KR20040062735A - 정보시스템 진단방법 - Google Patents

Abstract

본 발명은 정보시스템 진단방법에 관한 것으로서, 종래에 제시되었던 정보시스템의 개발, 운영, 유지보수 및 사용에 따른 위험에 대비하기 위한 대비책들은 시스템의 국지적인 부분에 대한 보안방법으로서, 정보시스템의 규모가 방대하고 사용자 및 정보의 활용영역이 고도화된 시스템에 대해서는 시스템 전체를 보호할 수 있는 대책안을 안출할 수 없다는 문제점이 있다.

따라서, 본 발명은 정보시스템을 구성하는 요소들을 체계적으로 분석하여 정보시스템의 총괄적인 현황을 진단함으로써, 정보시스템의 효율성 및 안전성의 보장을 위한 전반적인 개선방안을 안출할 수 있도록 하는 정보시스템 진단방법을 제공한다.

Description

정보시스템 진단방법{CONSULTING METHOD OF INFORMATION SYSTEM}

본 발명은 정보시스템 진단방법에 관한 것으로서, 특히 정보시스템을 구성하는 요소들을 체계적으로 분석하여 정보시스템의 총괄적인 현황을 진단함으로써, 정보시스템의 효율성 및 안전성의 보장을 위한 전반적인 개선방안을 안출할 수 있도록 하는 정보시스템 진단방법에 관한 것이다.

최근의 네트워크 및 통신 인프라를 기반으로 사회 각 부문의 정보화가 급속히 진행되고 있다. 이에 따라, 공공부문은 물론 민간 기업들도 정보기술을 활용하여 업무를 재설계하거나 전략정보를 관리하는 등, 조직을 유지 및 관리해 나가기 위한 정보시스템을 구축하고 있으며, 정보시스템의 구축과 운영이 조직의 성패에 지대한 영향을 미칠만큼 그 중요성이 증대되고 있다.

정보시스템의 중요성이 증대됨에 따라, 정보시스템의 개발, 운영, 유지보수 및 사용에 따른 위험에 대비하기 위한 다양한 방법들이 제시되고 있다. 정보시스템에 내재하는 위험요인으로는 데이터, 응용시스템, 하드웨어 파손, 해커칩입 등으로 인한 직접적인 손실과, 생산된 정보의 오류와 누출 등으로 인한 추가적 피해와 함께, 정보시스템에 대한 투자대비 성과 측면도 포함시킬 수 있다.

정보시스템의 보안을 위해서는 해킹방지를 위해 방화벽을 구축하거나, 사용자 인증을 강화하는 등의 소프트웨어적인 보안방법을 강구할 수 있으며, 무인경비시스템을 설치하는 등의 물리적인 보안방법을 강구할 수도 있다.

그러나, 정보시스템의 규모가 방대해지고, 사용자 및 정보의 활용영역이 다양화되는 등, 시스템 자체가 다원화됨에 따라, 어느 한 부분에 대한 국지적인 보안방법으로 시스템 전체를 보호하는 것은 사실상 불가능하다.

본 발명은 전술한 문제점을 해결하기 위해 안출된 것으로서, 정보시스템을 구성하는 요소들을 체계적으로 분석하여 정보시스템의 총괄적인 현황을 진단함으로써, 정보시스템의 효율성 및 안전성의 보장을 위한 전반적인 개선방안을 안출할 수 있도록 하는 정보시스템 진단방법을 제공함에 그 목적이 있다.

도 1은, 본 발명에 따른 정보시스템 진단방법의 흐름도,

도 2는, 도 1의 정보시스템 현황 분석방법의 흐름도,

도 3은, 도 2의 정보시스템 현황분석에 참조되는 자료 구성도,

도 4는, 도 1의 취약점 분석방법의 흐름도,

도 5는, 도 1의 위험평가 및 보호대책 안출방법의 흐름도,

도 6은, 본 발명의 정보시스템 진단방법에 따라 안출되는 보호대책자료의 구성도이다.

