KR20090000187A

KR20090000187A - 기업조직의 정보보호 평가지표

Info

Publication number: KR20090000187A
Application number: KR1020070008096A
Authority: KR
Inventors: 고일석
Original assignee: 고일석
Priority date: 2007-01-25
Filing date: 2007-01-25
Publication date: 2009-01-07

Abstract

현재까지 대부분의 정보보호 평가체계는 정보보호제품에 중점을 두고 있지만, 기업의 정보보호수준을 평가하기 위해서는 기업 조직 전반에 대한 분석과 이를 기반으로 한 종합적이고 체계적인 평가 체계가 필요하다.

본 발명에서는 기업 전반에 대한 정보보호 요인을 기획, 환경, 지원, 기술, 관리의 수준으로 구분하고 이를 기반으로 지표를 개발하여, 기업조직 전체의 정보보호 수준을 측정함으로서, 기업의 정보보호수준 위치 파악과 이를 통한 발전적인 정보보호 방향을 제시하기 위한 정보보호수준 평가체계를 개발하였다.

기업정보, 기업정보관리, 기업정보기획, 기업정보보호방향

Description

기업조직의 정보보호 평가지표{Information Security Evaluation Indices for an enterprise orgnization}

도 1은 조직의 전반적인 관점에서 나타낸 정보보호 지표체계.

본 발명은 기업 전반에 대한 정보보호 요인을 기획, 환경, 지원, 기술, 관리의 수준으로 구분하고 이를 기반으로 지표를 개발하고자 하는 것에 관한 것으로, 정보보호는 단순히 정보시스템이나 정보기술에 국한된 문제가 아니라 조직 전반에 걸쳐 포괄적으로 검토되어야 하는 문제로 대두되고 있다. 또한 기업의 정보처리 의존도가 점점 증가함에 따라 정보시스템의 보호대책 미비로 인한 손실 또한 증가하고 있다.

조직의 정보보호 목표를 효과적으로 달성하기 위해서는 조직 전반의 정보보호 수준을 정확히 평가하고 이를 개선시킬 방향을 제시하는 기준이나 평가모델이 필요하다. 또한 이를 위해 부문별 정보보호 수준을 평가하고 개선할 수 있는 평가 지표가 요구된다.

대표적인 정보보호 평가 기준으로는 ITSEC, TCSEC, BS7799 등이 있다. 정보보호 시스템 평가의 경우ITSEC, TCSEC, CC 등과 같은 평가 기준이 있으나 이는 정보보호 제품의 보안기능에 대한 기술적 평가를 위해 개발되어 졌으며, 그에 따른 한계를 가지고 있다. 또한 BS7799의 경우는 관리체계의 인증이며, 제품의 인증이 아니다. 따라서 시스템 기능에 대한 평가와 기업의 전반에 대한 평가 곤란하다는 단점이 있다.

기업의 보안은 기업 조직 전체 대한 분석을 기반으로 하여야한다. 기업 조직에 대한 전반적인 보안은 개별 보안 제품의 조합으로만 달성될 수 없으며, 보안 기능을 제공하는 제품/시스템과 관리적인 보안대책이 적절히 융합되어 전반적인 보안관리체계가 제대로 운영되고 있을 때 한 조직의 정보보안이 효과적으로 유지될 수 있다. 또한 한 조직의 전체적인 보안 수준은 조직 고유의 운영 환경과 보안 요구사항에서 도출되는 보안 정책이 적절하게 구현되고 운영되는지를 통하여 평가하여야 한다.

본 발명에서는 기존 문제점의 한계를 극복하여 기업 전반에 대한 정보보호 요인을 기획, 환경, 지원, 기술, 관리 수준으로 세분화하고 이를 기반으로 지표를 개발하여, 기업조직의 전체의 정보보호 수준을 측정할 수 있도록 하였다. 본 발명의 결과를 활용하면 기업의 정보보호수준을 종합적이고 체계적으로 평가하는 것이 가능하다.

정보보호 평가는 크게 두 가지 접근방법에 의해 구분될 수 있었다.

첫 번째는 TCSEC, ITSEC, CC 등과 같이 제품이나 시스템의 보안 기능과 성능 측면을 중심으로 하는 평가 체계이다. 이러한 기존의 평가기준이 주로 제품별 평가기준을 사용함으로 인하여 민간분야에서 요구하는 다양한 제품을 평가할 수 없어 융통성 면에서 제약을 받고 있다. 두 번째는 BS7799과 같이 관리적 측면을 중심으로 한 평가 체계이다.

