• Review of KIISC
• /
• v.11 no.3
• /
• pp.16-23
• /
• 2001

위험관리는 정보기술 보안관리의 초석이라고 할 정도로 매우 중요하고 비용효과적인 보안대책을 구현, 운영하기 위해서는 반드시 실행되어야 하는 과정이다. 특히 최근의 보안관리체계 인증에 대한 수요가 점증되면서 위험관리의 중요성이 대두되고 있다. 본 고에서는 위험관리 과정에 대한 표준문서의 내용을 요약 정리하였고 새로운 위험관리 기법의 발전방향인 시나리오 기반의 위험관리에 대해 소개하며 기존의 대표적인 위험분석 자동화 도구에 대한 비교분석을 수행하였다.

• Information Systems Review
• /
• v.14 no.2
• /
• pp.21-46
• /
• 2012

Organizations that make widely use of information technologies can be more efficient. But, the dependence of information technologies leads to an increase in threat of security. This is the reason why organizations are investing in security risk management (SRM) which is designed to protect of information assets. Noting a lack of empirical research in SRM, we investigate the key factors having a direct effect on performance of SRM. Particularly, this study focused on identifying factors influencing awareness of SRM and Intention to develop SRM in Organization. Based on relevant literature review, six motivating factors, including Behavior for Security Management, Compliance with Security Policy, perceived Benefits, Perceived Sacrifice, Social Pressure, Experience of Security Risks, were initially identified. The results indicated that most perception factors were positively related to Organization's intention to develop SRM and awareness of SRM, which then had positive impact on performance of SRM. But Perceived Sacrifice was not significantly related to two variables which is Organization's intention to develop SRM and awareness of SRM.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2008.06a
• /
• pp.69-77
• /
• 2008

정보보호를 효율적이고 효과적으로 실천하는 방법으로 정보자산을 기준으로 위험관리를 수행하는 GMITS(ISO 13335)과 정보보호 관리체계 수립을 위한 ISMS(ISO 27001), 정보보호 능력성숙도 모델을 제시하는 SSE-CMM 등의 국제 표준이 존재한다. 그러나 각 표준은 위험관리를 위한 절차를 제시하거나 관리체계 수립방안, 그리고 능력성숙 수준을 제시하는 등 관리, 기술, 운영의 종합적인 보안방안을 제시하지는 못하고 있다. 또한 현 보안문제를 최고 관리자 수준에서 판단할 수 있는 종합적인 방안을 제시하지 못하고 있다. 본 논문에서는 정보시스템 보안평가를 통해 보안 기술, 관리, 운영측면의 문제점을 종합하여 위험관리가 가능하도록 하는 방안을 제안하고, 또한 제안한 위험관리를 통해 도출된 문제점을 최고관리자 수준에서 직관적으로 판단 할 수 있는 방안을 제시하여 정보보호 예산과 연계할 수 있는 방법을 제안한다.

• Journal of Information Technology and Architecture
• /
• v.10 no.4
• /
• pp.451-466
• /
• 2013

기업들은 정보기술 리스크(IT Risk)에 대하여 어떻게 대처하고 있을까? 금융기관이나 공공기관은 태생적으로 이미 위험관리를 적극적으로 수행하고 있다. 정보기술에 대한 위험관리도 지난 10년동안 전산망 마비, 해킹 사고, 디도스 공격, 고객정보 유출 등을 겪으면서 적극적으로 대응해 왔다. 특히 2011년 농협사태는 IT 성과보다는 IT 보안을 훨씬 중요하게 보는 계기가 되었다. IT 보안 인력과 예산이 대폭 강화되고 망분리 사업이 추진되는 것이 대표적인 사례이다. 하지만 그동안 IT 위험관리는 특정 기술에 대한 사전 대응 및 사후 대응 강화에 집중되었다. 현재 IT 위험관리는 단편적 관리에서 종합적 관리로 전환되고 있다. 최근에 많은 기업들이 전사 차원의 정보기술 리스크 거버넌스(IT Risk Governance) 체계를 구축하고 있거나 구축하는 계획을 갖고 있다. 하지만 아직도 IT보안은 전사적으로 통합되지 못하였으며, IT 위험관리 프로세스는 조직에 내재화 되지 못 하였고, IT 성과관리와 연계성은 고려하지 못하고 있다. 본 논문에서는 IT 관리와 기술을 효과적으로 연계하기 위하여, 그리고 IT 성과와 IT 위험을 균형되게 관리하기 위하여 엔터프라이즈아키텍처(EA: Enterprise Architecture) 활용을 제안하고자 한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2001.11a
• /
• pp.29-32
• /
• 2001

