KR20040011863A - 실시간 정보보안 위험관리 시스템 및 그 방법 - Google Patents

실시간 정보보안 위험관리 시스템 및 그 방법 Download PDF

Info

Publication number
KR20040011863A
KR20040011863A KR1020020045126A KR20020045126A KR20040011863A KR 20040011863 A KR20040011863 A KR 20040011863A KR 1020020045126 A KR1020020045126 A KR 1020020045126A KR 20020045126 A KR20020045126 A KR 20020045126A KR 20040011863 A KR20040011863 A KR 20040011863A
Authority
KR
South Korea
Prior art keywords
security
risk management
information security
management
real
Prior art date
Application number
KR1020020045126A
Other languages
English (en)
Inventor
이경호
Original Assignee
컨설팅하우스 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 컨설팅하우스 주식회사 filed Critical 컨설팅하우스 주식회사
Priority to KR1020020045126A priority Critical patent/KR20040011863A/ko
Publication of KR20040011863A publication Critical patent/KR20040011863A/ko

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0635—Risk analysis of enterprise or organisation activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Human Resources & Organizations (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Strategic Management (AREA)
  • Economics (AREA)
  • Tourism & Hospitality (AREA)
  • Theoretical Computer Science (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Marketing (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Development Economics (AREA)
  • Educational Administration (AREA)
  • Game Theory and Decision Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 실시간 정보보안 위험관리 시스템 및 그 방법에 관한 것으로서, 기업 및 조직의 정보보안 위험을 효과적으고 지속적으로 관리하기 위한 시스템과 그 방법을 제공하는 것이다. 정보자산은 내부적인 위험, 외부로부터의 위험, 물리적인 위험, 논리적인 위험, 인적 위험을 포함한 수없이 많은 위험 요소를 갖고 있으며, 이와 같은 위험에 대해 적절한 대응책 마련이 요구되며, 새로운 위험 발생 시 즉각적인 대응책 수립 및 조치사항 수행 등의 실시간 위험 관리가 요구된다. 본 발명에 의한 실시간 정보보안 위험관리 시스템은 여러 외부 기관과의 인터페이스와 다양한 보안 시스템과의 로그 활용을 통하여 통합 보안 관리를 제공한다. 또한 정보보안 위험관리 시스템 사용자는 관리 수준이나 관리 특성 별로 분류되어 지표화된 수치를 통해 기업이나 조직의 분야별 보안 위험 지수를 산출 할 수 있으며, 정책관리, 보안조직, 인적보안, 물리적 보안, 개발관리, 운영관리, 접근통제, 사업연속성관리, 준거성 관리와 같은 분야별 위험 지수를 산출 및 관리할 수 있다. 즉, 본 발명에 의한 정보보안 위험관리 시스템은 개별적인 정보자산의 보안 위험 관리부터 분야별 위험관리, 조직 전체의 위험관리를 사용자에게 제공하여, 최고 경영층은 보안 관련 의사결정을 지원 받을 수 있으며, 보안관리자 및 부서 관리자는 보안 업무의 진행상황 및 진척도를 실시간으로 파악하여 정보보안 위험 관리를 수행할 수 있다.

