KR20070061009A

KR20070061009A - 보안 위험 관리 시스템 및 방법

Info

Publication number: KR20070061009A
Application number: KR1020060030200A
Authority: KR
Inventors: 김인중; 정윤정; 이남훈; 고재영
Original assignee: 한국전자통신연구원
Priority date: 2005-12-08
Filing date: 2006-04-03
Publication date: 2007-06-13
Also published as: KR100755000B1

Abstract

본 발명은 보안 위험 관리 시스템 및 방법에 관한 것으로서, 위험 관리 평가 프로세스 단계내에 정성적 위험도 산정 후 피해 영향 및 수준을 산정하는 부분을 포함시키고 보호대책이 수립 되었을 때와 안 되었을 때, 혹은 서로 상이한 보호대책을 선정하였을 때를 비교하여 최적의 위험 감소 결과를 보이는 최적의 솔루션을 선택할 수 있도록 한다. 이러한 일련의 프로세스가 프로젝트 관리 절차에 따라 진행되고 각 프로세스마다 역할이 주어져서 하나의 도구로써 개발되고 이 도구를 사용하게 되는 경우 기존에 수기식에 의한 방법보다 평가 기간을 단축시키면서 기존의 위험 관리 결과를 자동화할 수 있게 되는 것이다. 또한, 본 발명에서는 여러 평가자들에 의해 수행되는 위험분석시 평가자들 간의 온라인으로 정보를 검색하고 타 평가자의 의견을 사전에 검토하여 혼자 잘못된 평가를 내리는 것을 최소화할 수 있도록 시스템화한다. 이를 위해, 본 발명에서는 상위 위험분석 모델 하위 위험분석 모델, 피해 산정 모델, 위험 관리 엔진서버, 설문 서버, 위험도 산정 알고리즘, 피해 산정 알고리즘, 그리고 각 데이터베이스 목록에 대한 데이터베이스 스키마가 포함된다.

정보 보안 위험 관리, 자산분석, 위협분석, 취약성분석, 위험도 계산, 피해산정

Description

보안 위험 관리 시스템 및 방법{SECURITY RISK MANAGEMENT SYSTEM AND METHOD}

도 1은 본 발명의 일실시예에 의한 보안 위험 관리 시스템 구성도,

도 2는 본 발명의 일실시예에 의한 피해 산정 그래프,

도 3은 본 발명의 일실시예에 의한 정보통신 기반시설에 대한 전체 자산 정보를 나타낸 표,

도 4는 본 발명의 일실시예에 의한 보안 위험분석 다이아그램,

도 5는 본 발명의 일실시예에 의한 위험 관리 프로세서의 프로세스 화면,

도 6은 본 발명의 일실시예에 의한 보안 위험 관리 시스템의 설문 서버 화면,

도 7a 내지 도 7c는 본 발명의 일실시예에 의한 데이터, 어플리케이션, 서버의 중요도 분석을 위한 맵,

도 8은 본 발명의 일실시예에 의한 서버, 어플리케이션, 데이터의 연결 구성을 파악하기 위한 맵,

도 9a 내지 도 9d는 본 발명의 일실시예에 의한 매핑된 데이터, 어플리케이션, 서버의 중요도 분석을 위한 맵,

도 10은 본 발명의 일실시예에 의한 데이터, 어플리케이션, 서버 각각의 중요도(Criticality)를 나타낸 표,

도 11a 및 도 11b는 본 발명의 일실시예에 의한 시변 위험 분석 그래프,

도 12a 내지 도 12c는 본 발명의 일실시예에 의한 상태 블록 다이어그램,

도 13a 및 도 13b는 본 발명의 일실시예에 의한 단위자산에 대한 피해분석 그래프,

도 14는 본 발명의 일실시예에 의한 정보통신 기반시설에 대한 피해 및 복구도이다.

<도면의 주요 부분에 대한 부호의 설명>

100 : 상위수준의 위험분석 모듈

200 : 하위수준의 위험분석 모듈

300 : 피해산정 모듈

400 : 위험 관리 엔진서버

401 ∼ 404 : 위험분석 데이터베이스

500 : 설문 서버

501, 502 : 설문 서버 데이터베이스

600 : 평가책임자 단말

601 : 평가자 단말

602 : 관리자 단말

603 : 운영자 단말

본 발명은 보안 위험 관리 시스템 및 방법에 관한 것으로, 더욱 상세하게는 정성적인 평가 방법에 피해산정 부분을 포함시켜 정량적인 부분을 일부 반영하면서 온라인으로 전문지식을 가진 여러 명의 평가자들이 장소 및 시간에 구애 받지 않으면서 평가를 수행함과 아울러 보호대책의 비교 및 분석 결과에 대한 즉시성을 확보하는 보안 위험 관리 시스템 및 방법에 관한 것이다.

일반적으로 정보시스템에 대한 위험 관리는 정량적인 방법이나 정성적인 방법을 사용하는데 서로 다른 장단점을 가지고 있다. 정성적인 방법에는 평가자의 주관적인 관점이 많이 작용하며 평가 관점에 따라 많은 차이가 발생할 수 있으며, 정량적인 방법은 자산을 식별하고 자산의 가치를 산정하는 작업이 쉽지 않다. 그리고 기존의 위험 관리 기법은 대부분 수기식으로 사용함에 따라 인력이 많이 소요되면서 상당한 시간을 소요함에도 불구하고 최적의 보호대책이 수립되었는지를 판단할 기준이 없다. 특히 정보통신 기반시설은 자산의 규모가 매우 크고 타 시설과 연동을 하므로 자산 가치를 산정한다는 것이 매우 어려운 것이 사실이다.

현재의 위험 관리(분석) 프로세스는 단위 자산에 대한 식별 및 자산 가액을 계산하고 위협과 취약성을 분석한 후 위험도를 계산하는 것이 주류를 이루고 있으며, 사실상의 표준 모델로 자리하고 있다. 그런데 이러한 위험 관리에서의 평가활 동들은, 자산 가액, 자산 수준, 위협 수준, 취약성 수준, 대책비용 산정에 있어 매우 주관적인 관점이 많이 작용하므로, 정보자산의 가치를 평가하는데 있어 그 신뢰성 한계를 갖고 있다.

한편, 정보보호에 대한 기본 생각에 있어 경영자들은 비용 대비 효과를 요구하는 바, 보호대책을 세울 때와 세우지 않았을 때를 비교하여 얼마나 피해를 줄일 수 있느냐에 많은 관심을 갖고 있다.