*** 도면의 주요 부분에 대한 부호의 설명 ***

1 : 조직인적구성 3 : 물리적시스템구성

5 : 조직업무구성 7 : 논리적시스템구성

9 : 보안정책 12 : 관리적부문대책

14 : 물리적부문대책 16 : 기술적부문대책

전술한 목적을 달성하기 위한 본 발명에 따른 정보시스템 진단방법은, 조직의 운용 및 유지를 위한 정보시스템의 각 구성요소에 대한 현황자료를 수집하는 단계와; 상기 수집된 현황자료에 기초하여 현재 정보시스템의 보안상태를 각 구성요소별로 판단하는 단계와; 상기 정보시스템의 구성요소별 취약점을 분석하는 단계와; 수집된 상기 정보시스템의 현황자료 및 취약성에 기초하여 상기 정보시스템의 위험요소를 분석하는 단계와; 식별된 상기 정보시스템의 각 구성요소에 해당되는 위험요소에 대한 위험수준을 감소시키기 위한 보호대책을 안출하는 단계를 포함하여 이루어진다.

여기서, 상기 각 구성요소에 대한 현황자료를 수집하는 단계는, 업무현황분석에 필요한 항목들을 도출하여 이에 필요한 자료를 요청하는 단계와; 상기 수집된자료에 기초하여 조직의 전반적인 업무현항을 파악하는 단계와; 조직의 정보보호현황 수준을 실제로 파악하기 위한 면담 및 설문을 진행하는 단계와; 파악된 상기 업무현황과, 상기 면담 및 설문조사자료에 기초하여, 정보데이터의 현재 보안수준을 평가하는 단계와; 파악된 상기 업무현황과, 상기 면담 및 설문조사자료에 기초하여, 상기 조직이 필요로 하는 보안요구사항인 보안요구명세서를 작성하는 단계를 포함하는 것이 가장 바람직하다.

그리고, 상기 업무현황분석에 필요한 항목은, 정보시스템의 조직인적구성과, 조직업무구성과, 물리적시스템구성과, 논리적시스템구성과, 조직의 보안정책 중 적어도 어느 하나를 포함하는 것이 가능하다.

한편, 구성요소별 취약점을 분석하는 단계는, 상기 정보시스템의 운용에 관련된 정보데이터를 식별하고 분류하는 자산분류단계와; 상기 각 자산에 대한 중요도를 평가하는 단계와; 상기 각 자산에 피해를 가할 수 있는 잠재적인 위협을 식별하고 상기 위협의 정도를 평가하는 단계와; 상기 각 자산의 속성과 중요도를 바탕으로 상기 자산이 근본적으로 가지고있는 약점인 취약성을 발굴하고 상기 취약성의 정도를 평가하는 단계를 포함하는 것이 가장 바람직하다.

그리고, 상기 정보시스템의 위험요소를 분석하는 단계는, 상기 자산의 위험도산정기준을 설정하는 단계와; 상기 자산의 중요도, 위협정도, 취약성, 위험도에 따라 소정의 점수를 배정하는 산정매트릭스를 작성하는 단계와; 상기 산정매트릭스에 기초하여 상기 자산의 가치, 위협의 발생 가능성, 취약도를 상호 매핑하여 위험도를 산정하는 단계와; 상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 상호 부합되는지 여부를 판단하는 단계와; 상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 부합되지 아니하는 경우, 상기 산정매트릭스를 보정하여 상기 위험도를 재산정하는 단계를 포함하는 것이 바람직하다.

또한, 상기 보호대책을 안출하는 단계는, 조직에 관련된 통제분야에 대한 위험과 취약성을 설명하고 이를 해결하기 위한 관리적부문대책을 안출하는 단계와; 상기 보안시스템의 물리적구성에 대한 위협을 감소시키는 물리적부문대책을 안출하는 단계와; 상기 보안시스템의 논리적시스템을 개선하기 위한 기술적부문대책을 안출하는 단계를 포함하는 것이 가능하다.

이하에서는 첨부한 도면을 참조하여 본 발명의 바람직한 실시예에 따른 정보시스템 진단방법에 대해서 상세하게 설명한다.

도 1은 본 발명에 따른 정보시스템 진단방법을 개략적으로 나타낸 흐름도이다.