Description

실시간 정보보안 위험관리 시스템 및 그 방법{Real Time Information Security Risk Management System and Method}
본 발명은 실시간 정보보안 위험관리 시스템 및 그 방법에 관한 것으로서, 기업 및 조직의 정보자산에 영향을 미치는 다양한 위험에 대하여 사용자에게 편리하고, 효과적인 통합 정보보안 위험관리를 제공하는 실시간 정보보안 위험관리 시스템과 그 방법에 관한 것이다.
기존 정보자산에 대한 위험관리는 소수의 자동화된 위험분석 시스템을 사용하여 산출된 위험에 대하여 수작업으로, 일회성의 위험관리를 실시하였다. 이로 인하여 지속적이고 효과적인 정보보안 위험관리는 불가능하였다. 또한 실시간으로 발생하는 새로운 위험에 대하여 즉각적인 대응책을 마련하고, 관리할 수 있는 시스템은 없었다.
인터넷의 폭발적인 발전과 새로운 해킹 기법 및 바이러스의 출현, 내부자에 의한 보안 위험, 물리적인 보안 위험 등은 계속하여 증가하고 있다. 종래에 수작업으로 실시되던 위험관리는 더 이상 효과적일 수 없으며, 시스템적으로 자동화되고 실시간으로 운영되는 위험관리 시스템을 요구하게 되었다.
본 발명은 상기와 같은 종래의 수작업으로 부분적 수행되었던 정보보안 위험 관리에 대하여 실시간으로 자동화된 정보보안 위험관리 시스템을 제공하여 기업 및 조직의 정보보안 위험관리를 효율화하고, 정보자산에 대한 다양한 위험에 대해 효과적인 후보 대응책을 제시하여 사용자가 정보보안 위험에 대처할 수 있도록 한다. 또한 최고경영층, 부서관리자, 보안관리자, 현업 실무자들에게 적합한 관리 수준 및 관리 특성을 고려한 정보보안 지표와 인터페이스를 제공하여 위험관리 시스템을 사용하는 사용자에게 편의성을 제공한다.
본 발명은 또한, 종래의 방화벽(Firewall), 침입탐지시스템(Intrusion Detection), 침입방지시스템(IPS), 바이러스 백신(Anti-Virus)과 같은 다양한 보안시스템과의 로그 활용을 통한 연동을 제공하여 통합 보안 관리를 수행 할 수 있다. 또한 정보보안과 관련된 외부 기관과 연계한 실시간 보안관리를 제공한다. 즉, 보안 사고 및 각종 보안 관련 정보를 침해사고대응팀(CERT), 국가정보원 정보보안119, 경찰청 사이버수사대와 같은 외부 기관과 공유할 수 있는 인터페이스를 제공한다.
도 1은 본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법의 개략도를 나타낸 것이다. 도 1에 나타난 것과 같이 실시간 정보보안 위험관리 시스템은 위험관리 데이터베이스, 위험관리 컴포넌트, 리포팅 컴포넌트로 구성되어 있다.
본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법은 웹 기반의 정보보안 위험관리 시스템으로서, 사용자는 웹 브라우저를 통해 손쉽게 위험관리 시스템을 사용할 수 있는 것을 특징으로 한다.
본 발명에 의한 실시간 정보보안 위험관리 시스템은 도 1에 나타난 것과 같이 위험관리 데이터베이스, 위험관리 컴포넌트, 리포팅 컴포넌트로 구성되어 있다.
본 발명에 의한 실시간 정보보안 위험관리 시스템에서 위험관리 데이터베이스에는 다양한 유형의 정보보안 위험에 대한 후보 대응책 목록, 후보 대응책의 소요 비용, 정보보안 특성인 기밀성, 무결성, 가용성 측면에서 후보 대응책의 특성 등이 정의되어 있다. 또한 정보보안 위험에 대한 후보 대응책과 위험관리 컴포넌트들인 정책관리, 보안조직, 자산관리, 인적보안, 물리적 보안, 개발관리, 접근통제, 사업연속성관리, 준거성 관리의 매핑 테이블이 정의되어 있다. 기업 및 조직의 정보보안 위험 발생 시, 위험관리 시스템은 실시간으로 위험관리 데이터베이스와 연동하여 후보 대응책을 제시함으로서 위험을 감소시키고 기업 및 조직의 보안성을 확보한다. 또한 본 발명은 위험분석 시스템과의 연동을 통하여 위험분석의 결과로 산출된 위험에 대한 위험관리를 지속적으로 실시할 수 있도록 한다.