또한, 기존의 보안 위험 관리 시스템은 1명의 평가책임자가 모든 결과를 정리하도록 되어 있다. 이에 따라, 다른 평가자들이 어떤 의견을 제시하였는지 알지 못하며, 여러 평가자의 의견이 무시되는 경향이 있다. 따라서, 평가자의 모두가 선택하고 결정할 수 있도록 하나의 위험 관리 엔진서버에서 각종 자료를 제공하고 평가 결과 전체를 관리할 수 있도록 하는 방안이 요구된다. 이렇게 되면, 소수 평가에 대한 내용도 차후에 검토할 수 있게 되는 것이다. 또한, 정보통신 기반시설의 경우에는 한곳에 위치하고 있지 않고 여러 지역에 산재되어 있으므로, 평가자들이 한 곳에 모여서 의견을 개진할 수 없는 경우가 발생하여 전체적인 평가 결과를 수집하는데 한계가 있다.

이 분야의 종래기술로서, 미국의 NIST에서 개발한 GMITS(MIST), 캐나다의 CSE, 영국의 BS7799, 그리고 CRAMM 등이 있으나 위험 관리 방법에 대하여 설명하고 있을 뿐, 평가에 대한 의견 수렴 및 평가에 대한 결정에 대해서는 정의하고 있지 않다. 또한, 전체적인 시스템 구성이 이루어져 있지 않거나 제한적으로 개발되어 수기로 작업해야 하는 불편함이 있다.

이와 같이 위험 분석을 수행하는데 있어 기존 기술들은 다음과 같은 문제점을 가지고 있다.

첫째, 위험분석은 접근하는 방법에 따라 정성적인 방법과 정량적인 방법으로 나뉘게 되는데, 2개의 방법을 동시에 처리하기에는 많은 인력과 비용이 소요되는 문제점이 있다.

둘째, 위험분석의 결과를 바탕으로 보호계획을 세우기 위해서는 정보보호 솔루션을 수립해야 하는데, 최적의 솔루션이 어느 것인지를 선택하기가 어려울 뿐만 아니라, 여러 종류의 솔루션에 대한 비교를 통해 최소한의 피해 영향이 있음을 확인할 수 있어야 하는데 아직까지는 이에 대한 해결책이 제안된 바 없다.

셋째, 위험 관리분야에서 정보보호 솔루션으로 인하여 얼마의 위험이 남아 있으며, 이러한 위험에 대하여 수용할 것인지, 아니면 다시 대응책을 세워야 할 것인지를 단기간내에 결정해야 하는데 아직까지는 이에 대한 해결책이 제안된 바 없다.

넷째, 위험분석은 여러 명의 평가자가 많은 인터뷰 대상자를 만나고, 많은 자산들을 실사해야만 하는데, 이러한 평가 자료들을 개개인이 관리하므로 충분한 검토가 이루어지지 않을 뿐만 아니라, 심지어는 충분한 검토가 이루어지지 않은 상태에서 다음 프로세스를 진행하게 되는 문제점이 있다.

마지막으로, 평가하는데 있어 관련 정보를 원격에서 열람하고 상대방의 평가 결과를 조회함으로써 개인의 오류 등을 미연에 방지함과 아울러, 평가자들의 평가 결과들이 관리되어 소수의 의견이 어떤 것들이 있었는지 확인할 수 있어야 하는데, 평가자 환경의 즉시성이 결여되는 단점이 있다.

따라서, 본 발명은 상기한 종래 기술의 문제점을 해결하기 위해 이루어진 것으로서, 본 발명의 목적은 기존의 위험 관리 프로세서 내에 피해 산정분야를 포함시키고 원격으로 평가자들이 평가할 수 있도록 프로세스를 정의하여 위험분석시 평가자들이 장소 및 시간에 구애받지 않으면서 평가를 수행함과 아울러 보호대책의 비교 및 분석 결과에 대한 즉시성을 확보하는 보안 위험 관리 시스템 및 방법을 제공하는데 있다.

상기와 같은 목적을 달성하기 위한 본 발명의 보안 위험 관리 시스템은, 평가자단말에서 전달된 데이터에 대응하여 정보보호 수준을 산정하는 상위수준의 위험분석 모듈과, 상기 정보보호 수준의 상세화 및 세부적인 보안 위험 관리를 계획할 경우에 위험분석을 수행하는 하위수준의 위험분석 모듈과, 보호대상을 기밀성, 무결성, 가용성으로 분류하여 해당 정보보호 대책을 제공하되, 상기 정보보호 대책이 도입될 경우에 예상되는 위험감소 수준을 산정하여 비용 대비 효과 분석, 여러 가지 침해 유형을 만들어 피해 영향 분석, 침해 유형에 따른 피해 수준을 분석하고 최대 피해액 산정, 정보보호 대책 유무에 따른 피해량의 정량화를 수행하는 피해산정 모듈로 구성된 위험 관리 프로세서; 및 상기 위험 관리 프로세서로부터 전달된 데이터를 수렴하여 결과를 도출하는 계산 알고리즘을 생성하며, 설문 결과에 따른 통계학적 계산을 통해 정보보호 수준을 산정하는 위험 관리 서버를 포함하여 이루어진 것을 특징으로 한다.

이때, 상기 피해산정 모듈은, 상기 정보보호 대책을 선정하는 보호대책 선정 모듈; 상기 정보보호 대책이 도입되는 경우 예상되는 위험감소 수준을 산정하여 비용대비 효과를 분석하는 잔여위험 계산 모듈; 여러 가지 침해 유형을 만들어 피해 영향을 분석하는 피해영향 평가 모듈; 침해 유형에 따른 피해 수준을 분석하고 최대 피해액을 산정하는 피해수준 산정 모듈; 및 상기 정보보호 대책이 없는 경우와 있을 때를 비교하여 어느 정도 피해가 감소되었는지를 정량화하는 기존 결과 비교 모듈로 구성되는 것이 바람직하다.

한편, 본 발명의 보안 위험 관리 방법은, (a) 평가자단말에서 전달된 데이터에 대응하여 위험 관리 프로세서에서 정보보호 수준을 산정함과 아울러, 상기 정보보호 수준의 상세화 및 세부적인 보안 위험 관리를 계획할 경우에 위험분석을 수행하는 단계; 및 (b) 정보보호 대책의 수립여부에 따라 비교되는 결과를 비교하여 최적의 위험 감소 결과를 바탕으로 하여 피드백 과정을 거쳐 최적의 정보보호 대책을 선택하는 단계를 포함하여 이루어진 것을 특징으로 한다.

이하, 본 발명의 보안 위험 관리 시스템 및 방법에 대하여 첨부된 도면을 참조하여 상세히 설명하기로 한다.