본 연구는 이 두 가지 측면의 연구와 모두 관련이 되어 있어 각 방법의 특징과 장단점에 대해 살펴본다.

.1 TCSEC (Trusted Computer System Evaluation Criteria)

1983년 미국은 안전한 컴퓨터 시스템을 위한 평가 기준인 일명 “Orange Book"이라 불리는 TCSEC의 초안을 NCSC(National Computer Security Center)에서 제작하였고, 2년 뒤인 1985년에 미국방성 표준(DoD STD 5200.28)으로 채택되었다. TCSEC은 컴퓨터 시스템의 보안성을 효과적으로 평가하고 안정성 및 신뢰성이 입증된 컴퓨터 시스템을 각 기관에 보급을 목적으로 운영체계를 6등급(C1, C2, B1, B2, B3, A1)으로 분류하고 있다. TCSEC은 특히 보안요소 중 비밀성을 강조하고 있다. TCSEC의 특징을 살펴보면, 세계최초의 평가기준으로 여러 가지 자료가 많이 존재하고 여러 사례에 적용시킬 수 있는 해설서가 존재한다. 또한 시행착오를 거치면서 관련된 경험이 축적되어 있다. 그러나 기능성과 보증성의 구분이 없이 고정되어진 기준만을 사용하고 보안의 요소 중 기밀성만을 위주로 개정되어 가용성과 무결성을 중시하는 민간기업에 적용하기 어려운 한계점을 가지고 있다.

.2 ITSEC (Information Technology Security Criteria)

1991년 5월 프랑스, 독일, 영국, 네덜란드의 유럽 국가들은 각국의 보안성 표준을 조화롭게 통합 조정하여 IT시스템에 대한 공동 보안평가 기준인 ITSEC 초안을 발표하였다. 이들 국가들은 유럽국가 간 무역장벽을 피하고 기본적인 표준안과 시험에 관한 지침서로 활용하기 위해 ITSEC을 작성하였다. 그리고 다국적 개발과 이질적인 시스템인 경우 평가과정에서의 중복된 노력을 최소화하기 위해서 이기도 했다. ITSEC에서는 기본적으로 보안 기능에 의한 기준과 보증 요구사항에 의한 기준에 의해 구분 되어진다. ITSEC은 세계최초의 국제 통합기준으로써 기능성과 보증성을 분리하고 있으며 기준을 일반적으로 정의하여 유동성을 유지하며 TCSEC의 내용을 대체로 포함하고 있다. 그러나 기준이 일반적으로 기술되어서 이해하기가 어렵고 보안수준에 의해서 세분화되어 있지 않아 평가 시 주관적인 견해가 포함될 수 있다는 한계점을 가지고 있다.

.3 BS7799

BS7799[9, 10]는 BT, HSBC, Marks and Spencer, Shell International, Unilever등 주요 업체와 더불어 영국의 상무성 주관으로 ‘정보보안관리 실무 규범(A Code of Practice for Information security management)'이라는 제목 하에 조직의 정보보안을 구현하고 유지하는 책임을 지는 관리자들이 참조할 수 있는 보 편적인 문서로 사용되도록 개발되었으며, 조직의 보안 표준의 기반이 되도록 고안되었다. BS7799는 1995년에 처음 제정되어 1999년에 개정되었으며, 영국 이외에 호주, 브라질, 네덜란드, 뉴질랜드, 노르웨이, 핀란드, 인도 등에서 사용되고 있고, 1999년 10월에 ISO 표준으로 제안되어 ISO/IEC 17799-1이 되었다. 영국 정부에서는 전자정부를 향한 노력을 뒷받침하기 위하여 2001년 3월까지 대부분의 정보시스템에 대하여 BS7799 인증을 받도록 하여 국가 핵심 정보 기반구조를 보호하기 위한 수단으로 활용하고 있다. BS7799는 기업이 고객정보의 비밀성, 무결성 및 가용성을 보장한다는 것을 공개적으로 확인하는데 초점을 둔다. 또한 개발 배경은 기업들이 직면하고 있는 대부분의 상황에 필요한 통제를 식별하기 위한 단일한 참조점을 제공하고, 중소기업은 물론 대기업까지 광범위한 범위에 적용될 수 있도록 하여 공통적인 정보보안관리 문서를 참조함으로써 기업들 간의 네트워킹에 있어서 상호 신뢰가 가능하도록 한다. 물론 이 표준에서 제시하고 있는 통제들 모두가 모든 상황에 적용될 수 있는 것은 아니며, 개별적인 환경적 또는 기술적 제약조건을 고려하여 선택하여야 할 것이다. 따라서 BS7799 표준은 지침과 권고안의 성격을 갖는다. BS7799는 관리적 측면을 중심으로 한 평가 체계여서, 제품과 기능에 대한 정보보호에 대한 평가가 어렵다는 한계점을 가지고 있다.