본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법에서 위험관리 시스템은 영역별 위험관리를 수행하는 위험관리 컴포넌트들을 포함하고 있는 것을 특징으로 한다. 위험관리 컴포넌트는 정책관리, 보안조직, 자산관리, 인적보안, 물리적 보안, 개발관리, 운영관리, 접근통제, 사업연속성관리, 준거성 관리를 포함하여 구성되어 있다. 도 1에 나타난 것과 같이 위험관리 컴포넌트들은 위험관리 시스템의 위험분석 데이터베이스와의 인터페이스를 통해 영역별 보안 관리를 수행한다.
첫 번째로 정책관리 컴포넌트는 기업 및 조직의 정보보안을 위한 정책 및 관리 방향의 적정성에 대한 평가를 제공하는 컴포넌트이다. 기업 및 조직의 전사적인 보안정책은 수립되어 있어야 하고, 이러한 정책은 최고 경영층에 의해 승인되어야 하며, 모든 임직원에게 공표되어야 한다. 또한 정책관리 컴포넌트는 기 설정된 기업 및 조직의 보안정책이 다양한 요구사항을 수용하고 있는지 평가한다. 즉, 법적, 계약적 요구사항, 보안 교육의 실시, 바이러스 정책, 업무연속성계획, 비상사고대응책과 같은 보안 정책이 설정되어 있는지 평가한다. 또한 기 설정되어 있는 보안정책은 주기적으로 현실에 부합하게 재검토 및 갱신되고 있는지 정책관리 컴포넌트는 평가하게 된다.
두 번째 보안조직 컴포넌트는 기업 및 조직 내의 정보보안을 효과적으로 구현하고, 통제할 수 있는 정보보안위원회의 유무를 평가한다. 또한 정보보안위원회가 기 구성되어 있다면 정보보안위원회의 역할에 대한 평가가 이루어진다. 정보보안위원회에서 정보보안 정책이 수립 및 승인되고 있는지, 정보보안위원회에서 보안사고 검토가 이루어지고 있는지, 기업내 임직원에게 정보보안 임무가 배정되고 있는지, 모든 정보자산에 대하여 소유자를 지정하고 있는지와 같은 평가가 이루어진다. 또한 외부업체와의 계약 시 보안서약서를 비롯한 보안 요구사항이 계약에 포함되는지, 조직간 정보보안 업무의 협조가 이루어지고 있는지가 평가된다.
세 번째 자산 관리 컴포넌트는 기업 및 조직의 자산을 보호하고 적절한 보안 체계가 유지되고 있는지 평가하는 위험분석 컴포넌트이다. 기업의 모든 자산에 대한 목록은 누락없이 정확히 유지 및 관리되어야 한다. 데이터베이스와 데이터파일, 시스템문서, 사업복구시스템(BRS) 문서와 같은 정보자산, 어플리케이션 소프트웨어, 시스템 소프트웨어, 유틸리티 등과 같은 소프트웨어 자산, 컴퓨터 장비, 통신 장비와 같은 물리적 자산, 컴퓨터와 통신 서비스, 전기 서비스과 같은 서비스 자산 이 자산 목록에 모두 포함되어 있는지 평가된다. 또한 정보의 중요도에 따른 평가가 올바르게 되어 있는지의 정보 분류 여부, 정보의 라벨링 여부, 정보 취급 절차의 정의가 되어 있는지 평가된다.
네 번째 인적보안 컴포넌트는 기업 및 조직 임직원의 실수, 절도, 사기, 설비의 오용에 의한 위험을 평가하는 위험분석 컴포넌트이다. 기업 임직원의 직무 책임에 보안 업무가 명시되어 있는지, 직원 채용 및 승진 등의 신분 변경 시 신원 조회 및 보안서약서 갱신은 이루어지는지가 평가된다. 또한 임직원의 정보보안 교육 및 훈련은 이루어지는지 여부, 보안 사고 발생에 따른 임직원의 사고대응절차는 수립되어 있는지가 위험분석의 인적보안 컴포넌트에서 평가된다.
다섯 번째 물리적 보안 컴포넌트는 기업 및 조직의 정보처리시설 및 정보에 대한 무단 접근에 의한 손실 위험과 장비 손실 및 손상에 의한 사업활동 장애 위험을 평가한다. 중요 정보자산이 위치한 물리적 구역의 보안 설비 및 접근 통제가 이루어지는지 평가된다. 또한 정보시스템을 포함한 다양한 장비가 안전한 장소에 위치하는지, 정보시스템의 전원공급은 안정적으로 이루어지고 있는지, 장비의 파기에 관한 절차는 수립되어 있는지가 물리적 보안 컴포넌트에 의하여 평가된다.
여섯 번째 운영관리 컴포넌트는 정보처리시설의 정확하고 안전한 운영을 훼손시키는 위험에 대한 평가가 이루어진다. 위험분석의 운영관리 컴포넌트에서는 정보처리시설의 운영절차는 문서화되어 있는지, 정보처리시설의 운영에 대한 직무 분리가 이루어지고 있는지가 평가된다. 또한 새로운 정보시스템을 도입하고자 할 경우 시스템의 용량계획과 같은 시스템 도입 절차는 수립되어 있는지, 정보자산을 바이러스와 같은 악의적인 소프트웨어로부터 보호하기 위한 통제 절차가 수립되어 있는지가 평가된다. 또한 기업의 정보처리와 통신 서비스의 무결성과 가용성 확보를 위하여 주기적인 정보 백업 및 각종 로그의 저장이 이루어지는 지와 정보처리시설 운영과 관련된 모든 정책을 평가한다. 또한 운영관리 컴포넌트는 전자상거래에 관련된 보안 위험, 전자메일과 관련된 보안 위험, 전자 오피스 시스템과 관련된 보안 위험을 모두 평가한다.