도 1은 본 발명의 일실시예에 의한 보안 위험 관리 시스템 구성도이다. 도 1 을 참조하면, 본 발명의 보안 위험 관리 시스템을 구성하는 위험 관리 프로세서는, 상위수준의 위험분석 모듈(100), 하위수준의 위험분석 모듈(200) 및 피해산정 모듈(300)로 구성되어 있다. 이 위험 관리 프로세서에는 위험 관리 서버가 접속되어 있으며, 위험 관리 서버는 위험 관리 엔진서버(400)와 설문 서버(500)로 구성되어 있으며, 이들 각각에는 위험분석 데이터베이스 및 설문 서버 데이터베이스가 각각 마련되어 있다.

상술한 바와 같이, 기존 위험분석 또는 위험 관리는 정성적인 방법과 정량적인 방법으로 크게 구분하여 평가하고 있다. 하지만, 정보통신 기반시설의 경우에는 자산의 규모가 매우 거대하고 하나의 공격 및 침해에 의하여 전체 기반시설이 마비되는 경우가 발생하므로 위험도를 자산별로 산정하기 어려울 뿐만 아니라 정량적인 방법으로 계산하는 것이 사실상 불가능하다. 이에 따라, 본 발명에서는 정성적인 방법으로 위험도를 계산하고 정성적인 방법을 보완하기 위하여 피해산정 모듈을 위험 관리 프로세서에 도입하고자 한다.

상위수준의 위험분석 모듈(100)에서는 프로젝트 관리, 현황 분석, 설문, 인터뷰 및 통제항목 점검 등을 통하여 정보보호 수준을 산정한다. 프로젝트 관리에서는 인력, 기간, 대상시설에 대한 범위 등을 산정하고 위험분석의 수준을 정한다. 현황 분석에서는 자료 수집 및 현장 실사를 통해서 문서와 기록이 실제 자산과 일치하는지를 비교한다. 설문에서는 기반시설을 관리하고 운영하는 인원들을 대상으로 정보보호 의식수준을 분석한다. 인터뷰에서는 기반시설을 설계하고 정보보호 업무를 수행하고 있는 인원들을 대상으로 정보 보호 실태를 확인한다. 이후 통제항목 점검에서는 수집된 정보를 토대로 통제항목을 점검하여 조직의 정보보호수준을 산정한다. 이때, 정보보호 수준이 미흡하거나 세부적인 보안 위험 관리를 계획하게 되면 하위수준의 위험분석을 수행한다.

하위수준의 위험분석 모듈(200)에서는 자산 분석, 위협 분석, 취약성 분석, 위험도 계산, 보고서 작성 등을 통하여 정보보호 수준을 산정한다. 자산 분석에서는 매체에 정보가 저장되므로 매체를 대상으로 자산을 분류한다. 위협 분석에서는 침해 유형에 따라 이를 분류한다. 취약성 분석에서는 진단도구를 이용하여 서버 및 네트워크를 진단한 후 나온 결과를 대상으로 상중하로 분류하고 분류 표를 만들어 수준을 산정한다. 위험도 계산에서는 자산, 위협, 취약성을 토대로 3차원 테이블을 구성하여 계산한다. 보고서 작성에서는 위험분석 결과를 보고서로 작성한다.

좀 더 구체적으로 설명하면, 취약성 분석은 일반적으로 위협에 대하여 구분을 하고 있지만 여기에서는 자산에 대한 취약성을 분석한다. 취약성은 진단도구 및 스캐너를 통하여 불필요한 서비스 및 접근 경로 등을 확인하고 취약성을 노출부분으로 상중하로 구분하여 나누며, 발견된 취약성을 바탕으로 모의 침투 시험을 해서 침투 가능성을 역시 상중하로 구분한다. 노출부분과 침투 가능성을 테이블 화하여 역시 5등급으로 분류한다.

위험도 계산은 자산에 대한 위협과 자산에 대한 취약성을 토대로 계산하게 되며 모두 더한 결과 값을 위험도로 정한다. 최대 3∼15의 값이 표현되며, 이후 전체 위험도는 모든 수를 더한 후에 자산의 수로 나누게 되면 결과가 표현된다. 이후 3에서 15까지의 실수로 표현되는 값을 백분율로 계산하여 위험수치를 공포하며 이 를 토대로 보고서를 작성한다.

피해산정 모듈(300)에서는 보호대책 선정, 잔여위험 계산, 피해영향 평가, 피해수준 산정, 기존 결과 비교를 통하여 위험 도중에서 시급히 해결해야 할 정보보호서비스 즉, 기밀성, 가용성, 무결성으로 분류한 후 해당되는 정보보호 솔루션을 제공한다. 보호대책 선정에서는 보호대책을 선정한다. 잔여위험 계산에서는 정보보호 솔루션이 도입되는 경우 예상되는 위험감소 수준을 산정하여 비용대비 효과를 분석한다. 피해영향 평가에서는 여러 가지 침해 유형을 만들어 피해 영향을 분석한다. 피해수준 산정에서는 침해 유형에 따른 피해 수준을 분석하고 최대 피해액을 산정한다. 기존 결과 비교에서는 보호대책이 없는 경우와 있을 때를 비교하여 어느 정도 피해가 감소되었는지를 정량화한다.

한편, 상위수준의 위험분석 모듈(100), 하위수준의 위험분석 모듈(200), 피해산정 모듈(300) 각각에 대해, 바람직하게는 각 해당 기능별로 모듈화시키는 것이 좋다.

이와 같은 위험 관리 프로세서에서의 일련의 모든 사항들은 평가자단말(601)인 클라이언트에서 이루어지고, 그 결과는 네트워크를 통해 위험 관리 서버의 위험 관리 엔진서버(400)에 저장된다. 위험 관리 엔진서버(400)에서는 자산, 위협, 취약성, 보호대책에 대한 목록을 위험 관리 프로세서로 제공하며, 이 목록을 바탕으로 평가자들은 평가업무를 수행하게 되는 것이다. 그리고, 평가자가 수행한 모든 결과는 평가책임자 단말(600)을 이용하여 평가책임자가 정리하여 최적의 분석 결과를 만든다.

여기서, 위험 관리 서버를 구성하는 위험 관리 엔진서버(400)와 설문 서버(500)의 기능에 대해 구체적으로 설명하면, 위험 관리 엔진서버(400)에서는 평가자들이 입력한 결과를 바탕으로 의견을 수렴하여 하나의 결과를 제공할 수 있도록 계산하는 알고리즘을 만들어내며, 설문 서버(500)에서는 시설운영자 및 시설관리자들이 시설운영자 단말(603) 및 시설관리자 단말(602)을 통해 입력한 설문 결과에 대하여 통계학적으로 계산하여 정보보호 수준을 산정한다. 각각의 결과를 위험 분석 데이터베이스 및 설문 서버 데이터베이스에 각각 데이터베이스화한다. 한편, 위험 관리 엔진서버에는 각각의 평가자들이 입력한 결과를 다른 평가자들이 참조할 수 있도록 하여 스스로가 의견을 수렴해 나갈 수 있도록 한다. 최종적으로 수렴된 결과를 바탕으로 평가책임자는 결과를 결정한다. 각 프로세스마다 평가책임자가 결과를 결정하게 되면 다음 프로세스를 진행할 수 있다.