정보시스템을 진단하기 위해서는 먼저, 정보시스템의 현황자료를 수집하여 현재 정보시스템의 보안상태를 판단해야 한다(S1). 여기서, 정보시스템의 현황을 분석하기 위해서는 현재 정보시스템을 구성하는 인적, 물적 자원과 정보의 생성 및 흐름의 메카니즘, 조직운영정책 등 정보시스템의 운용과 관련된 전반적인 자료들이 검토되어야 한다. 이러한 과정을 통해, 조직의 전반적인 업무현황을 확인할 수 있으며 현재의 정보보호 수준 및 정보보호 요구사항을 파악할 수 있다.

정보시스템의 현황 및 보안상태가 판단되면, 분석된 자료에 기초하여 현재시스템의 취약점을 판단한다(S3). 취약점의 분석은 정보시스템 구성요소의 속성과 중요도를 바탕으로 각 구성요소가 가지고 있는 취약성을 발굴하고 세부 구성요소가 가지고 있는 취약성이 시스템 전체에 미치는 영향을 분석하는 것이다.

시스템의 현황 및 취약성 등 현재 시스템의 각 세부사항에 대한 분석이 완료되면, 분석된 자료에 기초하여 각 구성요소 또는 프로세서 상에서 발생될 수 있는 위험요소를 다각적으로 평가한다.(S5).

정보시스템의 위험성이 발견되면, 해당 구성요소에 대한 위험수준을 허용가능 범위 내로 감소시키기 위한 비용 및 효과를 고려하여 보호대책을 안출한다.(S7).

이와 같이 본 발명은 정보시스템을 구성하는 각종 구성요소가 가지고 있는 위험들을 체계적으로 분석하여, 정보시스템의 효율성 및 안전성의 보장을 위한 전반적인 개선방안을 안출함으로써, 실제 위험이 발생하였을 때의 손실을 최소화 할 수 있다. 이러한 정보시스템 진단방법을 도 2내지 도 5를 참조하여 상세히 설명한다.

도 2는 도 1의 S1단계인 정보시스템 현황 분석방법을 상세히 나타낸 흐름도이고, 도 3은 정보시스템 현황분석에 참조되는 자료의 구성도이다.

정보시스템의 현황을 분석하기 위해서는 먼저, 업무현황분석에 필요한 항목들을 도출하여 이에 필요한 자료를 요청한다(S10). 이때, 요청되는 자료는 도 3과 같은 항목들을 포함하는 것이 바람직하다. 도면에 도시된 바와 같이, 정보시스템은 조직인적구성(1)과, 조직업무구성(5)과, 물리적시스템구성(3)과, 논리적시스템구성(7)과, 조직의 보안정책(9)을 고려하여 분석한다.

조직인적구성(1)은 조직을 구성하는 각종 위원회, 협의기관 등의 구성을 나타낸다. 따라서, 이를 통해, 정보시스템의 정보를 사용하는 부서들의 현황과 부서 간의 상호관계를 파악할 수 있다.

조직업무구성(5)은 정보시스템의 정보변경 및 상호 연동현황의 확인을 위한 부서 간의 업무흐름을 나타내며, 업무별 연관성 등을 포함하는 간단한 설명자료를 더 포함하고 있다. 따라서, 조직업무구성(5)을 통해, 조직 내에서 생성, 삭제, 변경되는 정보의 변환과정을 파악할 수 있다.

물리적시스템구성(3)은 조직 전체의 물리적 네트워크 구성도로서, 네트워크 장비현황, 네트워크 구성현황 등을 나타낸다. 이를 통해, 조직전체의 네트워크 연결상태를 확인하여 네트워크의 구조적인 취약점을 분석할 수 있다.

논리적시스템구성(7)은 시스템자원(운영체계(O/S), 데이터베이스 등), 업무처리를 위한 시스템의 논리적 구성현황 및 시스템 간의 정보흐름을 나타낸다. 이를 통해, 시스템의 논리적인 취약점과 데이터의 상호 연동현황을 분석할 수 있다.

보안정책(9)은 조직에서 현재 사용중인 보안정책과 그에 관련된 보안지침을 나타낸다. 따라서, 이를 통해 관리적 보안현황 및 보안규정을 파악하여, 현재 사용 중인 보안정책(9)이 조직의 특성과 부합되는지 여부를 판단할 수 있다.

이상의 자료들은 조직을 운용하는 정보시스템의 운용자에게 요청할 수 있으며, 수집된 자료를 검토하여 조직의 전반적인 업무현항을 파악한다(S12).