상기에서 살펴본 바와 같이 기존의 평가 체계는 기업 전반에 대한 정보보호 수준을 종합적이고 효과적으로 파악하기에 어려움이 있다.

본 발명에서는 기업 전반의 정보보호 수준을 기업 조직의 전반적인 관점을 통해 평가할 수 있는 체계를 개발하였다.

도 1은 조직의 전반적인 관점에서 나타낸 정보보호 지표체계이다.

상기의 도 1은 기업조직의 보안을 기획, 환경, 지원, 기술, 관리 수준의 다섯 가지 관점에서 정보보호의 전반적인 취약점을 분석하고 그에 따른 정보보호 수준을 평가한다. 각 지표 체계는 정보보호 기획수준 필수성공요인(CSFs)과 BS7799에서 사용되는 지표를 토대로 구성된다.

1 정보보호 기획 수준

정보보호 기획수준의 지표항목은 표 1과 같이 보안정책과 보안계획으로 구성된다. 보안 정책은 정보보호 정책과 관련된 일반사항들을 평가하게 된다.

정보보호 정책의 지표 항목은 정보보호 정책수립 여부와 정책의 검토 및 평 가 그리고 정보보호 정책의 문서화 부분에 대해서 평가한다. 또한 CSFs의 정보보호 환경수준 필수성공요인 평가를 위한 항목을 포함하여 행동지침의 수립, 사고처리 절차의 수립, 예외규정명시여부, 정보 및 자산관리 여부와 정보보호 관련 인력의 서약서 작성여부, 정보보호정책의 준수 여부를 평가한다. 보안 계획 지표 항목의 지표 또한 CSFs의 정보보호환경수준 필수성공요인 평가를 위한 항목을 포함하여 정보보호 계획과 정보보호 투자를 평가한다.

Index System of Information Planning Level

Information security planning level
Information security policy	Security plan
Establishing information security policy or not	Applied-technology development investment amount
Verifying information security policy
Evaluating information security policy
Reflecting the importance of information security	Basic-technology development investment amount
Stating information security
Verifying, and evaluating information security policy documents
Checking technological observance	Information security investment expense
Observing security policy
Establishing action guide
Establishing accident-settling procedure	Information security plan investment amount
Stating exceptions
Managing information and assets	Drawing up a security plan
Drawing up the written oath of related manpower
Observing information security policy
Security policy documents

2 정보보호 환경 수준

정보보호 환경수준의 지표항목은 표 2와 같이 장비보안과 인사보안으로 구성된다. 장비보안은 장비통제, 시설물 보안과 같이 정보보호 시설물 및 기반 장비환경에 대한 사항을 평가하게 된다. 출입증 관리 자동잠금장치, 시설물보안, 네트워크 관리, 인터넷 접속사양, 정보보호시스템 등에 기반 환경 현황에 대해 평가한다. 인사보안은 조직적 보안과 인적보안으로 구성되며 조직적 보안에서는 조직 내에 장비담당자 선정 및 책임할당 등과 같이 세부적인 정보보호 절차의 준수여부를 평가하게 된다.

A Information Security Environment Level Index System

Information security environment level
Equipment security	Personnel security
	Organizational security	Human security
Admission-ticket management	Operating an information security committee	Duty definition and resource allocation security
Automatic locking device	The existence of business alternation policy	Coping with security accidents and errors
Facilities security
Network management	Organization management	Personnel management
Equipment security	Oranizational security
Tangible assets		Human security
Intangible assets	Security organization
Material availability security		Licensor management
Equipment security	Selecting those in charge of equipment, and assigning responsibility

3 정보보호 지원수준

정보보호 지원수준의 지표항목은 표 3과 같이 지원조직과 지원활동으로 구성된다. 조직관리에서는 개발 및 지원프로세스보안, 정보보호 담당자의 임명 및 역할, 보안관련 자격증 수준 등을 평가하게 되며 조직운영에서는 정보보호 활동의 통합/조정 등의 조직운영에 전반적 사항을 평가하며 아웃소싱에서는 아웃소싱의 비율 및 영역에 대해 평가하게 된다. 보안지원활동은 비상대책, 정보보호교육/훈련으로 구성되며 비상대책에서는 비상대책의 유무와 비상시의 기업의 대처능력에 대하여 평가하게 된다. 마지막으로 정보보호 교육/훈련에서는 교육대상자의 선발방식과 정보보호 교육/훈련이 어떠한 범위 내에서 이루어지고 있는지를 평가하게 된다.