일곱 번째 접근통제 컴포넌트는 정보에 대한 접근이 정책과 절차에 의해 올바르게 이루어지고 있는지를 평가하는 위험관리 컴포넌트이다. 정보시스템을 비롯한 모든 정보자산에 대한 접근통제 정책은 수립되어 있어야 한다. 위험관리 시스템의 접근통제 컴포넌트는 정보시스템, 다양한 시스템 어플리케이션 및 네트워크에 임직원이 접근 통제를 수행할 수 있는 접근 통제 정책과 규정이 수립되어 있는지 평가하며, 임직원의 ID와 암호(Password)는 접근 통제 정책에 의해 올바르게 정의되어 사용되고 있는지, 네트워크를 통한 서비스 사용 시 사용자 인증과 안전한 경로가 사용되고 있는지, 중요한 네트워크의 분리가 이루어지고 있는지가 평가된다. 또한 정보시스템이나 네트워크에 인가받지 않은 접근이나 활동을 감시하기 위해 시스템 사용 모니터링 및 접근 로그 기록은 이루어지며, 저장된 모니터링 기록과 접근 로그는 주기적으로 검토되는지가 평가된다. 또한 기업에서 모바일 컴퓨팅의 사용 시 적절한 보안 정책, 표준, 절차가 수립되어 있는지 평가한다.
여덟 번째 개발관리 컴포넌트는 정보시스템 내에 보안 기능이 포함되도록 보안 요구사항 분석을 실시하고 명세화 되어 있는지, 응용시스템 상에서 데이터 입력의 정확성 검증, 내부 프로세스의 정확성 검증, 출력 데이터의 정확성 검증을 위한 절차가 수립되어 있는지, 정보의 기밀성, 인증성 및 무결성을 보호하기 위하여 암호화에 대한 정책과 통제 절차가 마련되어 있는지가 평가된다. 기업의 암호화 정책에는 인증키, 디지털 서명, 부인방지서비스, 키 관리 정책들이 수립되어 있어야 한다. 또한 새로운 시스템 개발 시 개발 데이터와 운영 데이터는 분리되어 있는지, 프로그램 소스 라이브러리에 대한 접근이 엄격하게 통제 되는지도 평가된다. 또한 시스템 개발 시에는 변경 통제에 대한 정책이 수립되어 있어야 하며, 소스 코드 내에 위장 채널이나 트로이 코드와 같은 악의적인 코드가 삽입되어 있지 않은지 확인하는 절차가 수립되어 있는지 평가한다.
아홉 번째 사업연속성관리 컴포넌트에서는 기업 활동 전반에 걸쳐 사업활동 중단을 방지하고 화재, 홍수, 지진과 같은 재해에 의한 대형 사고로부터 비즈니스 프로세스를 보호하기 위한 정책과 관리 절차가 수립되어 있는지 평가한다. 사업연속관리 컴포넌트는 재해, 정보보안 실패의 결과, 기타 서비스 중단 사유에 대한 영향력 측정이 실시되고 있는지도 평가한다. 또한 상기의 사업연속성관리 컴포넌트는 재해복구계획, 사업연속성계획이 문서화되어 관리되며, 주기적으로 테스트 및 유지보수가 이루어지는지 평가한다.
열 번째 준거성 관리 컴포넌트는 기업이나 조직이 법적, 규제적, 형사/민사상의 책무, 계약상의 채무, 보안상의 요구사항 등에 대한 불이행이나 위반에 의한 위험과 기업의 정보시스템이 보안정책과 표준에 따르는지 평가하는 컴포넌트이다. 따라서 상기의 준거성 관리 컴포넌트는 각각의 정보시스템에 관련된 법률, 규정, 계약상의 필요조건이 명백히 정의 및 문서화되어 있는지 평가하며, 지적 재산권 보호를 위한 정책과 절차는 규정되어 있는지, 정보시스템이 보안 정책과 절차를 준수하여 운영되고 있는지 평가된다.
본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법에서, 상기한 위험관리 컴포넌트들은 기업 및 조직 정보보안의 모든 영역을 포함하여 정보시스템 뿐만 아니라 인적 자원, 문서 등과 같은 모든 정보자산에 대한 위험관리를 수행할 수 있도록 한다. 또한 상기의 위험관리 컴포넌트들은 기업 및 조직의 업무 상황 및 조건에 따라 새로운 컴포넌트의 추가, 변경, 삭제를 수행하여 각각의 기업환경에 맞는 효과적인 위험관리를 할 수 있다.
본 발명에 의한 실시간 정보보안 위험관리 시스템을 사용하는 기업 및 조직의 사용자는 관리 수준 및 관리 특성을 고려한 사용자 인터페이스를 제공받을 수 있다.