여기서, 업무현황에 대한 정확한 이해를 위해 업무담당자와 면담을 하는 것이 바람직하다. 담당자와의 면담결과 및 S10단계에서 수령된 업무설명자료를 참조하여, 조직의 업무 및 시스템 운영과정에서 정보보호가 필요한 대상 또는 현안 문제에 대한 분석을 통해 업무현황을 파악한다.

정보시스템에 대한 운영환경을 파악하기 위해서는 논리적시스템구성(7) 및 물리적시스템구성(3)을 분석한다. 이를 통해 시스템의 기종, 특성 및 시스템에서 운영되는 응용프로그램 등에 대한 취약점들이 파악될 수 있으므로 이러한 시스템구성 현황을 상세히 조사하는 것이 중요하다.

논리적시스템구성(7) 및 물리적시스템구성(3)의 분석 시, 특히 분석되어야 할 사항으로는, 하드웨어구성, 소프트웨어 및 데이터베이스의 배치, 응용프로그램의 배치, 외부망과의 인터페이스, 타 시스템과의 연관성 등을 들 수 있다.

물리적시스템구성(3)에 대해서는 네트워크 장비명, 모델명, 해당 장비의 개수, 장비가 보관되어 있는 장소, 해당 장비의 IP어드레스, 사용용도 등을 확인하여야 한다. 이러한 물리적시스템구성(3)이 보관되어 있는 장소는 데이터를 보호하는 1차적 보호관문일 뿐 아니라, 물리적시스템구성(3) 자체에 보안문제가 발생할 경우 시스템적으로 치명적인 문제가 발생할 수 있다. 따라서, 물리적시스템구성(3)이 보관되는 물리적환경구성 또한 명확히 파악되어야 한다. 참작되어야 할 물리적환경구성으로는 물리적공간명(예: 전산실, 기계실 등), 위치(주소), 관리부서, 사용 인가자, 출입통제방법, 관리시스템 등이 있다.

또한, 업무현황에 대한 분석 시에는 조직의 자산을 분석하여야 한다. 자산조사는 조직의 운영 및 경영에 영향을 미치는 정보데이터를 조사하는 것으로서, 자산범위 설정을 통해 파악된 조직의 규모와 운영목적 및 환경을 고려하여, 자산범위에서 정의된 기준에 따라 가능한 모든 정보데이터를 분류하여야 한다.

조직의 자산은 정보/데이터, 문서 및 서류, 하드웨어, 소프트웨어로 분류될 수 있다. 정보/데이터는 조직정보, 자금정보 등 조직과 관련된 정보자산이고, 문서 및 서류는 업무의 운영과 관련된 문서이며, 하드웨어 및 소프트웨어는 조직의 업무와 서비스를 제공하기 위한 구성들이다. 이와 같이 자산을 분류할 시에는, 자산항목별 분류 및 자산범위에 따른 선별과정이 필요하며, 업무처리와, 조직에 대한 사항들을 고려해야 한다.

그리고, 업무현황에 대한 분석 시, 조직의 업무에 대한 총괄적인 이해를 위해, 조직/업무/시스템 검증을 위한 매트릭스를 작성해 보는 것이 바람직하다. 검증매트릭스는 조직과 업무, 업무와 시스템, 시스템과 조직의 연관성을 매트릭스로 작성한 것으로서, 상호 간의 관계를 점검하는데 사용될 수 있다.

이상과 같이, 객관적으로 제공되는 자료를 통한 조직의 업무현황에 대한 분석이 완료되면, 조직의 정보보호현황 수준을 실제로 파악하기 위한 면담 및 설문을 진행한다(S14).

경영자, 관리자와의 면담을 통해 보안정책, 표준, 지침 등의 관리적 정보보호현황을 파악하고, 경영자, 관리자 관점에서 조직에서 요구되는 보안요구사항을 조사할 수 있다. 또한, 실무 담당자와의 면담을 통해, 실제 적용되고 있는 시스템, 응용시스템, 네트워크, PC, 관리적/물리적 정보현황을 조사할 수 있다. 그리고, 전 조직구성원에 대한 설문을 통해 조직구성원들의 정보보호인식 수준을 조사하여 인식수준을 평가할 수 있다.

이상의 과정(S12, S14)을 통해 수집된 각종 정보에 기초하여, 정보데이터의 현재 보안수준을 평가한다(S16).