Information Security Support Level Index System

Information security support level
Support organization	Support activity
Support activity	Emergency countermeasure	Education training
Development and support process security	Establishing a emergency-settling plan or not	Education operation
Plant/support equipment	Agreements against emergency	Education organization
Development and support process security	Obstacle restoration	Education content


Appointing those in charge of information security	Settling preservation accidents and errors	The selection Method of educatees


Stating the roles of those in charge of information security	Backup and restoration	The yearly mean number of education days


Unification/adjustment of information security activity	Settling preservation accidents and function obstacles	User education training
Security-related license level	Settling preservation accidents and function obstacles	Education/training
		User education/training

Information Security Technology Index System

Information security technology level
Access control operation	System function
Access authority control	Account and password management
Access control function	Applied-system security
N/W access control	Software security
Outsider access security	Authentication technique
Operation system access control	Obstacle restoration
User access management	Virus prevention
Application access control	Encryption function
Network access control	Key management
Physical access security	The backup management of important files
User approach management
User responsibility
Network access control
Operation system access control
Applied-system access control
System access and use supervision

Information Security Management Level Index System

Index items	Indices	Indes items	Indices
Information security policies	Approval and announcement of policy	Access control	Cipher policy
			Cipher use
	The system of policy		Key management
	Maintenance and management of policy		Access control policy
	an organizational system		User access management
	Responsibility and roles		Access control scope
Outsider security	Contract and service level agreement security management	Operation management	Operation procedure and responsibility
	Outsider security practice management		System operation
			Network operation
			Media and document management
Human security	Establishing a education and training program		Virulent software control
			Establishing a business continuity management system
			Establishing and embodying a business continuity plan
			Planning, testing, maintaining and managing business continuity
	Enforcement and evaluation		Mobile computing and remote working
			Information-asset investigation and responsibility assignation
			Information-asset classification and treatment
	Responsibility assignation and stipulation	Transaction security	A written exchange agreement
	Managing a qualification test and those in charge of major duties		Electronic-transaction security management
	Secret-keeping		Electronic mail
Physical security	Physical security measures		The security management of open server
	Data-center security		User official announcement
	Equipment security	Security-accident management	Countermeasure plan and system
	Office security		Countermeasure and restoration
	Analysis and design security management		Post management
	Embodiment and performance security management
	Change management
verification monitoring, and inspection	Observing and verifying legal requirements
	Observing and verifying information security policy
	Monitoring
	Security Inspection

4 정보보호 기술수준

정보보호 기술수준의 지표항목은 표 4와 같이 접근제어 운영과 시스템 기능으로 나누어진다. 접근제어 운영 지표항목은 전반적인 정보보호 기술수준의 전반적인 면을 평가하는 지표로 구성된다. 시스템기능수준 지표항목은 전반적인 계정 관리 및 패스워드에 관한 일반사항들과 접근제어에 필요한 기능적인 측면을 평가하는 지표로 구성된다.

5 정보보호 관리 수준

정보보호 관리 수준의 지표 체계는 표 5와 같이 관리과정 요구사항 및 문서화 요구사항, 그리고 관리적 측면의 정보보호 관리통제의 지표 항목에 대해 BS7799를 바탕으로 재구성되어 있다.

Comparison of evaluation systems.