이 때, 위험 분석 데이터베이스는 자산 목록 데이터베이스(401), 위협 목록 데이터베이스(402), 취약성 목록 데이터베이스(403), 보호대책 목록 데이터베이스(404)로 구성되며, 이들 중에서 위협 목록은 피해산정과 관련한 입력데이터를 활용한다. 위협에는 바이러스, 웜, 해킹, 비의도적인 행위에 의한 피해 등으로 구분하며, 각각의 항목마다 세부 항목을 선정하며 위협목록을 정의한다. 이를 위하여 여러 항목들을 구성하여 목록을 만들고 해당 자산에 대하여 위협목록을 선별하여 제공하도록 한다. 이는 많은 위협 목록들이 개개 자산에 대하여 전부 보여지는 경우 평가자에게 혼란을 제공하기 때문이다. 예를 들어, 윈도우즈 시스템인 경우에는 윈도우즈와 관련된 위협만을 나타내는 것으로 보여준다. 해당 자산에 대한 위협이 선정되면 역시 5등급으로 구분하여 위협수준을 산정한다.

한편, 현재의 보안 위험 관리 시스템의 가장 큰 문제점은 평가자가 정보 자산에 대한 정확한 가치를 식별할 수 없다는 것이다. 이를 해결하기 위해서는 정보자산을 가지고 있는 매체의 수준을 가지고 평가해야 한다. 중요한 정보인 경우에는 성능 좋은 시스템에 저장관리하며 송수신시에 고속의 네트워크 시스템을 사용할 것이다. 낮은 등급의 정보인 경우에는 종이나 디스켓 등에 저장하면서 일부 서랍장 등에 보관할 것이다. 따라서, 매체의 수준을 평가하고 이에 대한 등급을 매기게 되면 정확한 자산분석을 수행하게 되며, 매체에 대한 위협 및 취약성을 분석함으로써 매체에 대한 정보보호 솔루션을 쉽게 구현하게 된다. 여기서 매체라 함은 종이, 금고, 하드웨어 등 사람들이 눈으로 보고 읽을 수 있는 장치를 의미하며, 전송에 따른 우편, 전화, 인터넷 등도 포함된다. 이러한 주요정보를 관리하는 매체에 대하여 기밀성, 무결성, 가용성으로 구분하여 등급을 각각 5등급으로 나누고 3차원 테이블을 구성하여 최종 등급을 결정한다. 이때, 각각의 평가자들은 등급을 산정하는데 있어 필요한 기초 자료들을 제공받아야 한다. 이러한 자료들은 상위수준의 위험분석 모듈에서의 결과를 바탕으로 저장되어 있는 위험 관리 엔진서버에서 얻는다. 얻은 결과에는 다른 평가자들이 입력한 결과를 참조할 수 있으며 자신이 내린 결과 값을 비교하여 수정할 수 있도록 한다. 일정한 기간 동안에 결과 값을 수정할 수 있도록 하며, 평가책임자가 일정시간 후 평가결과를 결정하는 경우 더 이상 수정은 불가능하게 한다.

지금까지는 정성적인 방법에 대하여 설명하였다. 정성적인 방법은 경영자로 하여금 자신이 관리하고 있는 기관의 정보보호 수준이 얼마나 되는지는 파악할 수 있으나 과연 침해가 발생하였을 때 얼마나 피해가 발생하는 지는 알 수 없다. 이러한 위험 관리의 한계를 해결하기 위해서 정량적인 방법을 사용하게 되는데 정보통신 기반시설의 경우에는 워낙 자산이 방대하고 연동되는 시스템이 많기 때문에 자산 식별 및 자산 가치 산정에 많은 인력과 시간을 투입하게 되며 신뢰성도 많이 떨어지게 된다. 본 발명에서는 이러한 문제점을 해결하고자 위협에 대한 피해 산정을 통하여 피해가 얼마나 발생하였는지를 위험 관리 프로세서에 포함시키고 보호대책을 선정한 후 위험이 얼마나 감소되었는지를 확인할 수 있는 프로세스를 포함시키고자 한다.

보호대책 선정의 경우에는 해당 보호대책이 적절하게 이루어졌는지를 확인하고 위협에 대하여 대응이 가능한지를 분석해야 한다. 이후 잔여 위험이 무엇인지를 확인하여 수용할 것인지, 회피할 것인지, 감수할 것인지를 결정한다. 이러한 결정을 위해서는 피해 영향 평가와 피해 수준을 산정하여 기존에 보호대책이 없을 때와 있을 때를 비교하여 결정해야 한다.

이러한 보안 위험 관리 시스템을 통하여 정보통신 기반시설에 대한 안전성을 확보하고 시설을 관리하는 관리자 및 운영자에게 일정한 규칙과 절차를 제공하게 됨으로써 해당기관과의 비교가 가능해지게 된다.

도 2는 본 발명의 일실시예에 의한 피해 산정 그래프이다. 도 2를 참조하면, 기존에는 정보통신 기반시설에 장애가 발생하면 장애 발생시점에서부터 종료시점까지 시설을 운영하는 사용자와 관리자의 시간 손실비용을 곱하여 총 피해액을 산출하였다. 하지만 본 발명에서는 한순간에 모든 시스템이 중단되지 않으므로 망관리시스템 및 서버의 로그를 종합적으로 분석하여 각 자산이 중단되거나 장애로 인하여 서비스를 수행하지 못하는 시설을 시간별로 정리하여 총 합을 계산한다. 따라서, 곡선에 대한 면적 값을 구한 후 총 피해액 대비 순수 피해액을 구할 수 있다. 피해 산정 공식은 다음과 같다.

피해액 =

여기서, A는 시간당 최대 손실비용이고, B는 시간을 각각 의미한다.

도 3은 본 발명의 일실시예에 의한 정보통신 기반시설에 대한 전체 자산 정보를 나타낸 표이다. 도 3에 도시된 바와 같이, 정보통신 기반시설에 대한 전체 자산에 대한 정보를 자산 목록에 저장하고, 이에 대한 자산간의 연결상태를 데이터베이스화한다.