첫째, 관리 수준을 고려한 인터페이스에서 기업 및 조직의 최고 경영층은 조직 전체의 보안 위험에 대한 보안 위험관리 인덱스(Index)를 통해 지표화된 정보보안 위험 지수를 파악하여 보안관련 의사결정을 지원받는다. 또한 기업 및 조직의 부서관리자는 정보보안 관련 업무의 수행 내역과 진척도에 관련된 인덱스(Index)를 제공받을 수 있으며, 보안 관리자는 기업이나 조직의 위험현황과 통제 효과에 대한 수치화된 인덱스(Index)를 제공받을 수 있으며, 일반 임직원은 정보보안과 관련된 정보, 보안 정책, 조직 전체의 보안 관련 업무 프로세스 포탈 기능을 제공받을 수 있다. 이와 같이 위험관리 시스템은 기업 및 조직의 관리 수준을 고려한 인터페이스를 제공하여 사용자의 수준에 맞게 지표화된 각종 인덱스를 통해 관리의 편의성을 최대화한다.
둘째, 관리 특성을 고려한 인터페이스에서 위험관리 시스템을 사용하는 사용자는 기업 및 조직에 실시간으로 반영되는 정보보안 위험 현황 Map을 제공받을 수 있으며, 보안 시스템 및 보안 프로세스의 최적화를 위한 보안 통제 구성관리 및 조정 기능을 수행할 수 있다. 또한 보안 정책과 보안통제의 연동에 기반한 통합 변경관리를 수행할 수 있다.
본 발명에 의한 실시간 정보보안 위험관리 시스템에서 사용자는 기업 및 조직의 보안 절차, 보안 시스템과 같은 보안 통제의 적용에 대한 시뮬레이션 기능을 통하여, 실제 보안 절차나 보안 시스템이 구현되어 실행되었을 경우 기업 및 조직에 미치는 보안 통제 효과를 파악할 수 있다.
본 발명에 의한 위험관리 시스템은 보안 사고 발생 시 사용자에게 SMS, 전자메일과 같은 수단을 통하여 보안 사고 발생을 통보하여 신속한 대응책을 수행할 수 있도록 하는 것을 특징으로 한다. 또한 과거 보안 사고 이력을 관리하여 유사 보안 사고 발생 시 효과적인 대응책을 제시하며, 보안 사고 발생에 대한 대응 절차 제시를 포함하는 것을 특징으로 한다.
본 발명에 의한 실시간 정보보안 위험관리 시스템은 방화벽(Firewall), 침입탐지시스템(Intrusion Detection System), 바이러스 백신(Anti-virus), 침입방지시스템(Intrusion Prevention System), 취약성 분석 시스템과 같은 다양한 정보보안 시스템의 로그를 활용한 연동으로 통합 보안관리를 수행하는 것을 특징으로 한다. 본 발명에 의한 위험분석 시스템은 각각의 보안 시스템에서 생성된 로그를 수집 및 분석하여 사용자에게 정보보안 시스템들의 편리한 통합 관리 인터페이스를 제공하는 것을 특징으로 한다.
본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법은 정보보안과 관련된 외부 기관과의 인터페이스 수립으로 새로운 정보보안 관련 정보의 교류를 실시간으로 수행할 수 있는 것을 특징으로 한다. 즉, 침해사고대응팀(CERT), 경찰청 사이버수사대, 국가정보원 정보보안119와의 연계를 통해 정보보안과 관련된 새로운 위협, 취약성, 위험 정보를 교류할 수 있으며, 바이러스 및 해킹 관련 자료, 보안 사고 피해 정보와 같은 유용한 정보를 실시간으로 수집할 수 있는 인터페이스를 제공한다.
본 발명은 실시간 정보보안 위험관리 시스템 및 그 방법에 관한 것으로서, 기업 및 조직의 정보자산에 대한 위험을 실시간으로 관리하여 후보 대응책을 제시한다. 즉, 기업의 정보자산에 대한 새로운 위험의 발생 시, 위험관리 시스템은 실시간으로 위험을 감소시킬 수 있는 대응책을 제시하여 사용자가 효과적으로 대처할 수 있도록 한다. 또한 본 발명에 의한 위험관리 시스템을 사용하는 사용자에게 관리 수준 및 관리 특성을 고려하여 웹기반의 지표화된 인덱스 및 인터페이스를 제공하여 정보자산의 위험관리를 손쉽게 수행할 수 있도록 한다. 또한 정보자산 위험에 대한 수치화된 관리를 통하여 위험관리의 신뢰성을 강화하며, 위험에 대한 보안 통제 및 보안시스템 적용 효과를 시뮬레이션 하여 해당 위험에 대한 보안 통제 및 보안 시스템 적용으로 인한 보안 위험의 감소 및 변경된 결과를 미리 파악할 수 있다.
본 발명에 의한 실시간 정보보안 위험관리 시스템은 다양한 정보보안 시스템과 로그 활용을 적용한 통합 위험관리를 수행하여 기업 및 조직의 종합적인 정보자산 위험관리를 수행할 수 있다.

