나의 업무항목에 다수의(2개 이상의) 통제 항목들이 연결되거나 또는 하나의 통제 항목이 연결될 수 있다. 그리고 하나의 업무항목에 연결되는 하나의 업무항목 또는 다수의 통제 항목들은 단일의 컴플라이언스(compliance)에 속하거나 서로 다른 이종의 컴플라이언스에 속할 수 있다. 여기서 컴플라이언스는 정보보호 관리체계의 통제요건이나 회사 내규일 수 있으며 이에 한정되지 않음에 유의하여야 한다. 상기 정보보호 관리체계의 통제요건은, 도 4 및 도 5에 도시된 바와 같이, 1. 정보보호정책, 2.정보보호 조직, 3.외부자 보안, 4.정보자산 분류, 5.정보보호 교육, 6.인적보안, 7.물리적 보안, 8.시스템 개발 보안, 9.암호통제, 10.접근통제, 11.운영관리, 12.전자거래 보안, 13.보안사고 관리, 14. 검토 모니터링 및 감사, 15.업무연속성 관리, 16.개인정보보호로 구성되어 있다. 그러나 이는 예시에 불과하다는 것에 유의하여야 한다.
The connection between the business items in the business procedure and the control items may be performed by a security manager managing the information protection management system. At this time, a plurality of (two or more) control items may be connected to one business item, or one control item may be connected. And a business item or a plurality of control items linked to a business item may belong to a single compliance or may belong to a different kind of compliance. It should be noted here that compliance can be, but is not limited to, the control requirements of the information protection management system or the internal regulations of the company. As shown in FIG. 4 and FIG. 5, the above-mentioned control requirements of the information protection management system include: 1. information protection policy, 2. information protection organization, 3. outsider security, 4. information asset classification, 5. information protection education , 6. Personal security, 7. Physical security, 8. System development security, 9. Password control, 10. Access control, 11. Operational management, 12. Electronic transaction security, 13. Security incident management, 14. Review monitoring and auditing , 15. Business continuity management, 16. Personal information protection. However, it should be noted that this is only an example.

이하 정보보호가 필요한 이벤트가 퇴직자 발생인 경우를 예로 들어 상기 업무절차에 포함된 업무항목들과 통제항목들의 연결에 대해서 살펴보기로 한다.Hereinafter, the connection between the business items and the control items included in the business procedure will be described taking as an example a case where an event requiring information protection is a retirement occurrence.

퇴직자가 발생한 경우에 퇴직자 처리를 위한 정보보호 관리체계에서 규정한 통제항목들로 아래의 5가지가 있는 것으로 가정한다. It is assumed that there are five kinds of control items defined by the information protection management system for retirees when a retiree occurs:

1. 부서 및 직무변경, 휴직, 퇴직 등으로 인한 인사변경 내용이 인사부서, 정보보호부서, 정보시스템 운영부서 간에 공유되고 있는가?1. Are personnel changes due to departments and job changes, leave of absence, and retirement being shared among human resources departments, information protection departments, and information systems management departments?

2. 조직 내 인력(정규직 임직원, 임시직원, 외주용역업체 직원 등)의 직무변경 혹은 퇴직 시 정보자산 반납, 접근권한 조정·회수, 결과 확인 등 수립된 절차에 따라 지체 없이 이행하고 있는가?2. Are there any changes in the organization of the workforce (permanent employees, temporary employees, outsourcing contractors, etc.) in the organization or are they being carried out without delay in accordance with established procedures such as returning information assets, adjusting and reclaiming access rights and confirming results at the time of retirement?

3. 임직원 퇴직 시 별도의 비밀유지에 관련한 서약서를 받고 있는가?3. Do you receive a letter of confidentiality when you retire?

4. 각 보호구역에 대한 내·외부자 출입기록을 일정기간 보존하고 출입기록 및 출입권한을 주기적으로 검토하고 있는가?4. Are records of internal and external access to each protected area kept for a certain period of time and periodically examined access records and access rights?

ㆍ퇴직자 또는 직무변경자 출입권한 삭제·조정 및 출입증 회수ㆍ Removing and adjusting the right of access to retirees or job changers and collecting pass

5. 정보시스템 및 중요정보에 대한 접근권한 검토 기준, 검토주체, 검토방법, 주기 등을 정하여 정기적 검토를 이행하고 있는가?5. Have access to information systems and critical information reviewed, reviewed, reviewed, and carried out periodic reviews?

ㆍ퇴직 시 지체 없이 계정을 삭제(단, 계정삭제가 어려운 경우 권한 회수 한 후 계정을 정지). ※계정 정지 또는 비활성화를 하는 경우에 계정 활성화가 불가능하도록 조치 필요.ㆍ Delete your account without delay when you retire. (If you can not delete your account, please stop your account after collecting your rights.) ※ If you suspend or deactivate your account, you need to make it impossible to activate your account.

한편, 퇴직자를 처리하기 위한 업무절차가 도 3과 같이 이루어진다고 가정한다. 즉 "퇴직자 업무절차 시작->팀장면담(담당 : 부서팀장)->비밀유지서약서 작성(담당 : 인사부)->재산 반납(담당 :재무부서)->출입증 회수 및 출입권한 삭제(담당 : 경비부서)->정보시스템 및 중요정보에 대한 접근권한 조정(담당 : 보안부서)->퇴직자 인사 공고(담당 : 인사부서)->퇴직자 업무절차 종료"로 업무절차가 진행된다.On the other hand, it is assumed that the work procedure for processing retirees is as shown in Fig. - "Return of the property (charge: finance department) -> Removal of the pass and deletion of the right of access (charge: the guard department) ) -> Adjustment of access right to information system and important information (charge: security department) -> Notice of retiree personnel (charge: HR department) ->

이에 대해서 보안 관리자는 퇴직자 처리를 위한 정보보호 관리체계에서 규정한 통제항목들과 퇴직자를 처리하기 위한 업무절차의 업무항목들을 연결한다. In this regard, the security administrator links the control items specified in the information protection management system for the retirement process and the business process items for the retirement process.

이렇게 연결된 결과는 다음과 같다. 즉 "퇴직자 업무절차 시작->팀장면담-> 비밀유지서약서 작성(통제항목 3 - 제공양식서 : 서약서)->자산 반납(통제항목 2 -제공양식서 : 반납확인서)->출입증 회수 및 출입권한 삭제(통제항목 4 - 제공양식서 : 출입증 회수 확인서, 출입권한 삭제 확인서)->정보시스템 및 중요정보에 대한 접근권한 조정(통제항목 5, 통제항목 2 - 제공양식서 : 접근권한 조정 확인서)->퇴직자 인사 공고(통제항목 1 - 제공양식서 : 공고 확인서)->퇴직자 업무절차 종료"이다. The result of this connection is as follows. (Control Item 2 - Provision Form: Return Confirmation Form) -> Revoke the pass and remove the right of access. (2) Control item 4 - Provision form: Passbook receipt confirmation letter, access right deletion confirmation letter) -> Adjustment of access right to information system and important information (control item 5, control item 2 - Provision form: confirmation of access right adjustment statement) (Control Item 1 - Provision Form: Notice of Confirmation) -> End of Retiree Business Procedure ".