도 4는 본 발명의 일실시예에 의한 보안 위험분석 다이아그램이다. 도 4에 도시된 바와 같이, 위협 목록과 취약성 목록으로부터 얻어진 침해를 통해 시설내의 영향을 미치는 자산이 어느 것인지를 분석하고 이에 대한 보호대책이 어떤 것들이 있는지를 표현한 것이다. 현재 기반시설은 기밀성, 무결성, 가용성으로 구분하고 이에 대한 위험도가 산정되면, 예방, 감시, 복구 등의 정보보호 솔루션을 이용하여 위험도를 줄여 나갈 수 있다. 이는 도 12에서 상세히 설명하기로 한다.

도 5는 본 발명의 일실시예에 의한 위험 관리 프로세서의 프로세스 화면이다. 도 5를 참조하면, 위험 관리 프로세서를 도구화 및 자동화함에 따라 평가자들이 원격으로 정보를 조회하고 입력하면서 평가 결과를 조정해 나갈 수 있다.

도 6은 본 발명의 일실시예에 의한 보안 위험 관리 시스템의 설문 서버 화면이다. 도 6을 참조하면, 설문 서버에 대한 내용으로 구현된 도구는 웹환경으로 이루어져 있으며, 시설 관리자 및 운영자가 자신들이 느끼고 있는 정보보호 수준들을 설문을 통하여 입력한다. 설문 서버는 이후 결과를 총괄적으로 저장하는데 전문가용 데이터베이스(도 1의 501)와 일반용 데이터베이스(도 1의 502)에 구분하여 저장한다. 이후, 이 결과는 위험 관리 엔진서버에서 가중치 및 등급별 계산방식에 의하여 점수로 산정된다.

실시예

본 실시예에서는 자산 분석, 위협 분석, 취약성 분석, 위험도 계산, 위험 분석 다이어그램으로 구성된 하위수준의 위험분석 모듈의 처리과정과, 본 발명의 중심사상을 이루는 피해 산정 분석 순으로 그 과정을 상세히 설명한다.

먼저, 자산 분석을 수행하는데 있어 자산 분류와 이에 따르는 정보보안 요구사항, 중요도, 민감도 분석에 대해 설명한다.

본 발명은 조직의 전체 자산에 대한 자산분류가 아니라 정보통신 기반시설 식별 및 평가 방법을 제안하므로, 다음과 같이 정보통신 기반시설을 분류한다.

■서버 : 서버, PC, 네트워크 장비 등 하드웨어, OS 및 기본 서비스

■어플리케이션 : 조직의 목표 및 업무를 지원한 응용 프로그램

■데이터 : 조직의 목표 및 업무를 수행하기 위한 정보 및 자료

한편, 모든 표준이나 위험 분석 방법론에서 자산의 정보보안 요구사항을 분석하기 위해서 [표 1]과 같이 기밀성, 무결성, 가용성 3가지 요소를 평가한다. 조직의 전체 자산에 대한 자산분류가 아니라 정보통신 기반시설 식별 및 평가 방법을 제안한다. 정보통신 기반시설의 중요도(Criticality)는 기밀성, 무결성, 가용성 요소로 값을 표현하고, 데이터의 민감도(Sensitivity)는 기밀성 값을 계산할 때 반영한다.

[표 1] 정보통신 기반시설의 정보보안 요소 분류

민감도는 다른 정보보안 요소에는 포함이 되지 않고 데이터에만 고려가 되므 로, 데이터 민감도(Sensitivity)를 분석하고, 이 값을 [표 2]와 같이 등급을 결정한다.

[표 2] 데이터 민감도

도 7a 내지 도 7c는 본 발명의 일실시예에 의한 데이터, 어플리케이션, 서버의 중요도 분석을 위한 맵이다.

도 7a 내지 도 7c를 참조하면, 데이터의 V 값은 C, I, A의 Vector 값, 어플리케이션의 V 값은 I, A의 Vector 값, 서버의 S 값은 A의 Scalar 값으로 표현된다. 데이터와 어플리케이션은 V 값 이외에 어떠한 정보보안 요구사항이 우선적으로 요구되는지 순서를 정의해서 기록을 한다.

■데이터 1 :

=(C1, I1, A1), 데이터 2 :

= (I2, C2, A2)

■어플리케이션 1 :

= (A1, I1), 어플리케이션 2 :

= (I2, A2)

■서버 1 : S1 =A1, 서버 2 : S2 =A2

[표 3]은 데이터의 중요도를 등급화한 결과이다. 가용성, 무결성, 기밀성에 대한 값을 계산하게 되면

에서부터

의 결과를 갖는다. 역시, [표 4]와 같이 어플리케이션은

에서부터

의 결과를 얻을 수 있다. 서버의 경우에는 [표 5]와 같이 1에서부터 9의 값을 가지게 되며 각각의 값들을 3가지로 등급화하고 이에 대한 기준의 정의한다.

[표 3] 데이터의 중요도(Criticality) 등급화

[표 4] 어플리케이션의 중요도(Criticality) 등급화

[표 5] 서버의 중요도(Criticality) 등급화

도 8은 본 발명의 일실시예에 의한 서버, 어플리케이션, 데이터의 연결 구성을 파악하기 위한 맵이다.

서버, 어플리케이션, 데이터의 연결 구성을 파악하기 위하여 도 8에 도시된 바와 같이 맵핑 구성을 한다.

■Mapping 1 :

= (SV1, AP1, DT1)

■Mapping 2 :

= (SV1, AP2, DT2)

■Mapping 3 :

= (SV2, AP3, DT3)

■Mapping 4 :

= (SV3, AP4)

각 맵핑마다 중요도(Criticality) 값인 Vector 값과 Scalar 값을 계산하여 등급 분류를 하고 평가한다.

도 9a 내지 도 9d는 본 발명의 일실시예에 의한 매핑된 데이터, 어플리케이션, 서버의 중요도 분석을 위한 맵이다.

도 9a 내지 도 9d를 참조하면, 매핑 1, 2의

,

값은 DT, AP, SV의 Vector 값, 매핑 4의

은 AP, SV의 Vector 값으로 표현된다. [표 6]은 3차원 매핑에 대한 등급이며, [표 7]은 2차원 매핑, 그리고 [표 8]은 1차원 매핑에 대한 등급을 표시한다.

[표 6] 데이터, 어플리케이션, 서버가 매핑된 구성의 중요도 등급

[표 7] 데이터와 서버 등 매핑된 구성의 중요도 등급화

[표 8] 데이터, 어플리케이션, 서버 각각의 중요도 값

이러한 정보보안 요구사항들의 우선 순위를 도식화하면 (도 4)와같고, 중요도의 등급은 High(Red), Medium(Yellow), Low(Green) 3단계로 구분한다. 즉, High(Red)는 해당 조직의 주요 자산으로 분류를 하고, 경우에 따라 Medium(Yellow)까지 위험 분석 대상 자산으로 분류도 가능하다. 그리고, 내부적으로 어떠한 정보보안 요구사항이 더 중요한 지 우선 순위를 표현한다.