보안수준평가는 관리적부문, 물리적부문, 네트워크부문, 시스템부문, 응용시스템부문, 데이터베이스부문, PC 및 기타 단말기부문 등으로 분류하여 평가하는 것이 바람직하다. 각 부문별로 분류된 항목에 대해서는 각 각 시스템 상에서의 중요도를 설정하는 한편, 해당 분류항목에 대한 보안수준현황을 평가한다. 즉, 각 분류항목에 대해 해당 항목의 중요도와 함께 현재의 보안수준을 확인할 수 있도록 하는 것이 바람직하다. 각 분류항목의 중요도에 따른 보안수준에 기초하여 각 보안수준을 소정의 점수로 평가하는 것도 가능하며, 각 평가점수 등에 기초하여 현행 정보시스템의 보안 취약점을 확인할 수 있다.

한편, S12단계 및 S14단계를 통해 수집된 각종 정보에 기초하여, 조직이 필요로 하는 보안요구사항인 보안요구명세서를 작성한다(S18).

보안요구명세서는 경영자, 관리자, 담당자, 일반 직원과의 면담 및 설문내용과, 법적규정, 내부규정, 또는 다른 조직과의 계약 등으로 인한 정보보호 요구사항, 조직운영 지원을 위한 정보처리체계 원칙을 만족시키기 위한 정보보효요구사항 등이 고려될 수 있다. 이러한 보안요구명세서는 제도나 정책적인 관리적 관점과, 물리적관점, 네트워크, 응용시스템 등의 기술적 관점 등, 보안가능한 다양한 관점에서 작성될 수 있다.

이상과 같이, 조직 자체의 물적/인적자원과 유형/무형의 조직구성요소에 대한 데이터를 수집하고 이를 분석하여, 현재 정보시스템의 보안수준을 평가하고, 보안요구명세서를 작성함으로써, 시스템현황분석은 완료된다(S20).

시스템의 현황이 파악되면, 현재 시스템의 취약점을 분석해야 한다. 도 1의 S3단계에 해당되는 취약점의 분석과정을 도 4를 참조하여 상세히 설명한다.

시스템의 취약점을 분석하기 위해서는 먼저 시스템 자산을 분류하여야 한다(S30).

자산분류는 조직의 운용에 중요한 영향을 미치는 다양한 정보데이터를 식별하고 분류하는 작업으로서, 조직의 자산은 정보/데이터, 문서 및 서류, 하드웨어, 소프트웨어로 분류될 수 있다. 정보/데이터는 조직정보, 자금정보 등 조직과 관련된 정보자산이고, 문서 및 서류는 업무의 운영과 관련된 문서이며, 하드웨어 및 소프트웨어는 조직의 업무와 서비스를 제공하기 위한 구성들이다.

자산분류가 완료되면 각 자산에 대한 중요도를 평가한다(S32).

자산평가는 위험이 발생할 경우의 손실을 측정하기 위해 대상자산의 가치를 정량 또는 정성적인 방법으로 평가하는 과정이다. 자산의 가치는 자산의 특성에 따라 정량적인 수치 산정이 가능한 것도 있으나, 수치 산정이 용이하지 아니할 경우 정성적 기준을 사용할 수 있다.

정량적인 수치 산정방법은 자산의 도입비용, 복구비용, 교체비용 등에 기초하여 그 가치를 산정하는 방법이다.

반면, 정성적인 자산평가 방법은 각 자산의 기밀성, 무결성, 가용성을 기준으로 산정된다. 기밀성은 정보의 공개가 금지되어 정보를 인가받은 사람만이 접근할 수 있는 있는 보안요구 사항을 뜻하며, 무결성은 비인가자에 의한 정보의 생성, 변경, 삭제를 보호하여 정보의 정확성과 완결성이 보장되어야 한다는 요구사항이다. 가용성은 정당한 방법으로 권한이 주어진 사용자에 대한 사용권한을 거부하여서는 안 된다는 요구사항이다.

분류된 각 자산에 대해, 이러한 정성적인 기준으로 자산을 평가하고, 담당자와 협의하여 각 자산의 중요성을 확정하도록 한다.