상기 업무절차에 포함된 업무항목들과 상기 통제항목들 간 연결정보는 도 1에 도시된 보안 관리자 단말기(1)에 저장되는데, 이에 한정되지는 않음에 유의하여야 한다. 그리고 상기 업무절차에 포함된 업무항목들 및 상기 통제항목들 간 연결정보에는 통제항목을 수행하기 위한 양식서, 예를 들어 통제항목 2의 경우 접근권한 조정 확인서뿐만 아니라 통제항목을 수행하는데 필요한 업무정보와 통제항목을 수행하는 담당 정보(예를 들어, 비밀유지서약서 작성의 경우 담당은 재무부서임)가 더 포함될 수 있다.
It should be noted that the connection information between the business items included in the business procedure and the control items is stored in the security manager terminal 1 shown in FIG. 1, but is not limited thereto. In addition, the business information included in the business procedure and the connection information between the control items include a form for carrying out the control item, for example, the control information for the control item 2, Information to carry out the control item (for example, in the case of a confidentiality agreement, the charge is the Treasury Department) may be further included.

한편 분류부(22)는 업무 담당자의 단말기(4)로부터 업무 담당자의 수행결과인 산출물들을 수신하여서 이들을 상기 통제항목들 별로 분류해서 이를 증적(evidence)으로 데이터베이스에 저장한다. 이때 상기 업무수행결과인 산출물들의 수신은 그룹웨어(5)를 통해서 이루어질 수 있다. 그리고 증적을 저장하는 상기 데이터베이스는 정보보호업무 지원시스템(2) 내의 메모리 장치(미도시)이거나, 도 1에 도시된 바와 같이 정보보호업무 지원시스템(2)의 외부에 설치된 데이터베이스(3)일 수 있다. 상기 데이터베이스(3)는 DBMS(DataBase Management System)과 암호화 모듈을 포함하는데 DBMS는 증적의 추가, 변경, 삭제, 검색 등의 기능을 담당하고, 암호화 모듈은 상기 데이터베이스(3)에 저장되는 증적을 소정의 암호화 방식으로 암호화하여 저장하는 역할을 한다.On the other hand, the classification unit 22 receives the outputs as the result of the performance of the person in charge of the task from the terminal 4 of the task manager, classifies them according to the control items, and stores them as evidence in the database. At this time, the reception of the outputs as a result of the task execution can be performed through the groupware 5. The database for storing the vouchers may be a memory device (not shown) in the information security service support system 2 or a database 3 installed outside the information security service support system 2 as shown in Fig. have. The database 3 includes a DBMS (Data Base Management System) and a cryptographic module. The DBMS is responsible for functions such as addition, change, deletion, and retrieval of a certificate. And encrypts and stores the encrypted data.

이와 같이 정보보호 보안 감사에 대비한 증적 축적이 손쉽게 이루어지게 때문에 보안 관리자 및 통제항목을 수행하는 업무 담당자의 업무 가중을 방지할 수 있게 된다.Thus, since the accumulation of the information can be easily performed in preparation for the information security audit, it is possible to prevent the work load of the security manager and the person in charge of performing the control item from being weighted.

또한 정보보호업무를 현장에서 담당하는 업무 담당자에 의해서 만들어진 정보보호 업무절차의 업무항목들과, 상기 정보보호 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제항목들과의 연결이 외부의 정보보호 전문가에 의해서 이루어지는 것이 아닌 기업 내부의 보안 관리자에 의해서 이루어지므로, 기업의 특성에 맞는 정보보호 업무절차가 수립될 수 있게 된다.In addition, connection between the work items of the information protection work procedure made by the person in charge of the work in charge of the information protection work and the control items of the information security management system necessary for carrying out the above information protection work procedure Is performed by the internal security manager, not by the external information security specialist, so that the information protection business procedure can be established according to the characteristics of the enterprise.

한편, 도 2에서 정보보호업무 지원시스템(2)의 App(20) 내 관리부(23)는 정보보호관리체계의 통제요건들 별로 하위수준 통제항목들의 수행점수를 이용하여 수행율을 산출하여서 출력한다.2, the management unit 23 in the application 20 of the information security service support system 2 calculates the performance rate using the performance score of the lower level control items according to the control requirements of the information security management system, and outputs the performance ratio .

이에 대해서 도 4 및 도 5를 참조하여 설명하기로 한다. 도 4를 참조하면, 정보보호 관리체계가 16개의 통제요건들로 구성된 것으로 예시되어 있다. 즉 정보보호 관리체계는 도 4의 도면부호 31과 같이 "정보보호 정책, 정보보호 조직, 외부자 보안, 정보자산 분류, 정보보호 교육, 인적 보안, 물리적 보안, 시스템 개발 보안, 암호 통제, 접근 통제, 운영관리, 전자거래보안, 보안사고 관리, 검토 모니터링 및 감사, 업무연속성 관리, 개인정보보호"의 통제요건들로 이루어져 있다. This will be described with reference to FIGS. 4 and 5. FIG. Referring to FIG. 4, the information security management system is illustrated as being composed of 16 control requirements. In other words, the information protection management system is constituted by the information protection policy, information security organization, external security, information asset classification, information protection education, human security, physical security, system development security, , Operational management, electronic transaction security, security incident management, review monitoring and audit, business continuity management, privacy ".

이러한 통제요건들 각각은 도 5에 도시된 바와 같이 4종류의 하위수준 통제항목으로 이루어질 수 있다. 즉, 각 통제요건은 하위에 1수준 통제항목인 통제분야, 2수준 통제항목인 통제항목, 3수준 통제항목인 통제목적, 4수준 통제항목인 점검항목으로 구성될 수 있다. 이때, 1수준 통제항목->2수준 통제항목->3수준 통제항목->4수준 통제항목으로 향할수록, 통제항목의 수준은 상위에서 하위로 향하게 된다. 즉 1 수준 통제항목, 2수준 통제항목, 3수준 통제항목 및 4수준 통제항목 중 최상위 수준 통제항목은 1수준 통제항목이고 최하위 수준 통제항목은 4수준 통제항목이다.Each of these control requirements can be made up of four kinds of lower level control items as shown in FIG. In other words, each control requirement can be composed of the control field which is one level control item, the control item which is a 2-level control item, the control purpose which is a 3-level control item, and the inspection item which is a 4-level control item. In this case, the level of the control item is shifted from the upper level to the lower level toward the one level control item -> the 2 level control item -> the 3 level control item -> the 4 level control item. That is, the top level control item among the first level control item, the second level control item, the third level control item, and the fourth level control item is the one level control item and the lowermost level control item is the four level control item.

예를 들면, 도 5에 도시된 통제요건 "정보보호정책"은 1수준 통제항목인 통제분야, 2수준 통제항목인 통제항목, 3수준 통제항목인 통제목적, 4수준 통제항목인 점검항목으로 구성될 수 있다.For example, the control requirement " information protection policy "shown in FIG. 5 is composed of a control level of a level 1 control level, a control level of a level 2 control level, a control level of a level 3 control level, .

1수준 통제항목인 통제분야는 다시 1.1 정책의 승인 및 공표, 1.2 정책의 체계, 1.3 정책의 유지관리의 통제항목들로 이루어져 있다. The first level of control, the control sector, consists of the approval and release of the 1.1 policy, the system of the 1.2 policy, and the control of the maintenance of the 1.3 policy.

1.1 정책의 승인 및 공표에 대한 하위수준 통제항목인 2수준 통제항목은 1.1.1 정책의 승인 및 1.1.2 정책의 공표로 이루어질 수 있다. 1.1.1 정책의 승인에 대한 하위수준 통제항목인 3수준 통제항목은 "정보보호정책은 이해관련자의 검토와 최고경영자의 승인을 받아야 한다."이고, 1.1.2 정책의 공표에 대한 하위수준 통제항목인 3수준 통제항목은 "정보보호정책 문서는 모든 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다."이다. 1.1 Level 2 control items, which are low level control items for approval and publication of policies, can be made with the approval of the 1.1.1 policy and the publication of the 1.1.2 policy. 1.1.1 The level 3 control level, which is the lower level control level for the policy approval, is defined as "the information security policy should be reviewed by the interested parties and approved by the CEO," and 1.1.2 lower level control Item 3 level control item is "Information protection policy document should be communicated to all employees and related persons in easy-to-understand format."