도 10은 본 발명의 일실시예에 의한 데이터, 어플리케이션, 서버 각각의 중요도(Criticality)를 나타낸 표이다.

다음으로 위협 분석에 대해 설명한다.

본 발명에서 제시하는 위협 분석은 위협원이 인간(해커, 사용자, 개발자, 시스템관리자)인 경우는 ITSEM(유럽평가기준)의 보안강도 계산규칙을 5단계로 확장하여 적용하였고, 비인간(자연재해, 고장 등)인 경우는 5단계의 발생빈도별 기준을 사용하였다. ITSEM에서 정보시스템의 “보안강도” 개념은 “위협수준”의 반대 개 념이며 보안강도가 높을수록 위협수준은 낮으며 위협개념은 “공격” 개념을 포함한다고 가정한다. 즉, 위협수준은 공격시간, 공모여부, 위협원의 전문성 및 위협원이 가용한 공격 장비의 수준의 함수로 정한다. CSE나 OCTAVE에서도 위협원의 동기, 능력을 고려하지만 본 방법보다는 구체적이지 못하다. 자산별 위협을 쉽게 파악할 수 있도록, PKB의 위협 및 공격 목록에 실제 PP(Protection Profile)에서 사용된 위협문장들을 확장한 “위협 DB”를 제공한다. 먼저 CC의 위협 데이터베이스인 PKB의 위협목록을 참조 및 확장하였으며 “위협원”을 1차 기준으로 하고 위협원의 “행동”과 “목표 자산”을 2차 및 3차 기준으로 하여 분류하였다. 실제 PP에서 사용된 위협 및 평가 중 추가로 발견된 위협들은 해당 클래스나 컴포넌트에 추가하면 된다. 각 위협원들은 인간 및 비인간으로 분류된다. 인간인 경우는 ‘시스템 관리자’, ‘악의적이며 권한 없는 개인’, ‘시스템/평가대상제품 개발자’ 및 ‘인가된 사용자’ 클래스를 의미한다. 비인간인 경우는, ‘물리적 환경’, ‘시스템/HW/SW’ 및 ‘자연재해’ 클래스를 의미한다. [표 9]에서부터 [표 16]까지는 위협 분석을 위한 테이블 매트릭스이다.

[표 9] T1. 공격시간

[표 10] T2. 공모여부

[표 11] T3. 공격시간-공모여부의 도표

[표 12] T4. 전문성

[표 13] T5. 공격 장비

[표 14] T6. 전문성-공격장비

[표 15] T7. 인간 위협수준

[표 16] T8. 비인간 위협수준

이어서, 취약성 분석에 대해 설명한다.

취약성은 “자산별 위협이 실현될 수 있는 시스템상의 성질”라 정의하였으므로, 취약성은 분류체계는 위협의 분류체계와 동일하다. 취약성 문장은 위협문장에 “∼에 대한 취약성”이라는 단어를 추가하면 된다. 예를 들어, 위협 “T1.1.1 암호기능의 우연적인 관리오류”에 대한 취약성은 “암호기능의 우연적인 관리오류에 대한 취약성”으로 해석하면 된다. 취약성 수준은 “자산별 위협이 실현될 수 있는 정도”라 정의했으므로, 별도의 취약성을 파악할 필요는 없으며 자산별 위협이 실현될 수 있는 정도를 등급화하면 된다.

[표 17] V1. 취약성 노출

[표 18] V2. 취약성의 심각성

[표 19] V3. 취약성 수준

[표 20] V4. 취약성 수준의 해석(V3의 해석)

다음으로, 위험도 계산에 대해 설명한다.

위험도 계산은 지금까지 분석된 결과를 바탕으로 전체 정보통신 기반시설에 대한 위험 수준을 계산한다. 계산 알고리즘은 [표 21]과 같이 나타낸다.

[표 21] 위험관련 척도의 계산식

한편, 위험분석은 한번에 끝나는 것이 아니고 수시로 변하는 자산, 위협, 취약성의 변화에 따라 적시에 분석이 가능하여야 한다. 시변 위협/취약성 발생으로 인한 위험도를 계산하기 위하여 다음과 같은 경우를 가정한다.

(전제 조건)

■위협/취약성이 일정한 주기로 발생한다.

■새로 발견된 위협/취약성은 이전에 발생한 위협/취약성과 다르다.

■발견된 위협/취약성에 대하여 보호 대책을 수립하면 더 이상 동 위협/취약성으로 인하여 위험도가 증가하지 않는다.

정보통신 기반시설에 대하여 위협/취약성들이 계속 주기적으로 발생하게 되면 이에 대응하는 위험도는 증가하게 된다. 이러한 위험은 대응책에 따라 감소하거나 더 이상 위험도가 증가하는 것을 막는다. 이러한 상태를 도 11과 같이 표현한다.

도 11에 도시된 바와 같이, 위협/취약성이 시간에 따라 계속 발생하게 되면 위험도는 P와 같이 증가하게 된다. 여기서, 위험은 5등급으로 구분하였다. 위협이 3등급 이상일때부터 대응책이 고려되며 대응책을 통하여 위험은 Q와 같이 감소하게 된다. 대응책은 위협/취약성이 나타난 후에 일정기간 후에 발생하므로 위험이 계속 증가하지 않도록 적시에 대책을 수립하는 것이 매우 중요하다. 감소된 효과는 P와 Q의 차이에 나타난 영역에 해당한다. 이러한 시변 위험 분석에 대한 블록 다이어그 램을 도 12와 같이 표현할 수 있다.

■G(k): 네트워크시스템(기밀성, 무결성, 가용성)

G(C,I,A) = {1, 2 ,3, 4, 5}

■S(k): 정보보호시스템(예방, 탐지, 복구)

S(D,P,R) = {1, 2, 3, 4, 5}

■r(k), y(k): 위험도(Risk rate), r(k) = {1, 2, 3, 4, 5}

■e(k): 장애(failure), 침해(exploit), e(k) = {1, 2, 3, 4, 5}

■t: 위협(Threat), t = {0, 1}

■v: 취약성(vulnerability), v = {0, 1}

■k: 시간(time)

위의 시스템에서 사이버 공격이 대한 위험도 공식은 다음 식과 같다.

■

: 보수

■

여기서,

은 3차원 테이블 매트릭스이다.

한편, 본 발명의 중요한 기술사상 중의 하나인 피해산정 모듈에서의 처리과정에 대해 상세히 설명한다.