Claims (5)

  1. 본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법에 있어서, 기업 및 조직의 다양한 유형의 위험에 대한 후보 대응책 목록, 후보 대응책의 소요 비용, 정보보안 특성인 기밀성, 무결성, 가용성 측면에서 후보 대응책의 특성이 정의되어 있는 위험관리 데이터베이스를 포함하고;
    상기의 위험관리 데이터베이스와 실시간 연동을 통한 영역별 위험관리를 수행하는 정책관리, 보안조직, 자산관리, 인적보안, 물리적 보안, 개발관리, 운영관리, 접근통제, 사업연속성관리, 준거성관리와 같은 위험관리 컴포넌트를 포함하고;
    관리 수준 및 특성을 고려한 인터페이스와 다양한 통계 리포트를 실시간으로 제공하는 리포팅 컴포넌트를 포함하는 것을 특징으로 하는 실시간 정보보안 위험관리 시스템.
  2. 제 1 항에 있어서,
    리포팅 컴포넌트는;
    사용자 인터페이스와 다양한 통계 리포트를 제공하는 데 있어서 웹 기반의 웹 브라우저를 통하여 최고경영층, 보안관리자 및 일반임직원과 같은 다양한 수준의 사용자가 사용할 수 있도록 한 것을 특징으로 하는 실시간 정보보안 위험관리 시스템.
  3. 제 1 항에 있어서,
    위험관리 컴포넌트는;
    외부의 정보보안 관련 기관과 실시간 인터페이스를 통해 정보보안 관련 정보의 수집 및 보안 사고 대응 조치를 수행하는 기능을 포함하는 것을 특징으로 하는 실시간 정보보안 위험관리 시스템.
  4. 제 1 항에 있어서,
    위험관리 데이터베이스와 위험관리 컴포넌트는;
    방화벽, 침입탐지시스템, 침입방지시스템, 바이러스 백신, 취약성 분석 시스템과 같은 타 보안 시스템의 로그를 활용한 연동을 통하여 통합 보안 관리를 제공하는 실시간 정보보안 위험관리 시스템.
  5. 본 발명에 의한 실시간 정보보안 위험관리 시스템 및 그 방법에 있어서, 상기한 위험관리 시스템은 정보보안 위험에 대하여 적용한 보안 통제 적용 효과를 미리 파악할 수 있는 시뮬레이션 기능을 포함하는 것을 특징으로 하는 실시간 정보보안 위험관리 시스템.
KR1020020045126A 2002-07-31 2002-07-31 실시간 정보보안 위험관리 시스템 및 그 방법 KR20040011863A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020020045126A KR20040011863A (ko) 2002-07-31 2002-07-31 실시간 정보보안 위험관리 시스템 및 그 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020020045126A KR20040011863A (ko) 2002-07-31 2002-07-31 실시간 정보보안 위험관리 시스템 및 그 방법

Publications (1)