상기 1.1.1. 정책의 승인에 대한 하위수준 통제항목(3수준 통제항목)의 하위수준인 통제항목(4수준 통제항목)은 정보보호정책 및 정책시행 문서(지침, 절차 등)의 제ㆍ개정시 이해관련자의 검토를 받고 있는가?, 정보보호정책 제ㆍ개정시 최고 경영자의 승인을 받고 있는가", 지침, 절차 등 정책시행 문서의 제ㆍ개정시 최고경영자의 위임을 받은 책임자(CISO 등)의 승인을 받고 있는가?"이다. 그리고 1.1.2 정책의 공표에 대한 하위수준 통제항목(3수준 통제항목)에 대한 하위수준인 통제항목(4수준 통제항목)은 "정보보호정책 및 정책시행문서의 제ㆍ개정시 그 내용을 관련 임직원에 공표하고 있는가?, 정보보호정책 및 정책시행문서를 관련 임직원에게 이해하기 쉬운 형태로 전달하고 최신본으로 제공하고 있는가?"이다. 1.1.1. The control items (level 4 control items), which are subordinate to the lower level control items (level 3 control items) for approval of policy, are those that are reviewed by the interested parties in the revision and revision of information protection policies and policy implementation documents Is the approval of the chief executive officer (CISO, etc.) delegated by the chief executive officer at the revision or amendment of the policy implementation documents such as "Are they approved? "to be. And 1.1.2 The lower level control items (level 4 control items) for the lower level control items (third level control item) for the publication of policy are "related to the contents of the information protection policy and policy implementation documents Are they publishing to employees? Is the information protection policy and policy implementation document communicated to relevant employees in an easy-to-understand format and provided with the latest version? "

그리고 1수준 통제항목인 통제분야인 1.2 정책의 체계 및 1.3 정책의 유지관리도 1.1 정책의 승인 및 공표의 경우와 마찬가지로 2수준 통제항목, 3수준 통제항목 및 4수준 통제항목으로 이루어져 있는데, 이에 대한 종류는 도 5에 도시되어 있으므로, 이에 대한 설명은 여기서 생략하기로 한다.The system of 1.2 policy and the maintenance of 1.3 policy, which are the control level of the first level control item, are composed of the second level control level, the third level control level, and the fourth level control level as in the case of the approval and publicity of the policy. Since the types are shown in Fig. 5, a description thereof will be omitted here.

이러한 통제요건의 하위수준 통제항목들 중 최하위 수준 통제항목인 4수준 통제항목인 점검항목의 수행점수를 이용하여 통제요건의 수행율을 산출할 수 있다. The execution rate of the control requirement can be calculated using the performance score of the inspection item, which is the 4th level control item, the lowest level control item among the lower level control items of the control requirement.

이와 같이 통제요건의 수행율을 산출하기 위한 조건으로 최하위 수준 통제항목(4수준 통제항목)들의 수행점수를 이용하는 이유는, 최하위 수준 통제항목(4수준 통제항목)들이 업무 담당자에 의해서 생성된 정보보호 업무절차의 업무항목들과 일치하거나 또는 가장 유사하기 때문이다. 따라서 상기 정보보호 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건의 최하위 수준 통제항목인 점검항목들(4수준 통제항목들)과, 실제 통제요건에 대한 업무 정보보호업무를 현장에서 담당하는 업무 담당자에 의해서 만들어진 정보보호 업무절차의 업무항목들이 연결될 수 있는 것이다.The reason for using the performance score of the lowest level control item (level 4 control item) as a condition for calculating the execution rate of the control requirement is that the lowest level control item (level 4 control item) Because they are consistent with or most similar to the work items in the business process. Therefore, the lowest level of the control requirements of the Information Security Management System (4 levels of control items), which are necessary for carrying out the above information protection business procedure, The work items of the information protection work procedure made by the person in charge of the work in charge of the field can be linked.

관리부(23)는 통제요건의 최하위 수준 통제항목들 별 수행점수를 먼저 산출하고, 상기 최하위 수준 통제항목들 별로 해당 통제항목의 수행점수가 만점일 때의 점수와 상기 산출된 해당 통제항목의 수행점수를 이용하여, 상기 최하위 수준 통제항목들이 속하는 통제요건의 수행율을 산출한다.The management unit 23 first calculates the performance score for each of the lowest level control items of the control requirement, and calculates a score obtained when the performance score of the corresponding control item is perfect for each of the lowest level control items, , The execution rate of the control requirement to which the lowest level control items belong belongs is calculated.

먼저, 통제요건에 포함되는 최하위 수준 통제항목들 별 수행점수는, 최하위 수준 통제항목의 통제항목 점수화 기준들의 만족 여부에 따라 달라지는 점수를 포함한 통제항목 점수화 테이블을 이용하여, 상기 통제요건에 포함되는 최하위 수준 통제항목들이 상기 통제항목 점수화 기준들을 만족하는지를 파악함으로써 파악될 수 있다. First, the performance score of the lowest level control items included in the control requirement is calculated using the control item score table including scores that vary depending on satisfaction of the control item score criteria of the lowest level control item, Level control items satisfy the control item scoring criteria.

이때, 상기 통제항목 점수화 기준들은, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계의 통제요건들 별 통제항목들의 연결 여부를 나타내는 표준업무절차의 연결 여부,In this case, the criteria for scoring the control item may include a link between control items for the control items of the information protection management system necessary for the operation of the business procedure and the business items included in the business procedure for processing the event requiring the information protection Whether or not the standard business procedure is represented,

상기 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나가 해당 통제항목에 연결되었는지 여부를 나타내는 문서의 등록 여부 및Whether or not a document indicating whether at least one of the policy document, the guidebook, the procedure document and the form document for carrying out the control item is linked to the corresponding control item, and

상기 업무항목들 별 업무 담당자의 단말기로 업무지시가 완료되었는지 여부를 나타내는 시작된 모든 업무절차의 완료 여부" 중 적어도 하나를 포함할 수 있다. 그러나 이는 예시에 불과하며 이에 한정되지는 않음에 유의하여야 한다. Completion of all started business procedures indicating whether or not the business order has been completed to the terminal of the business person in charge by the business items ", but it should be noted that the present invention is not limited thereto .

상기 표준업무절차의 연결 여부를 판단하는 부분에서 상기 업무절차는 상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나 또는 처음부터 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 표준화된 업무절차일 수 있다.In the part for determining whether the standard business procedure is connected, the business procedure is a standardized business procedure modified or supplemented by the security manager that manages the information security management system after being created by the task person in charge of the business items, It may be a standardized business procedure by a security manager who manages the information security management system from the beginning.