조직의 자산에 대한 평가가 완료되면, 자산에 피해를 가할 수 있는 잠재적인 위협을 식별하는 한편(S34), 자산의 속성과 중요도를 바탕으로 자산이 근본적으로 가지고있는 약점인 취약성을 발굴해 낸다(S38).

위협을 식별할 시에는, 가능한 위협의 종류를 조사하는 하고, 각 위협에 따른 영향과, 위험발생주기를 조사한다. 각종 위협과 관련된 자료들이 수집되면, 위협의 발생가능성 및 위협의 영향과 함께 위협의 발생빈도에 근거하여 위협평가 기준을 설정한다. 따라서, 위협에 의한 손실이 크더라도, 발생가능성 내지는 발생빈도가 높은 경우 위협이 높은 것으로 평가되고, 발생가능성 내지는 발생빈도가 희박한 경우 상대적으로 위협이 낮은 것으로 평가되도록 전체적인 측면을 고려하여 위협평가기준을 책정한다.

평가된 위협기준에 따라, 조사된 시스템에 대한 각종 위협의 정도를 평가한다(S36).

한편, 자산의 취약성은 자동화도구를 이용하여 시스템을 점검하거나, 체크리스트 또는 로그분석을 통해 점검할 수도 있으며, 모의 해킹 등의 방법을 이용하는것도 가능하다. 또한, 취약성은 S16단계에서 분석되었던 보안수준평가자료를 토대로 분석하는 것도 가능하다.

이러한 방법으로 발굴된 각 자산의 근본적인 취약성들은 정책, 조직, 인사 등의 관리사항과, 건물 시설 등의 물리적 시설과, 네트워크, 시스템, 데이터베이스 등의 기술적 사항으로 분류할 수 있다. 관리사항, 물리적 시설, 기술적 사항으로 식별된 취약성에 대해서는 각 항목에 대한 내용을 구체적인 취약성들을 조사한다. 예를 들어, 관리사항 내지는 물리적 시설에 대해서는 사업단위의 정보보호정책, 표준, 지침, 절차 등과 관련된 문서를 검토하여 세부내용을 확인할 수 있으며, 물리적 시설의 경우 전산보호 장비보호, 사무실보호, 보호구역 등에 대한 보안현황을 점검한다. 시스템진단은 자동화점검도구를 사용하거나 전문가에 의한 수동점검 등으로 시스템 상의 취약성들을 식별해 낼 수 있다.

식별된 취약성들에 대해서는 각 취약성에 따라 발생할 수 있는 피해규모, 복구 가능성 등을 고려하여 각 취약성의 영향을 평가한다(S40). 예를 들어, 취약한 부분에 대해 손실을 입을 경우, 자산의 복구가 불가능하거나 피해규모가 매우 클 것으로 예상되는 사항은 매우 취약한 것으로 평가하며, 최고경영자나 상급관리자의 정말검색 및 승인을 필요로 하는 위협을 발생시킬 수 있으며, 자산의 복구는 가능하나 피해규모가 클 것으로 예상되는 사항에 대해서는 비교적 취약한 것으로 평가할 수 있다.

이상의 과정을 거쳐 취약점의 분석 및 평가가 완료되면 위험을 평가해야 한다. 도 1의 S5단계 및 S7단계에 해당하는 위험평가 및 보안대책 안출방법에 대해,도 5를 참조하여 상세히 설명한다.

위험평가는 도 4에 도시된 방법에 따라 수행된 자산분석, 위협분석, 취약성분석을 통해 수집된 데이터와 분석결과를 바탕으로 위험을 측정하고 평가하는 것이다.

먼저, 자산의 중요도, 위협정도, 취약성 정도에 기초하여 자산의 위험도의 수위가 어느 정도인지 대한 위험도를 산정한다(S50). 위험도를 산정하는 경우, 수집된 자료에 기초하여 자산의 가치, 위협의 발생 가능성, 취약도를 상호 매핑함으로써 위험도의 수위를 산정할 수 있다. 즉, 단순한 산술적인 합으로 위험도를 산정하는 것은 바람직하지 아니하며, 자산, 위협, 취약성 상호간의 작용을 고려하여 산정되어야 한다.