기존에는 시스템의 가용성을 위하여 장애 관리 및 소프트웨어 버그에 의한 기능 장애 등을 위한 고장 처리 관리가 주요 현안이었다. 하지만 최근에는 사이버 침해 및 해커에 의한 공격으로부터 시스템을 안전하게 보호하고 실시간 서비스를 제공하기 위한 관리 방안이 우선시 되고 있다. 하지만 보안 관리 조직 및 인원이 이에 대한 적절한 대응이 실시간으로 이루어지지 못하고 있다. 기존의 고장 처리의 경우에는 해당 자산을 교체하거나 재 가동함으로써 해결되었지만 사이버 침해 사고는 원인이 되는 위협원을 제거하거나 더 이상 피해 파급이 일어나지 않도록 해야 한다. 단일 자산에 대한 침해 발생 시 해당 자산의 상태는 다음과 같다. 하나의 침입이 발생하게 되면 이에 대한 단위 자산은 침입 발생 후 부하가 발생하게 되고, 이러한 부하에 의하여 점차 서비스에 장애를 가지고 오며 결국 시스템을 정지시키 게 한다. 도 13은 이에 대한 상태를 나타내며, 피해는 여러 유형의 함수 형태로 구성될 수 있다.

단위 자산에 대한 특성을 프로그래밍하면 다음과 같이 표현한다. 각 자산의 종류, 침입 형태, 보안 패치, 업그레이드, 서비스 팩에 대한 처리 여부 등을 포함한다.

class Result Asset (int I_category, class A_type) R.delay = t_i, R.interrupt = t_i+tau; A.Security.Service = parameter; A.Security.Update = level; Case Virus : R.wave = Linear_fn(); Case Worm : R.wave = exponential_fn(); Case Hacking : R.wave = Pulse_fn(); Case Mistake : R.wave = Log_fn();

정보통신 기반시설에 대한 침해 발생에 따른 피해액 산정은 이러한 단위 자산의 합을 통하여 계산해 낼 수 있다. 기반시설에 사이버 공격이 발생하면 연쇄적으로 단위 자산들이 기능을 상실하게 되며 이에 따른 파급되는 속도 및 확산 범위 등을 도 14와 같이 나타낸다.

피해 발생에 대한 함수 f(t)와 피해 복구에 대한 함수 g(t)를 같은 좌표에 표현하며, 총 피해 산정(R)은 침해가 진행되는 동안 발생된 총 비용과 복구되는 동안 발생된 총비용의 합으로 나타낸다.

이때, 시스템 부하 발생 시 피해 산정(A)은 관리비용 및 운용비용을 포함하고, 시스템 장애 발생 시 피해 산정(B)은 관리비용, 운용비용에 서비스 손실 비용까지 포함하여 계산한다. 그리고 피해 비용과 구분하기 위하여 보호대책을 위한 비용으로 관제 및 조기경보 비용을 포함하는 데 예방, 탐지, 복구를 위한 비용 등으로 구분한다. 예방비용은 정보통신 기반시설에 대한 침입을 예방하는 비용이며, 탐지비용은 침입을 탐지하는 비용, 복구비용은 피해를 당했을 경우 복구하기 위한 비용이다.

이상에서 몇 가지 실시예를 들어 본 발명을 더욱 상세하게 설명하였으나, 본 발명은 반드시 이러한 실시예로 국한되는 것이 아니고 본 발명의 기술사상을 벗어나지 않는 범위 내에서 다양하게 변형실시될 수 있다.

상술한 바와 같이, 본 발명에 의한 보안 위험 관리 시스템 및 방법은 다음과 같은 효과를 가진다.

첫째, 위험평가시 정성적인 평가 이외에 피해 영향 및 수준을 산정한 결과를 제공함으로써 보호대책의 선정에 대하여 객관적인 증거를 제공할 수 있다.

둘째, 평가자들은 평가에 필요한 각종 정보를 온라인상에서 얻어서 상호 결과를 비교함으로써 오차의 범위를 줄일 수 있다.

셋째, 결과가 위험 관리 엔진서버에 저장되어 있으므로 침해에 대한 여러 분석이 쉽게 가능하며, 평가에 대한 이력 및 공정성이 제공되므로 평가 결과에 대한 이견을 최소화할 수 있다.

넷째, 평가에서 피해 파급 및 수준을 산정할 수 있으므로 위험분석 과정에서도 즉시 보호대책을 수립할 수 있는 기반을 마련하고 수립된 결과를 바탕으로 재분석을 용이하게 수행할 수 있다.

Claims

평가자단말에서 전달된 데이터에 대응하여 정보보호 수준을 산정하는 상위수준의 위험분석 모듈과, 상기 정보보호 수준의 상세화 및 세부적인 보안 위험 관리를 계획할 경우에 위험분석을 수행하는 하위수준의 위험분석 모듈과, 보호대상을 기밀성, 무결성, 가용성으로 분류하여 해당 정보보호 대책을 제공하되, 상기 정보보호 대책이 도입될 경우에 예상되는 위험감소 수준을 산정하여 비용 대비 효과 분석, 여러 가지 침해 유형을 만들어 피해 영향 분석, 침해 유형에 따른 피해 수준을 분석하고 최대 피해액 산정, 정보보호 대책 유무에 따른 피해량의 정량화를 수행하는 피해산정 모듈로 구성된 위험 관리 프로세서; 및

상기 위험 관리 프로세서로부터 전달된 데이터를 수렴하여 결과를 도출하는 계산 알고리즘을 생성하며, 설문 결과에 따른 통계학적 계산을 통해 정보보호 수준을 산정하는 위험 관리 서버

를 포함하는 것을 특징으로 하는 보안 위험 관리 시스템.
제1항에 있어서, 상기 피해산정 모듈은,

상기 정보보호 대책을 선정하는 보호대책 선정 모듈;

상기 정보보호 대책이 도입되는 경우 예상되는 위험감소 수준을 산정하여 비용대비 효과를 분석하는 잔여위험 계산 모듈;

여러 가지 침해 유형을 만들어 피해 영향을 분석하는 피해영향 평가 모듈;

침해 유형에 따른 피해 수준을 분석하고 최대 피해액을 산정하는 피해수준 산정 모듈; 및

상기 정보보호 대책이 없는 경우와 있을 때를 비교하여 어느 정도 피해가 감소되었는지를 정량화하는 기존 결과 비교 모듈

로 구성된 것을 특징으로 하는 보안 위험 관리 시스템.
제1항에 있어서, 상기 위험 관리 서버는,

자산 목록 데이터베이스, 위협 목록 데이터베이스, 취약성 목록 데이터베이스, 보호대책 목록 데이터베이스로 구성된 위험분석 데이터베이스를 포함하며, 자산, 위협, 취약성, 보호대책에 대한 목록을 위험 관리 프로세서로 제공하여 평가자단말에서 위험 관리 프로세서를 통해 처리한 데이터를 바탕으로 의견을 수렴하여 결과를 도출하는 계산 알고리즘을 생성하는 위험 관리 엔진서버; 및