상기 통제항목 점수화 테이블에 대한 예시가 도 6에 도시되어 있다. 도 6을 참조하면, 상기 통제항목 점수화 테이블은 통제항목 점수화 기준들과, 최하위 수준 통제항목이 상기 통제항목 점수화 기준들의 만족 여부를 등급으로 나타내는 구현현황과, 상기 구현현황에 상응하는 점수로 이루어져 있다. 예를 들어 최하위 수준 통제항목이 상기 표준화된 업무절차에 연결되었는가?(표준업무 절차연결 여부), 문서가 등록 되었는가?(문서등록 여부), 시작된 모든 업무절차가 완료되었는가?(시작된 모든 업무절차의 완료 여부)를 모두 만족하는 경우에 구현현황은 YES 등급이며, YES 등급에 대한 점수는 '10'점이다.An example of the control item scoring table is shown in FIG. Referring to FIG. 6, the control item scoring table is composed of scoring standards for the control item, an implementation status indicating that the lowest level control item satisfies the control item scoring criteria, and a score corresponding to the implementation status . For example, is the lowest level control item linked to the standardized business process (whether the standard business process is connected), whether the document is registered (whether the document is registered), all completed business processes have been completed Completion status), the implementation status is YES grade, and the score for YES grade is '10'.

이러한 통제요건에 포함되는 최하위 수준 통제항목들이 상기 통제항목 점수화 기준들을 만족하는지를 판단하여 최하위 수준 통제항목의 수행점수를 산출하는 통제항목 점수화 방법에 대한 흐름도가 도 7에 도시되어 있다. 도 7을 참조하면, 관리부(23)는 최하위 수준 통제항목(도 5의 경우 4수준 통제항목인 점검항목)이 상기 표준화된 업무절차에 연결되었는가를 확인하고, 연결되지 않았으면 최하위 수준 통제항목의 구현현황을 "NO"로 판단하고 연결되었으면 최하위 수준 통제항목의 문서가 등록되었는가를 확인한다. 이때 최하위 수준 통제항목의 문서는 해당 최하위 수준 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나를 포함할 수 있다.FIG. 7 shows a flowchart of a method of scoring a control item to determine whether the lowest level control items included in the control requirement satisfies the control item scoring criteria and calculates the performance score of the lowest level control item. Referring to FIG. 7, the management unit 23 confirms whether the lowest level control item (the inspection item as the fourth level control item in FIG. 5) is linked to the standardized business procedure, and if not, the lowest level control item If the implementation status is "NO" and if it is linked, check whether the document of the lowest level control item is registered. At this time, the document of the lowest level control item may include at least one of policy document, guidebook, procedure, and form document for the execution of the lowest level control item.

확인 결과, 최하위 수준 통제항목의 문서가 등록된 경우, 관리부(23)는 시작된 모든 업무가 종료되었는가를 확인한다. 즉 상기 업무항목들 별 업무 담당자의 단말기로 업무지시 즉 해당 업무항목에 연결된 적어도 하나의 최하위 수준 통제항목이 전달되었는지 여부를 확인한다. 이는 업무 담당자의 최하위 통제항목에 대한 수신 확인 메일(이 수신 확인 메일은 도 1의 그룹웨어(5)를 통해서 수신될 수 있다)을 통해서 이루어질 수 있는데, 그러나 이에 한정되지 않음에 유의하여야 한다. 확인결과 시작된 모든 업무가 종료된 경우 최하위 수준 통제항목의 구현현황을 "YES"로 판단하고 시작된 모든 업무가 종료되지 않은 경우 최하위 수준 통제항목의 구현현황을 "P3"로 판단한다. As a result of checking, if the document of the lowest level control item is registered, the management unit 23 confirms whether all the started tasks have been completed. That is, it is confirmed whether or not at least one lowest level control item connected to the task item, that is, the task item, has been delivered to the terminal of the task person in charge of each task item. It should be noted that this can be done through, but not limited to, an acknowledgment of the lowest control item of the person in charge of the task (this acknowledgment can be received via the groupware 5 of FIG. 1). If all tasks started are checked, the implementation status of the lowest level control item is determined as "YES", and if all the tasks started are not terminated, the implementation status of the lowest level control item is determined as "P3".

한편, 최하위 수준 통제항목의 문서가 등록되지 않은 경우 관리부(23)는 시작된 모든 업무가 종료되었는가를 확인한다. 확인결과 시작된 모든 업무가 종료된 경우 최하위 수준 통제항목의 구현현황을 "P2"로 판단하고 시작된 모든 업무가 종료되지 않은 경우 구현현황을 "P1"으로 판단한다.On the other hand, if the document of the lowest level control item is not registered, the management unit 23 confirms whether all the started tasks have been completed. As a result of confirmation, if all the tasks started are completed, the implementation status of the lowest level control item is determined as "P2", and if all tasks started are not ended, the implementation status is determined as "P1".

이렇게 판단된 구현현황 별 점수는 도 6에 예시된 바와 같이 YES의 경우 10점이고, P3의 경우 8점이고, P2의 경우 5점이고, P1의 경우 2점, NO의 경우 0점으로 설정되어 있다. 그러나 이렇게 설정된 점수는 이에 한정되지 않음에 유의하여야 한다.As shown in Fig. 6, the determined score of the implementation status is set to 10 points for YES, 8 points for P3, 5 points for P2, 2 points for P1, and 0 point for NO. However, it should be noted that the score thus set is not limited thereto.

통제요건에 포함되는 최하위 수준 통제항목들 별 수행점수가 산출된 후, 관리부(23)는 상기 최하위 수준 통제항목들 별로 중요도가 설정되어 있는가를 확인한 경우, 중요도가 설정된 경우 설정된 중요도의 가중치를 해당 최하위 수준 통제항목의 수행점수에 반영할 수 있다. 이때, 중요도는 높음, 보통, 낮음일 수 있으며, 높음의 가중치는 1.5, 보통의 가중치는 1, 낮음의 가중치는 0.5일 수 있다. 이러한 중요도의 종류 및 중요도의 종류의 가중치는 이에 한정되지 않으며 다양하게 변경될 수 있음에 유의하여야 한다. After the performance score of the lowest level control items included in the control requirement is calculated, when the management unit 23 confirms whether the importance level is set for each of the lowest level control items, if the importance level is set, the weight of the importance level is set to the lowest level This can be reflected in the performance score of the control item. In this case, the importance may be high, normal, or low. The weight of high may be 1.5, the weight of normal may be 1, and the weight of low may be 0.5. It should be noted that the weights of the types of importance and the types of importance are not limited thereto and can be variously changed.

이와 같이 최하위 수준 통제항목에 중요도가 설정된 경우에 이 중요도가 최하위 수준 통제항목의 수행점수에 반영되는 것에 대해서 살펴보기로 한다. 먼저, 도 7에 도시된 바와 같은 통제항목 점수화 방법에 따라 최하위 수준 통제항목의 수행점수를 산출하고, 이렇게 산출된 최하위 수준 통제항목의 수행점수에 상기 산출된 최하위 수준 통제항목의 중요도의 가중치를 반영한다. 예를 들어, 상기 산출된 최하위 수준 통제항목의 수행점수가 15점이고, 중요도가 높음으로 중요도의 가중치가 1.5인 경우 상기 최하위 수준 통제항목의 수행점수는 22.5(=15×1.5)점으로 변경되는 것이다. In this way, when importance is set on the lowest level control item, the significance is reflected in the performance score of the lowest level control item. First, the execution score of the lowest level control item is calculated according to the control item scoring method as shown in FIG. 7, and the weight of the lowest level control item calculated above is reflected in the calculated execution score of the lowest level control item do. For example, if the calculated score of the lowest level control item is 15, and the importance is high and the weight of importance is 1.5, the score of the lowest level control item is changed to 22.5 (= 15 × 1.5) .