위험도를 산정하는 경우 각 자산에 대해 위협 및 취약성에 따라 소정의 점수를 배정하는 산정매트릭스를 작성하고, 산정매트릭스를 이용하여 수치적인 위험도를 산정할 수 있다. 산정매트릭스를 통해 평가된 위험도는 위험도 산정기준과 다시 비교하여 위험도 평가치가 위험도 산정기준과 부합되는지 여부를 확인한다. 산정매트릭스를 통한 평가결과와 위험도 산정기준이 부합되지 아니하는 경우, 산정매트릭스를 보정함으로써, 위험도 산정의 정확성을 기할 수 있다.

위험도 산정작업이 완료되면, 작성된 산정매트릭스와, 자산평가, 위협평가, 취약성평가 자료에 기초하여, 각 자산에 대한 위험을 평가한다(S52).

위험평가 시에는 각 업무와 관련된 자산의 위험수준을 용이하게 파악하기 위해, 각 업무별 자산분류기준에 따라 자산을 그룹화하여 평가하는 것이 바람직하다.또한, 각 자산의 자산가치 판단기준을 명시하여 업무수행 시 중요하게 요구되는 자산의 기능이 무엇인지 파악할 수 있도록 한다. 여기서, 자간가치, 위협수준, 취약성 수준 등은 도 4의 취약성 분석과정에 따라 수집된 자료를 사용할 수 있으며, 위험평가 시 사용되는 산정매트릭스는 위험도산정 기준과의 부합성에 따라 수시로 보정하여 정확한 위험도 평가가 이루어질 수 있도록 한다. 자산의 위험도 평가 시에는, 평가자산에 대한 위험도의 실질적인 의미와 위험으로 인한 업무수행 상의 손실 등에 대한 평가의견을 기재하여, 담당자의 이해를 돕는 것이 바람직하다.

각 자산에 대한 위험이 평가되면, 위험수준을 허용가능 범위 내로 감소시키기 위한 비용 및 효과를 고려하여 위험에 대한 보호대책을 안출한다(S54).

위험에 대한 보호대책으로는, 위험을 감소하기 위한 대책, 위험을 회피하기 위한 대책, 보험 등에 가입하여 위험을 제3자에게 이전시키는 방법, 위험에 따른 손실을 감수하는 방법 등이 있다. 이러한 보호대책은 비용대비 효율성을 향상시킬 수 있는 방향으로 안출되어야 한다. 또한, 보호대책은 대책마련을 위한 시간적 제약, 재정적 제약, 기술적 제약, 사회적 제약, 법적 제약 등을 고려하여 현실적으로 부합되는 보호대책을 선택하여야 한다.

또한, 보호대책 선정 시에는 보호대책이 자산을 현존하는 위협으로부터 보호한다는 점과, 보호대책으로 인해 취약성이 감소되긴 하지만 무결한 보호대책은 있을 수 없다는 점과, 보호대책은 위협발생으로 인한 피해를 감소시키고 위협의 주기 또한 감소시킬 수 있다는 점을 고려한다.

이상 설명한 바와 같은 본 발명의 정보시스템 진단방법에 따라 안출되는 보호대책안은 도 6에 도시된 바와 같이 구성될 수 있다. 보호대책은 크게, 관리적부문대책(12)과, 물리적부문대책(14), 기술적부문대책(16)으로 분류된다.

관리적부문대책(12)은 정보보호관리체계 인증 통제항목을 기준으로 하여, 조직에 관련된 통제분야에 대한 위험과 취약성을 설명하고 이를 해결하기 위한 보안정책, 표준, 지침 등을 제시하는 것이다.

물리적부문대책(14)은 보호구역, 전산실보안, 장비보안, 사무실보안 등의 항목에 따라, 전력, 습도, 소방시설, 수해방지, 창문설비 등의 설비 운영상황에 관련한 보호대책을 권고한다. 또한, 지문, 로그인 등의 보안통제수단 및 보안절차에 관련된 문제점과, 문서의 보관 또는 노출에 대한 보호대책 수단 등을 권고할 수 있다.

기술적부문 대책은 각 자산을 특성에 따라 네트워크, 서버, 응용시스템, PC로 구분하고 수집된 취약성 및 위협과 함께, 그에 대한 보호대책을 권고한다.