전문가용 데이터베이스와 일반용 데이터베이스로 구성된 설문 서버 데이터베이스를 포함하며, 시설운영자 및 시설관리자가 시설운영자 단말 및 시설관리자 단말을 통해 입력한 설문 결과에 대하여 통계학적으로 계산하여 정보보호 수준을 산정하는 설문 서버

로 구성된 것을 특징으로 하는 보안 위험 관리 시스템.
제1항에 있어서, 상기 상위수준의 위험분석 모듈은,

인력, 기간, 대상시설에 대한 범위를 산정하고 위험분석의 수준을 정하는 프로젝트 관리 모듈;

자료 수집 및 현장 실사를 통해서 문서와 기록이 실제 자산과 일치하는지를 비교하는 현황 분석 모듈;

대상시설을 관리하고 운영하는 인원들을 대상으로 정보보호 의식수준을 분석하는 설문 모듈;

대상시설을 설계하고 정보보호 업무를 수행하고 있는 인원들을 대상으로 정보 보호 실태를 확인하는 인터뷰 모듈; 및

수집된 정보를 토대로 통제항목을 점검하여 조직의 정보보호수준을 산정하는 통제항목 점검 모듈

로 구성된 것을 특징으로 하는 보안 위험 관리 시스템.
제1항에 있어서, 상기 하위수준의 위험분석 모듈은,

매체에 정보가 저장되므로 매체를 대상으로 자산을 분류하는 자산 분석 모듈;

침해 유형을 분류하는 위협 분석 모듈;

진단도구를 이용하여 서버 및 네트워크를 진단한 후 나온 결과를 대상으로 상중하로 분류하고 분류 표를 만들어 수준을 산정하는 취약성 분석 모듈;

자산, 위협, 취약성을 토대로 3차원 테이블을 구성하여 계산하는 위험도 계산 모듈; 및

결과를 보고서로 작성하는 보고서 작성 모듈

로 구성된 것을 특징으로 하는 보안 위험 관리 시스템.
(a) 평가자단말에서 전달된 데이터에 대응하여 위험 관리 프로세서에서 정보보호 수준을 산정함과 아울러, 상기 정보보호 수준의 상세화 및 세부적인 보안 위험 관리를 계획할 경우에 위험분석을 수행하는 단계;

(b) 정보보호 대책의 수립여부에 따라 비교되는 결과를 비교하여 최적의 위험 감소 결과를 바탕으로 하여 피드백 과정을 거쳐 최적의 정보보호 대책을 선택하는 단계

를 포함하는 것을 특징으로 하는 보안 위험 관리 방법.
제6항에 있어서, 상기 (a) 단계 및 (b) 단계는, 자산, 위협, 취약성, 보호대책에 대한 목록을 위험 관리 프로세서로 제공하여 평가자단말에서 위험 관리 프로세서를 통해 처리한 데이터를 바탕으로 의견을 수렴하여 결과를 도출하는 계산 알고리즘을 생성하며, 시설운영자 및 시설관리자가 시설운영자 단말 및 시설관리자 단말을 통해 입력한 설문 결과에 대하여 통계학적으로 계산하여 정보보호 수준을 산정하는 위험 관리 서버와의 연계를 통해 수행하는 것을 특징으로 하는 보안 위험 관리 방법.
제6항에 있어서, 상기 (b) 단계는, 상기 정보보호 대책을 선정하는 과정, 상기 정보보호 대책이 도입되는 경우 예상되는 위험감소 수준을 산정하여 비용대비 효과를 분석하는 과정, 여러 가지 침해 유형을 만들어 피해 영향을 분석하는 과정, 침해 유형에 따른 피해 수준을 분석하고 최대 피해액을 산정하는 과정 및 상기 정보보호 대책이 없는 경우와 있을 때를 비교하여 어느 정도 피해가 감소되었는지를 정량화하는 과정을 포함하는 것을 특징으로 하는 보안 위험 관리 방법.
제6항에 있어서, 상기 (b) 단계에서 최적의 정보보호 대책은 평가책임자 단말을 통해 선택되어지는 것을 특징으로 하는 보안 위험 관리 방법.
제6항에 있어서, 상기 (a) 단계의 정보보호 수준을 산정하는 과정은, 인력, 기간, 대상시설에 대한 범위를 산정하고 위험분석의 수준을 정하는 과정, 자료 수집 및 현장 실사를 통해서 문서와 기록이 실제 자산과 일치하는지를 비교하는 과정, 대상시설을 관리하고 운영하는 인원들을 대상으로 정보보호 의식수준을 분석하는 과정, 대상시설을 설계하고 정보보호 업무를 수행하고 있는 인원들을 대상으로 정보 보호 실태를 확인하는 과정 및 수집된 정보를 토대로 통제항목을 점검하여 조직의 정보보호수준을 산정하는 과정을 포함하는 것을 특징으로 하는 보안 위험 관리 방법.
제6항에 있어서, 상기 (a) 단계의 위험분석을 수행하는 과정은, (a-1) 정보가 저장되는 매체를 대상으로 자산을 분류하는 과정, (a-2) 침해 유형을 분류하는 과정, (a-3) 진단도구를 이용하여 서버 및 네트워크를 진단한 후 나온 결과를 대상으로 상중하로 분류하고 분류 표를 만들어 수준을 산정하는 과정, (a-4) 자산, 위협, 취약성을 토대로 3차원 테이블을 구성하여 계산하는 과정 및 (a-5) 결과를 보고서로 작성하는 과정을 포함하는 것을 특징으로 하는 보안 위험 관리 방법.
제11항에 있어서, 상기 (a-1) 과정에서 자산 중에서 정보통신 기반시설에 대해, 서버, PC, 네트워크 장비 등 하드웨어, OS 및 기본 서비스인 서버, 조직의 목표 및 업무를 지원한 응용 프로그램인 어플리케이션, 조직의 목표 및 업무를 수행하기 위한 정보 및 자료인 데이터로 분류하는 것을 특징으로 하는 보안 위험 관리 방법.
제11항에 있어서, 상기 (a-3) 과정에서 정보통신 기반시설의 중요도(Criticality)는 기밀성, 무결성, 가용성 요소로 값을 표현하는 것을 특징으로 하는 보안 위험 관리 방법.