이렇게 통제요건에 포함되는 최하위 수준 통제항목들 별 수행점수가 산출되면, 관리부(23)는 상기 최하위 수준 통제항목들 별로 해당 통제항목의 수행점수가 만점일 때의 점수와 상기 산출된 해당 통제항목의 수행점수를 이용하여, 상기 최하위 수준 통제항목들이 속하는 통제요건의 수행율을 산출한다.When the performance score for the lowest level control items included in the control requirement is calculated, the management unit 23 calculates the score of the performance score of the control item for each of the lowest level control items and the score of the calculated control item Using the performance score, the execution rate of the control requirement to which the lowest level control items belong belongs is calculated.

상기 최하위 수준 통제항목들이 속하는 통제요건의 수행율의 산출과정을 도 8에 도시된 통제항목 점수 테이블을 참조하여 살펴보기로 한다.The process of calculating the execution rate of the control requirements to which the lowest level control items belongs will be described with reference to the control item score table shown in FIG.

도 8을 참조하면, 통제항목 점수 테이블은 통제요건에 포함되는 5개의 최하위 수준 통제항목들을 포함하는 것으로 예시되어 있는데, 즉 통제항목 점수 테이블은 1.1.1.1 정보보호정책 및 정책시행 문서(지침, 절차 등)의 제ㆍ개정시 이해관련자의 검토를 받고 있는가?, 1.1.1.2 정보보호정책 제ㆍ개정시 최고 경영자의 승인을 받고 있는가", 1.1.1.3 지침, 절차 등 정책시행 문서의 제ㆍ개정시 최고경영자의 위임을 받은 책임자(CISO 등)의 승인을 받고 있는가?", 1.1.1.4 "정보보호정책 및 정책시행문서의 제ㆍ개정시 그 내용을 관련 임직원에 공표하고 있는가?, 1.1.1.5 정보보호정책 및 정책시행문서를 관련 임직원에게 이해하기 쉬운 형태로 전달하고 최신본으로 제공하고 있는가?"에 대해서 구현현황, 중요도, 점수 및 만점점수에 대한 정보를 포함하고 있다. 이때, "만점점수"는 중요도와 상관없이 최하위 수준 통제항목들 각각의 구현현황이 "YES"인 경우의 점수를 나타내며, "점수"는 도 7에 도시된 통제항목 점수화 방법에 의해서 산출된 최하위 수준 통제항목의 수행점수를 나타낸다. Referring to FIG. 8, the control item score table is illustrated to include the five lowest level control items included in the control requirement, that is, the control item score table is defined in 1.1.1.1 information protection policy and policy enforcement document 1.1.1.2 Has the CEO been approved at the time of revising or revising the information protection policy? ", 1.1.1.3 Amendment or amendment of policy implementation documents such as guidelines and procedures (CISO, etc.)? ", 1.1.1.4" Is the information published in the revision or revision of the information protection policy and policy implementation document released to relevant employees? Do you provide protection policy and policy enforcement documents in an easy-to-understand format and provide them as up-to-date versions? "Includes information on implementation status, importance, score, and full marks. In this case, the "score score" indicates the score when the implementation status of each of the lowest level control items is "YES " irrespective of the importance, and" score "indicates the lowest score calculated by the control item score method Indicates the performance score of the control item.

상기 최하위 수준 통제항목들이 속하는 통제요건의 수행율은, 식 (최하위 수준 통제항목들의 점수의 합 ÷ 최하위 수준 통제항목들의 만점점수의 합) × 100을 이용하여 산출될 수 있다. 따라서, 도 8의 통제항목 점수 테이블에 포함된 최하위 수준 통제항목들을 포함한 통제요건의 수행율은 50(=(27.5 ÷ 55)×100)%이다. 이 통제요건의 수행율은 구현현황이 변화함에 따라 달라진다. The performance rate of the control requirement to which the lowest level control items belong can be calculated using the formula (sum of the scores of the lowest level control items / sum of the scores of the lowest level control items) × 100. Therefore, the execution rate of the control requirement including the lowest level control items included in the control item score table in FIG. 8 is 50 (= (27.5 ÷ 55) × 100)%. The implementation rate of this control requirement will change as the implementation status changes.

관리부(23)는 이렇게 산출된 통제요건들의 수행율을 막대 그래프(미도시) 또는 도 4에 도시된 방사형 차트(32) 형식으로 보안 관리자 단말기(1) 또는 업무 담당자 단말기(4)의 화면에 출력할 수 있다.The management unit 23 outputs the execution rate of the control requirements calculated in the form of a bar graph (not shown) or a radial chart 32 shown in FIG. 4 on the screen of the security manager terminal 1 or the worker terminal 4 can do.

이를 통해서 보안 관리자 또는 업무 담당자들은 정보보호관리체계의 통제요건들의 수행율을 한눈에 파악할 수 있게 된다. 이는 정보보호관리체계의 통제요건들의 수행 정도를 파악하는 적합성 검사에 관한 것이다.This enables the security administrator or the task person to grasp the performance rate of the control requirements of the information security management system at a glance. This concerns conformance testing to determine the degree of performance of the control requirements of the information protection management system.

이에 더하여, 관리부(23)는 상기 통제항목들 별 증적(evidence)을 통해서 해당 통제항목의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하고, 상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장한다. 이 정확성 평가 인터페이스는 보안 관리자에 의해서 수행될 수 있으며, 이에 따라 정확성 평가 인터페이스는 보안 관리자 단말기(1)의 화면에 출력될 수 있다. 이러한 정확성 평가 인터페이스에 대한 예시가 도 9에 도시되어 있다. 도 9에 도시된 정확성 평가 인터페이스를 통해서 통제요건들 중 정보보호정책에 대한 최하위 수준 통제항목들의 중요도, 구현현황, 증적수, 관련문서에 대한 정보가 출력되고 있으며, 최하위 수준 통제항목들의 정확성 평가를 위해서 통제항목 적용 여부, 운영내용, 평가에 대한 메뉴가 제공되고 있다. 보안 관리자가 정확성 평가를 위해서 정확성 평가 인터페이스 중 증적수를 선택해서 해당 통제항목과 관련된 증적들을 데이터베이스로부터 다운받을 수 있다. 이렇게 다운받은 증적들을 검토한 후 즉 보안 관리자는 정확성 평가 인터페이스에서 통제항목 적용여부, 운영내용, 평가 메뉴를 통해서 통제요건에 대한 최하위 수준 통제항목들에 대한 정확성 평가를 수행할 수 있게 되는 것이다. 이러한 정확성 평가를 통해서 내부 업무절차를 수정할 수 있고 외부 감사에 대한 대응을 준비할 수 있게 된다.In addition, the management unit 23 provides an accuracy evaluation interface for receiving an evaluation as to whether the control item has been correctly performed through the evidence for each of the control items, And stores the information in the database. This accuracy evaluation interface can be performed by the security manager, and accordingly, the accuracy evaluation interface can be output to the screen of the security manager terminal 1. [ An example of such an accuracy evaluation interface is shown in FIG. Through the accuracy evaluation interface shown in FIG. 9, information on the importance of the lowest level control items of the information security policy among the control requirements, the implementation status, the number of the marks, and the related documents are outputted and the accuracy evaluation of the lowest level control items In addition, menus are provided for the control items, operation details, and evaluation. The security administrator can select the number of the correctness evaluation interface for the accuracy evaluation and download the related vouchers from the database. After reviewing the traces downloaded, the security administrator can perform the accuracy evaluation of the lowest level control items on the control requirements through the application of the control items, operation contents, and the evaluation menu in the accuracy evaluation interface. Such an accuracy assessment can modify internal procedures and prepare for responses to external audits.