이러한 보호대책에 따라, 네트워크 구조개선을 위한 설계안을 제시하거나, 각종 보안도구를 이용한 방어체제를 수립하는 등의 구체적인 보안개선 모델을 제시함으로써, 현재 정보시스템의 구조를 개선할 수 있도록 한다.

이상, 본 발명의 정보시스템 진단방법은 상술한 실시예에 한정되지 아니하고, 본 발명과 관련하여 통상의 지식을 가진 자에게 자명한 범위 내에서 다양하게 변형하여 실시할 수 있다.

이상에서 설명한 바와 같은 본 발명의 정보시스템 진단방법에 따르면, 정보시스템을 구성하는 요소들을 체계적으로 분석하여 정보시스템의 총괄적인 현황을 진단함으로써, 정보시스템의 효율성 및 안전성의 보장을 위한 전반적인 개선방안을 안출할 수 있다.

Claims (6)

1. 조직의 운용 및 유지를 위한 정보시스템의 각 구성요소에 대한 현황자료를 수집하는 단계와;

   상기 수집된 현황자료에 기초하여 현재 정보시스템의 보안상태를 각 구성요소별로 판단하는 단계와;

   상기 정보시스템의 구성요소별 취약점을 분석하는 단계와;

   수집된 상기 정보시스템의 현황자료 및 취약성에 기초하여 상기 정보시스템의 위험요소를 분석하는 단계와;

   식별된 상기 정보시스템의 각 구성요소에 해당되는 위험요소에 대한 위험수준을 감소시키기 위한 보호대책을 안출하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법.
2. 제 1 항에 있어서, 상기 각 구성요소에 대한 현황자료를 수집하는 단계는,

   업무현황분석에 필요한 항목들을 도출하여 이에 필요한 자료를 요청하는 단계와;

   상기 수집된 자료에 기초하여 조직의 전반적인 업무현항을 파악하는 단계와;

   조직의 정보보호현황 수준을 실제로 파악하기 위한 면담 및 설문을 진행하는 단계와;

   상기 업무현황과 상기 면담 및 설문조사자료에 기초하여, 정보데이터의 현재 보안수준을 평가하는 단계와;

   상기 업무현황과, 상기 면담 및 설문조사자료에 기초하여, 상기 조직이 필요로 하는 보안요구사항인 보안요구명세서를 작성하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법.
3. 제 2 항에 있어서, 상기 업무현황분석에 필요한 항목은,

   정보시스템의 조직인적구성과, 조직업무구성과, 물리적시스템구성과, 논리적시스템구성과, 조직의 보안정책 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 정보시스템 진단방법.
4. 제 1 항에 있어서, 구성요소별 취약점을 분석하는 단계는,

   상기 정보시스템의 운용에 관련된 정보데이터를 식별하고 분류하는 자산분류단계와;

   상기 각 자산에 대한 중요도를 평가하는 단계와;

   상기 각 자산에 피해를 가할 수 있는 잠재적인 위협을 식별하고 상기 위협의 정도를 평가하는 단계와;

   상기 각 자산의 속성과 중요도를 바탕으로 상기 자산이 근본적으로 가지고있는 약점인 취약성을 발굴하고 상기 취약성의 정도를 평가하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법.
5. 제 4 항에 있어서, 상기 정보시스템의 위험요소를 분석하는 단계는,

   상기 자산의 위험도산정기준을 설정하는 단계와;

   상기 자산의 중요도, 위협정도, 취약성, 위험도에 따라 소정의 점수를 배정하는 산정매트릭스를 작성하는 단계와;

   상기 산정매트릭스에 기초하여 상기 자산의 가치, 위협의 발생 가능성, 취약도를 상호 매핑하여 위험도를 산정하는 단계와;

   상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 상호 부합되는지 여부를 판단하는 단계와;

   상기 상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 부합되지 아니하는 경우, 상기 산정매트릭스를 보정하여 상기 위험도를 재산정하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법.
6. 제 1 항에 있어서, 상기 보호대책을 안출하는 단계는,

   조직에 관련된 통제분야에 대한 위험과 취약성을 설명하고 이를 해결하기 위한 관리적부문대책을 안출하는 단계와;

   상기 보안시스템의 물리적구성에 대한 위협을 감소시키는 물리적부문대책을 안출하는 단계와;

   상기 보안시스템의 논리적시스템을 개선하기 위한 기술적부문대책을 안출하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법.