Publication Number Publication Date
KR20040011863A true KR20040011863A (ko) 2004-02-11

Family

ID=37319901

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020020045126A KR20040011863A (ko) 2002-07-31 2002-07-31 실시간 정보보안 위험관리 시스템 및 그 방법

Country Status (1)

Country Link
KR (1) KR20040011863A (ko)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100752677B1 (ko) * 2006-04-19 2007-08-29 ㈜ 메타리스크 정보기술 위험관리시스템 및 그 방법
KR100902116B1 (ko) * 2006-11-23 2009-06-09 한국전자통신연구원 정보 자산 식별 및 평가 방법
KR101011456B1 (ko) * 2008-06-30 2011-02-01 주식회사 이너버스 정보유출감사 방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템
WO2013052377A2 (en) * 2011-09-29 2013-04-11 Unisys Corporation Secure integrated cyberspace security and situational awareness system
KR101596456B1 (ko) * 2015-03-25 2016-03-08 주식회사 이앤유 보안 관리 시스템 및 방법
KR20160126589A (ko) 2015-04-24 2016-11-02 선문대학교 산학협력단 사이버 보안 라이프 사이클에 기반한 사이버 보안 장치 및 방법, 그 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록매체
KR102546068B1 (ko) 2022-01-27 2023-06-21 (주)기원테크 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100752677B1 (ko) * 2006-04-19 2007-08-29 ㈜ 메타리스크 정보기술 위험관리시스템 및 그 방법
KR100902116B1 (ko) * 2006-11-23 2009-06-09 한국전자통신연구원 정보 자산 식별 및 평가 방법
KR101011456B1 (ko) * 2008-06-30 2011-02-01 주식회사 이너버스 정보유출감사 방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템
WO2013052377A2 (en) * 2011-09-29 2013-04-11 Unisys Corporation Secure integrated cyberspace security and situational awareness system
WO2013052377A3 (en) * 2011-09-29 2013-06-20 Unisys Corporation Secure integrated cyberspace security and situational awareness system
KR101596456B1 (ko) * 2015-03-25 2016-03-08 주식회사 이앤유 보안 관리 시스템 및 방법
KR20160126589A (ko) 2015-04-24 2016-11-02 선문대학교 산학협력단 사이버 보안 라이프 사이클에 기반한 사이버 보안 장치 및 방법, 그 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록매체
KR102546068B1 (ko) 2022-01-27 2023-06-21 (주)기원테크 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법
WO2023145995A1 (ko) * 2022-01-27 2023-08-03 (주)기원테크 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법

Similar Documents

Publication Publication Date Title
Ross et al. Protecting controlled unclassified information in nonfederal systems and organizations
Nieles et al. An introduction to information security
Yeng et al. Observational measures for effective profiling of healthcare staffs' security practices
Ross et al. Protecting controlled unclassified information in nonfederal information systems and organizations
Fathurohman et al. Analysis and design of information security management system based on ISO 27001: 2013 using Annex Control (Case Study: District of Government of Bandung City)
Turk et al. Cybersecurity assessment of BIM/CDE design environment using cyber assessment framework
Authority Cyber security framework
KR20040011863A (ko) 실시간 정보보안 위험관리 시스템 및 그 방법
Doughty Implementing enterprise security: a case study
Nosova et al. Information Security System in Provision of the Economic Security and Risk Management of the Enterprise.
Paz Cybersecurity Standards and Frameworks
Ismail Assessing information security management in Malaysian academic libraries
Niemann Enterprise architecture management and its role in IT governance and IT investment planning
Georgiou et al. A security policy for cloud providers
Udayakumar Design and Deploy a Respond Solution
Weippl et al. Implementing IT Security for Small and Medium Sized Enterprises
Osaji Cybersecurity Framework Report
Rabello et al. Proposed Incident Response Methodology for Data Leakage
Hughes et al. Organization, Documentation, and Coordination: Responding Successfully to a Cyber Attack
Βλαχάκης GDPR, from theory to practice. Development of a minimum basic data protection system for public and private sector entities
Chitre et al. A Review: Insider Attack in New Normal
Gandini Development of Incident Response Playbooks and Runbooks for Amazon Web Services Ransomware Scenarios
Udayakumar Design and Deploy a Detect Solution
Rawal et al. Effective Cybersecurity
Fowler IT Strategy Policy

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E601 Decision to refuse application
E601 Decision to refuse application