이러한 도 9에 도시된 정확성 평가 인터페이스가 보안 관리자 단말기(1)의 화면에 출력되기 전에, 통제요건 및 업무수행기간의 선택이 이루어져야 한다. 즉, 관리부(23)는 보안 관리자로부터 정확성 평가가 이뤄질 통제요건 및 업무수행기간을 선택받아 이를 데이터베이스에서 확인해서 이를 도 9에 도시된 바와 같은 정확성 평가 인터페이스에 출력한다.
Before the accuracy evaluation interface shown in FIG. 9 is output to the screen of the security manager terminal 1, the selection of the control requirement and the task execution period should be made. That is, the management unit 23 selects the control requirement and the task execution period to be subjected to the accuracy evaluation from the security manager and confirms it in the database and outputs it to the accuracy evaluation interface as shown in FIG.

도 10은 본 발명의 실시예에 따른 정보보호업무 지원방법에 대한 흐름도이다.10 is a flowchart illustrating a method of supporting an information security service according to an embodiment of the present invention.

도 10에 도시된 정보보호업무 지원방법은 도 1에 도시된 정보보호업무 지원시스템(2)에 의해서 수행될 수 있으나, 이에 한정되지 않음에 유의하여야 한다.The method for supporting the information security service shown in FIG. 10 can be performed by the information security service support system 2 shown in FIG. 1, but it is not limited thereto.

업무 지시부(21)가, 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 연결된 상태에서, 상기 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기(4)로 업무지시를 전송한다(S10).The business instruction unit 21 may control the items included in the business procedure for processing events requiring information protection and the control items of the information security management system necessary for performing the business procedure In the connected state, when the event occurs, a task instruction is transmitted to the terminal 4 of the task manager of each business item (S10).

이후 분류부(22)가, 업무 담당자의 단말기(4)로부터 수신되는 업무결과인 산출물들을 상기 통제항목들 별로 분류하여 이를 증적으로 데이터베이스에 저장한다(S20). Thereafter, the classification unit 22 classifies the outputs, which are the business results received from the terminal 4 of the task manager, by the control items, and stores them in the database as a trace (S20).

나아가 상기 정보보호업무 지원방법은, 관리부(23)가 상기 정보보호관리체계의 통제요건들 별 통제항목들의 수행점수를 이용하여 통제요건들의 수행율을 산출하는 과정을 더 수행할 수 있다. 이때, 통제요건들의 수행율은 상기 통제항목들 중 최하위 수준 통제항목들의 수행점수를 이용하여 산출될 수 있다. Further, the method for supporting the information security service may further include a step of the management unit 23 calculating the performance ratio of the control requirements using the performance score of the control items by the control requirements of the information security management system. At this time, the performance rate of the control requirements can be calculated using the performance score of the lowest level control items among the above control items.

상기 통제항목들의 수행점수는, 해당 통제항목이 통제항목 점수화 기준들을 만족하는지에 따라 달라지는 점수를 포함한 통제항목 점수화 테이블을 이용하여, 상기 해당 통제항목이 상기 통제항목 점수화 기준들을 만족하는지로 각기 파악될 수 있다. The performance score of the control items may be determined as to whether the corresponding control item meets the control item scoring criteria using a score item of the control item score including a score that varies depending on whether the control item satisfies the control item scoring criteria .

상기 통제항목들의 수행점수는, 해당 통제항목이 상기 통제항목 점수화 기준을 만족하는지로 파악되는 점수에다가 해당 통제항목에 설정된 중요도에 따른 가중치를 더 적용하여 산출될 수 있다. The performance score of the control items may be calculated by applying a weight according to the importance set in the control item to a score obtained by determining whether the control item meets the control item scoring criteria.

상기 통제항목 점수화 기준들은, 이때, 상기 통제항목 점수화 기준들은, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계의 통제요건들 별 통제항목들의 연결 여부를 나타내는 표준업무절차의 연결 여부,The control item scoring criteria may be such that the control item scoring criteria comprise at least one of the following: task items included in a business procedure for processing the event requiring the information protection and control requirements of the information protection management system required to perform the business procedure Whether or not standard business procedures indicating whether or not the individual control items are connected,

상기 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나가 해당 통제항목에 연결되었는지 여부를 나타내는 문서의 등록 여부 및Whether or not a document indicating whether at least one of the policy document, the guidebook, the procedure document and the form document for carrying out the control item is linked to the corresponding control item, and

상기 업무항목들 별 업무 담당자의 단말기로 업무지시가 완료되었는지 여부를 나타내는 시작된 모든 업무절차의 완료 여부" 중 적어도 하나를 포함할 수 있다. 그러나 이는 예시에 불과하며 이에 한정되지는 않음에 유의하여야 한다. Completion of all started business procedures indicating whether or not the business order has been completed to the terminal of the business person in charge by the business items ", but it should be noted that the present invention is not limited thereto .

상기 표준업무절차의 연결 여부를 판단하는 부분에서 상기 업무절차는 상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나 또는 처음부터 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 표준화된 업무절차일 수 있다.In the part for determining whether the standard business procedure is connected, the business procedure is a standardized business procedure modified or supplemented by the security manager that manages the information security management system after being created by the task person in charge of the business items, It may be a standardized business procedure by a security manager who manages the information security management system from the beginning.

상기 통제요건들의 수행율은, 해당 통제요건의 통제항목들의 수행점수가 만점일 때의 점수들과 해당 통제항목들의 수행점수들을 이용하여 산출될 수 있다.The performance rate of the above-mentioned control requirements can be calculated by using scores obtained when the performance score of the control items of the relevant control requirement is perfect score and performance scores of the corresponding control items.

상기 관리부(23)는, 상기 통제항목들의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하고, 상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장할 수 있다.
The management unit 23 may provide an accuracy evaluation interface for receiving an evaluation as to whether or not the performance of the control items has been correctly performed, and may store evaluation information inputted through the accuracy evaluation interface in the database.

이제까지 본 발명에 대하여 실시예들을 중심으로 살펴보았다. 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 따라서 본 발명의 범위는 전술한 실시예에 한정되지 않고 특허청구범위에 기재된 내용 및 그와 동등한 범위 내에 있는 다양한 실시 형태가 포함되도록 해석되어야 할 것이다. The present invention has been described above with reference to the embodiments. It will be understood by those skilled in the art that various changes in form and details may be made therein without departing from the spirit and scope of the invention as defined by the appended claims. Therefore, the disclosed embodiments should be considered in an illustrative rather than a restrictive sense. Therefore, the scope of the present invention is not limited to the above-described embodiments, but should be construed to include various embodiments within the scope of the claims and equivalents thereof.