	TCSEC	ITSEC	BS7799	The proposed method
Features	- Emphasizing secrecy, of information security elements. - Hard to apply to an enterprise organization - Limiting the object of evaluation to products and a system - Emphasizing each country's traits and functional elements	- Evaluating all information security products with a single criterion based - Performing evaluation of a product as a security guarantee part - Limiting the object of evaluation to products and a system - Emphasizing each country's traits and functional elements	- Authentication of a management system - No authentication of a product - Not enough to evaluate system function - Hard to evaluate the whole information security of an enterprise	- Possible to evaluate the information security level of the whole enterprise organization - Possible to evaluate a management system - Possible to evaluate products and a system - Subdividing each evaluation element into 5 levels

6 기존 방법론과 비교

표 6은 기존의 방법론과 본 연구를 통해 제안한 방법을 비교한 것이다. TCSEC는 정보보호 요소 중 기밀성 강조하고 있으며, 기업 조직에 적용하기가 곤란하다는 특성이 있다. ITSEC의 경우 단일 기준으로 모든 정보보호제품을 평가하고 있으며, 제품에 대한 평가는 보안 보증 부분으로 수행한다는 특성이 있다. 또한 이 두 가지는 평가 대상이 제품 및 시스템에 한정되어 있고 각 국가별 특성과 기능적 요인 강조하고 있다는 공통의 특성이 있다. BS7799의 경우는 관리체계의 인증이다. 따라서 시스템 기능에 대한 평가와 기업의 전반에 대한 평가 곤란하다는 특징이 있다. 이 세 가지 기존의 평가 체계는 각각 보완적인 활용이 가능하다. 본 연구를 통해 제안한 체계는 기존의 이러한 체계들의 보완 확장을 통해 평가의 각 요소를 5가지 영역으로 세분화하여 기업 조직 전반에 대한 정보보호 수준 평가가 가능하도록 하고 있다. 따라서 제안 체계는 기존 체계들을 통해 평가할 수 없었던 기업에 대한 정보보호 수준 평가가 가능하다.

본 발명에서는 기존 연구의 한계를 극복하여 기업 전반에 대한 정보보호 요인을 5가지로 구분하고 이를 기반으로 지표를 개발하여, 기업조직의 전체의 정보보호 수준을 측정할 수 있도록 하였다. 본 연구의 결과를 활용하여 기업의 정보보호수준을 종합적이고 체계적으로 평가할 수 있다. 또한 정보보호수준 평가방법론을 활용하여 평가를 객관적으로 진행할 수 있다. 업종별 특성을 고려한 평가항목 수립과 방법론의 보완을 통하여 효과를 극대화할 수 있 수 있을 것이다.

Claims

기업조직의 보안을 정보보호 기획 수준, 정보보호 환경 수준, 정보보호 지원수준, 정보보호 기술수준, 정보보호 관리 수준의 다섯 가지 관점에서 정보보호의 전반적인 취약점을 분석하고 그에 따른 정보보호 수준을 평가하는 것을 특징으로 하는 기업조직의 정보보호 평가지표.
청구항 제 1항에 있어서,

상기 정보보호 정책의 지표 항목은 정보보호 정책수립 여부와 정책의 검토와 평가와 정보보호 정책의 문서화 부분에 대해서 평가하는 것을 특징으로 하는 기업조직의 정보보호 평가지표.
청구항 제 1항에 있어서,

상기 정보보호 환경수준의 지표항목은 장비보안과 인사보안으로 구성되고,

상기 장비보안은 장비통제, 시설물 보안에 대한 사항을 평가하는 것으로 출입증 관리 자동잠금장치, 시설물보안, 네트워크 관리, 인터넷 접속사양, 정보보호시스템에 기반 환경 현황에 대해 평가하고,

상기 인사보안은 조직적 보안과 인적보안으로 구성되며, 상기 조직적 보안에 서는 조직 내에 장비담당자 선정과 책임할당의 준수여부를 평가하는 것을 특징으로 하는 기업조직의 정보보호 평가지표.
청구항 제 1항에 있어서,

상기 정보보호 지원수준의 지표항목은 지원조직과 지원활동으로 구성됨을 특징으로 하는 기업조직의 정보보호 평가지표.
청구항 제 1항에 있어서,

상기 정보보호 기술수준의 지표항목은 접근제어 운영과 시스템 기능으로 구성되고,

상기 접근제어 운영 지표항목은 전반적인 정보보호 기술수준의 전반적인 면을 평가하는 지표로 구성되며,

상기 시스템기능수준 지표항목은 전반적인 계정 관리와 패스워드에 관한 일반사항들과 접근제어에 필요한 기능적인 측면을 평가하는 지표로 구성됨을 특징으로 하는 기업조직의 정보보호 평가지표.
청구항 제 1항에 있어서,

상기 정보보호 관리 수준의 지표 체계는 관리과정 요구사항과 문서화 요구사항, 관리적 측면의 정보보호 관리통제의 지표 항목으로 구성됨을 특징으로 하는 기업조직의 정보보호 평가지표.