Claims (22)

정보보호가 필요한 이벤트를 처리하기 위한 업무절차가 결정된 이후에, 상기 업무절차에 포함된 업무항목들 마다 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 적어도 하나 연결된 상태에서, 상기 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기로 업무지시를 전송하는 업무 지시부-상기 업무항목에 연결되는 하나의 통제항목 또는 2개 이상의 통제 항목들은 단일의 컴플라이언스(compliance) 또는 서로 다른 이종의 컴플라이언스에 속함-;
상기 업무 담당자의 단말기로부터 수신되는 업무결과인 산출물들을 상기 통제항목들 별로 분류하여 이를 증적으로 데이터베이스에 저장하는 분류부; 및
상기 통제요건의 최하위 수준 통제항목들 별 수행점수를 산출하고 상기 최하위 수준 통제항목들 별로 해당 최하위 수준 통제항목의 수행점수가 만점일 때의 점수와 상기 산출된 해당 최하위 수준 통제항목의 수행점수를 이용하여, 상기 통제요건의 수행율을 산출하고 상기 산출된 통제요건의 수행율을 막대 그래프 또는 방사형 차트 형식으로 출력하는 관리부를 포함하며,
상기 최하위 수준 통제항목의 수행점수는 최하위 수준 통제항목의 통제항목 점수화 기준들의 만족 여부에 따라 달라지는 점수를 포함한 통제항목 점수화 테이블 이용하여 상기 최하위 수준 통제항목이 상기 통제항목 점수화 기준들을 만족하는지로 파악되는 점수에다가 상기 최하위 수준 통제항목에 설정된 중요도에 따른 가중치를 적용하여 산출되며-상기 통제항목 점수화 테이블은 상기 통제항목 점수화 기준들과 최하위 수준 통제항목이 상기 통제항목 점수화 기준들의 만족 여부를 등급으로 나타내는 구현현황과 상기 구현현황에 상응하는 점수로 이루어짐-,
상기 통제항목 점수화 기준들은, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계의 통제요건들 별 통제항목들의 연결 여부를 나타내는 표준업무절차의 연결 여부, 상기 통제항목에 해당 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나가 연결되었는지 여부를 나타내는 문서의 등록 여부 및 상기 업무항목들 별 업무 담당자의 단말기로 업무지시가 완료되었는지 여부를 나타내는 시작된 모든 업무절차의 완료 여부 중 적어도 하나를 포함하는 것을 특징으로 하는 정보보호업무 지원시스템.After a business procedure for processing an event requiring information protection is determined, a control item for each of the business items included in the business procedure, which is necessary for performing the business procedure, A task instruction unit for transmitting a task instruction to a terminal of a task person in charge in the event of occurrence of the event in a state where at least one of the control items is connected to the task item, ) Or belong to different heterogeneous compliances;
A classifying unit for classifying the outputs as work results received from the terminal of the worker in accordance with the control items and storing the classified results in a database; And
The score of the lowest level control item of the control requirement is calculated and the score of the lowest score of the control item of the lowest level and the performance score of the calculated lowest level control item calculated are used And a management unit for calculating the execution rate of the control requirement and outputting the execution rate of the calculated control requirement in a bar graph or a radar chart format,
The execution score of the lowest level control item is determined as whether the lowest level control item satisfies the control item scoring criteria by using a control item scoring table including a score that varies depending on satisfaction of the control item scoring criteria of the lowest level control item And the weighted value according to the importance level set in the lowest level control item is applied to the score, and the control item scoring table shows the degree of satisfaction of the control item scoring criteria with the control item scoring criteria and the lowest level control item And the score corresponding to the implementation status -
The criteria for scoring the control item may include a standard that indicates whether or not the items of control included in the business procedure for processing the event requiring the information protection and the control items of the information protection management system necessary for performing the business procedure are linked Whether or not a document indicating whether or not at least one of a policy document, a guidebook, a procedure document and a form document for linking a control procedure item is linked to the control item, whether or not a document is registered, Whether or not the work order has been completed, and whether or not all of the started work procedures indicating completion of the work order have been completed. 청구항 1에 있어서,
상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차는,
상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나 또는 상기 업무항목들 별 업무 담당자에 의해서 생성되는 과정을 거치지 않고 처음부터 상기 보안 관리자에 의해서 표준화된 업무절차인 것임을 특징으로 하는 정보보호업무 지원시스템.The method according to claim 1,
The business process for processing the event requiring the information protection includes:
A standardized business procedure modified or supplemented by a security administrator who manages the information protection management system after being created by a task manager for each business item, Wherein the information processing system is a standardized business procedure by the security administrator. 청구항 1에 있어서,
상기 업무절차에 포함된 업무항목들 및 상기 통제항목들 간 연결은,
상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수행되는 것을 특징으로 하는 정보보호업무 지원시스템.The method according to claim 1,
The connection between the business items included in the business procedure and the control items,
Wherein the information security management system is performed by a security manager that manages the information security management system. 청구항 1에 있어서,
상기 업무항목들 별 업무 담당자의 단말기로의 업무지시 및 상기 업무결과인 산출물들의 수신은 그룹웨어(groupware)를 통해서 이루어지는 것을 특징으로 하는 정보보호업무 지원시스템.The method according to claim 1,
Wherein the task information of the task person in charge of the task items and the task information in the task information are received through groupware. 삭제delete 삭제delete 삭제delete 삭제delete 삭제delete 삭제delete 청구항 1에 있어서,
상기 관리부는,
상기 통제항목들의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하고, 상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장하는 것을 특징으로 하는 정보보호업무 지원시스템.The method according to claim 1,
Wherein,
Wherein the accuracy evaluation interface is provided to receive an evaluation of whether or not the performance of the control items has been accurately performed, and the evaluation information inputted through the accuracy evaluation interface is stored in the database. 정보보호가 필요한 이벤트를 처리하기 위한 업무절차가 결정된 이후에, 상기 업무절차에 포함된 업무항목들 마다 상기 업무절차의 수행에 필요한 정보보호 관리체계(Information Security Management System)의 통제요건들 별 통제항목들이 적어도 하나 연결된 상태에서, 상기 이벤트 발생시 상기 업무항목들 별 업무 담당자의 단말기로 업무지시를 전송하는 단계-상기 업무항목에 연결되는 하나의 통제항목 또는 2개 이상의 통제 항목들은 단일의 컴플라이언스(compliance) 또는 서로 다른 이종의 컴플라이언스에 속함-;
상기 업무 담당자의 단말기로부터 수신되는 업무결과인 산출물들을 상기 통제항목들 별로 분류하여 이를 증적으로 데이터베이스에 저장하는 단계; 및
상기 통제요건의 최하위 수준 통제항목들 별 수행점수를 산출하고 상기 최하위 수준 통제항목들 별로 해당 최하위 수준 통제항목의 수행점수가 만점일 때의 점수와 상기 산출된 해당 최하위 수준 통제항목의 수행점수를 이용하여, 상기 통제요건의 수행율을 산출하고 상기 산출된 통제요건의 수행율을 막대 그래프 또는 방사형 차트 형식으로 출력하는 단계를 포함하며,
상기 최하위 수준 통제항목의 수행점수는 최하위 수준 통제항목의 통제항목 점수화 기준들의 만족 여부에 따라 달라지는 점수를 포함한 통제항목 점수화 테이블 이용하여 상기 최하위 수준 통제항목이 상기 통제항목 점수화 기준들을 만족하는지로 파악되는 점수에다가 상기 최하위 수준 통제항목에 설정된 중요도에 따른 가중치를 적용하여 산출되며-상기 통제항목 점수화 테이블은 상기 통제항목 점수화 기준들과 최하위 수준 통제항목이 상기 통제항목 점수화 기준들의 만족 여부를 등급으로 나타내는 구현현황과 상기 구현현황에 상응하는 점수로 이루어짐-,
상기 통제항목 점수화 기준들은, 상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차에 포함된 업무항목들 및 상기 업무절차의 수행에 필요한 정보보호 관리체계의 통제요건들 별 통제항목들의 연결 여부를 나타내는 표준업무절차의 연결 여부, 상기 통제항목에 해당 통제항목의 수행을 위한 정책서, 지침서, 절차서 및 양식문서 중 적어도 하나가 연결되었는지 여부를 나타내는 문서의 등록 여부 및 상기 업무항목들 별 업무 담당자의 단말기로 업무지시가 완료되었는지 여부를 나타내는 시작된 모든 업무절차의 완료 여부 중 적어도 하나를 포함하는 것을 특징으로 하는 정보보호업무 지원방법.After a business procedure for processing an event requiring information protection is determined, a control item for each of the business items included in the business procedure, which is necessary for performing the business procedure, Sending a task indication to a terminal of a task manager for each of the task items when the event occurs, wherein one or more of the control items connected to the task item has a single compliance, Or belong to different heterogeneous compliance;
Categorizing artifacts as work results received from the terminal of the worker in accordance with the control items and storing them in a database as a trace; And
The score of the lowest level control item of the control requirement is calculated and the score of the lowest score of the control item of the lowest level and the performance score of the calculated lowest level control item calculated are used Calculating a performance ratio of the control requirement and outputting the performance ratio of the calculated control requirement in a bar graph or a radar chart format,
The execution score of the lowest level control item is determined as whether the lowest level control item satisfies the control item scoring criteria by using a control item scoring table including a score that varies depending on satisfaction of the control item scoring criteria of the lowest level control item And the weighted value according to the importance level set in the lowest level control item is applied to the score, and the control item scoring table shows the degree of satisfaction of the control item scoring criteria with the control item scoring criteria and the lowest level control item And the score corresponding to the implementation status -
The criteria for scoring the control item may include a standard that indicates whether or not the items of control included in the business procedure for processing the event requiring the information protection and the control items of the information protection management system necessary for performing the business procedure are linked Whether or not a document indicating whether or not at least one of a policy document, a guidebook, a procedure document and a form document for linking a control procedure item is linked to the control item, whether or not a document is registered, And whether or not all of the business procedures started indicating whether the business order has been completed are included. 청구항 12에 있어서,
상기 정보보호가 필요한 이벤트를 처리하기 위한 업무절차는,
상기 업무항목들 별 업무 담당자에 의해서 생성된 후 상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수정 또는 보완되어 표준화된 업무절차이거나 또는 상기 업무항목들 별 업무 담당자에 의해서 생성되는 과정을 거치지 않고 처음부터 상기 보안 관리자에 의해서 표준화된 업무절차인 것임을 특징으로 하는 정보보호업무 지원방법.The method of claim 12,
The business process for processing the event requiring the information protection includes:
A standardized business procedure modified or supplemented by a security administrator who manages the information protection management system after being created by a task manager for each business item, Wherein the security manager is a standardized business procedure from the security manager. 청구항 12에 있어서,
상기 업무절차에 포함된 업무항목들 및 상기 통제항목들 간 연결은,
상기 정보보호 관리체계를 관리하는 보안 관리자에 의해서 수행되는 것을 특징으로 하는 정보보호업무 지원방법.The method of claim 12,
The connection between the business items included in the business procedure and the control items,
Wherein the information security management system is performed by a security administrator who manages the information security management system. 청구항 12에 있어서,
상기 업무항목들 별 업무 담당자의 단말기로의 업무지시 및 상기 업무결과인 산출물들의 수신은 그룹웨어(groupware)를 통해서 이루어지는 것을 특징으로 하는 정보보호업무 지원방법.The method of claim 12,
Wherein instructions for a task to a terminal of a task manager for each of the task items and reception of outputs of the task result are performed through groupware. 삭제delete 삭제delete 삭제delete 삭제delete 삭제delete 삭제delete 청구항 12에 있어서,
상기 통제항목들의 수행이 정확하게 이루어졌는가를 평가를 입력받기 위한 정확성 평가 인터페이스를 제공하는 단계; 와
상기 정확성 평가 인터페이스를 통해서 입력된 평가정보를 상기 데이터베이스에 저장하는 단계를 더 포함하는 것을 특징으로 하는 정보보호업무 지원방법.The method of claim 12,
Providing an accuracy evaluation interface for receiving an evaluation of whether or not the performance of the control items has been correctly performed; Wow
And storing the evaluation information input through the accuracy evaluation interface in the database.
KR1020140098179A 2014-06-13 2014-07-31 System and method of supporting task of information security KR101505079B1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20140072376 2014-06-13
KR1020140072376 2014-06-13

Publications (1)

Publication Number Publication Date
KR101505079B1 true KR101505079B1 (en) 2015-03-24

Family

ID=53028320

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020140098179A KR101505079B1 (en) 2014-06-13 2014-07-31 System and method of supporting task of information security

Country Status (1)

Country Link
KR (1) KR101505079B1 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017138961A1 (en) * 2016-02-12 2017-08-17 Entit Software Llc Source entities of security indicators
WO2023074992A1 (en) * 2021-10-28 2023-05-04 (주)시큐리티캠프 Work item suggestion and compensation method

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090088580A (en) * 2008-02-15 2009-08-20 주식회사 포스코 Method for operating information security accomplishment indexes dependent on the introduction of information security management system
KR101259579B1 (en) * 2012-11-08 2013-04-30 (주)유와이즈원 System and method of opertating information security task

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090088580A (en) * 2008-02-15 2009-08-20 주식회사 포스코 Method for operating information security accomplishment indexes dependent on the introduction of information security management system
KR101259579B1 (en) * 2012-11-08 2013-04-30 (주)유와이즈원 System and method of opertating information security task

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017138961A1 (en) * 2016-02-12 2017-08-17 Entit Software Llc Source entities of security indicators
US11962609B2 (en) 2016-02-12 2024-04-16 Micro Focus Llc Source entities of security indicators
WO2023074992A1 (en) * 2021-10-28 2023-05-04 (주)시큐리티캠프 Work item suggestion and compensation method

Similar Documents

Publication Publication Date Title
US10339321B2 (en) Cybersecurity maturity forecasting tool/dashboard
US20150332184A1 (en) Application Risk and Control Assessment
US20090276257A1 (en) System and Method for Determining and Managing Risk Associated with a Business Relationship Between an Organization and a Third Party Supplier
US20080047018A1 (en) Security maturity assessment method
KR100755000B1 (en) Security risk management system and method
US20150142509A1 (en) Standardized Technology and Operations Risk Management (STORM)
Radziwill et al. Cybersecurity cost of quality: Managing the costs of cybersecurity risk management
Hoffmann et al. Evaluation of information safety as an element of improving the organization’s safety management
US20140304030A1 (en) Supply chain architecture
CN117769706A (en) Network risk management system and method for automatically detecting and analyzing network security in network
Dokuchaev et al. Analysis of Data Risk Management Methods for Personal Data Information Systems
WO2020054612A1 (en) Transaction audit system
Legowo et al. Risk management; risk assessment of information technology security system at bank using ISO 27001
KR101505079B1 (en) System and method of supporting task of information security
Power et al. Sharing and analyzing data to reduce insurance fraud
Lutui et al. The relevance of a good internal control system in a computerised accounting information system
US20130262192A1 (en) System and method for receiving quality issue log
CN112529512A (en) SaaS-based method and platform for improving safety inspection level of transport enterprise carrier
Taubenberger et al. IT Security Risk Analysis based on Business Process Models enhanced with Security Requirements.
KR20200142371A (en) System and method for recommending and matching duty free shop goods
US11558182B2 (en) Method and system to facilitate assessment, authorization, and monitoring of policy documents related to an organization
Fabisiak et al. COMPARATIVE ANALYSIS OF INFORMATION SECURITY ASSESSMENT AND MANAGEMENT METHODS.
Safonova et al. Methodology for creating, implementing and system effectiveness evaluation of the business processes' information security system
Najoan et al. Establish and Implement PAM and PRM ISO 20000-1: 2011
US11095658B2 (en) Enhanced system access controls

Legal Events

Date Code Title Description
AMND Amendment
AMND Amendment
X701 Decision to grant (after re-examination)
FPAY Annual fee payment

Payment date: 20190318

Year of fee payment: 5