본 논문에서는 현재 대두되고 있는 IT 보안정책중 위험관리의 한 분야인 위험분석 과정을 살펴보았다. 그 중에서도 위험분석의 핵심 역할을 수행하는 취약점 분석 과정에 대해서 연구하였다. 먼저 보안관리와 위험관리의 일반적인 개념을 설명하였고, 다음은 취약점 분석의 중요성을 설명하면서 효율적인 취약점 분석을 위해 단계별 분석과정을 도식화하였다. 그리고 각 분석 단계마다 간략한 모듈을 만들어 단순하면서도 체계적인 분석 방법을 제시하였다

• Proceedings of the Korean Institute of Navigation and Port Research Conference
• /
• 2019.11a
• /
• pp.134-136
• /
• 2019

The International Maritime Organization (IMO) issued 2017 Guidelines on maritime cyber risk management. In accordance with IMO's maritime cyber risk management guidelines, each flag State is required to comply with the Safety Management System (SMS) of the International Safety Management Code (ISM) that the cyber risks should be integrated and managed before the first annual audit following January 1, 2021. In this paper, to identify cyber security management targets and risk factors in the maritime sector and to conduct vulnerability analysis, we catagorized the cyber security sector in management, technical and physical sector in maritime sector based on the industry guidelines and international standards proposed by IMO. In addition, the Risk Matrix was used to conduct a qualitative risk assessment according to risk factors by cyber security sector.

• Journal of the Korea Society of Computer and Information
• /
• v.12 no.2 s.46
• /
• pp.333-339
• /
• 2007

Risk of damage on information system being grow according to increasing its dependence rate on most of organization. On this work, make planed for a safety assessment system in which information protection management system and threat analyzing method. Also, during threat assesment, we have planned possible an equal-weight applied assesment and considering the characteristics of the organization, an assesment which security factor's weight is variably applied to, and respective organizations to examine its security by itself in order to support the easy findings of the vulnerabilities on the management point of view, and to show the advices to practice.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2002.04a
• /
• pp.59-62
• /
• 2002

최근 네트워크 구성이 복잡해짐에 따라 정책기반의 네트워크 관리기술에 대한 필요성이 증가하고 있으며, 특히 네트워크 보안관리를 위한 새로운 패러다임으로 정책기반의 네트워크 관리 기술이 도입되고 있다. 보안정책 서버는 새로운 정책을 입력하거나 기존의 정책을 수정, 삭제하는 기능과 보안정책 결정 요구 발생시 정책결정을 수행하여야 하는데 이를 위해서는 보안정책 실행시스템에서 보내온 경보 메시지에 대한 분석 및 관리가 필요하다. 따라서 이 논문에서는 정책기반 네트워크 보안관리 프레임워크의 구조 중에서 보안정책 서버의 효율적인 보안정책 수림 및 수행을 지원하기 위한 경보데이터 관리기를 설계하고 구현한다. 그리고 경보 데이터 저장과 분석을 위해서 데이터베이스 스키마를 설계하고 저장된 경보데이터를 분석하는 모듈을 구현한다. 또한 불량사용자나 호스트의 관리를 위하여 블랙 리스트 매니져를 구현하며 블랙리스트 매니져는 위험한 불량사용자와 호스트를 탐지하여 관리하는 기능을 제공한다 구현된 경보 관리기나 고수준 분석기는 효율적인 보안정책관리를 지원하게 된다.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2002.05d
• /
• pp.959-964
• /
• 2002

본 논문에서는 정보보호관리체계와 위험분석방법을 적용한 안전성 평가 도구를 설계하였다. 또한, 위험평가시 동일한 가중치를 적용한 평가와 조직의 특성에 따라 보안요소의 가중치를 가변적으로 적용한 평가를 할 수 있도록 하였으며, 각 조직이 자체적으로 보안 점검을 할 수 있도록 설계함으로서 관리적 측면에서 취약점을 쉽게 찾을 수 있도록 지원하며, 수행해야 할 권고를 제시한다.

• Review of KIISC
• /
• v.20 no.6
• /
• pp.73-87
• /
• 2010

정신한은행은 '10년 1 월부터 6월까지 약 6개월 동안 "위험관리 기반의 침해사고 조기 대응체계 구축" 프로젝트를 수행하여 침해 시도 조기 탐지 및 대응을 위한 "침해사고 조기 경보 시스템" 및 "침해 사고 대응 프로세스 전산화"와 침해 사고의 사전 예방 강화를 위한 "정보시스템 상시 취약점 점검 체계"를 모두 하나의 프레임웍으로 묶어 통합 구축하였다. 신한은행은 이를 통해 내부망 및 인터넷 서비스망에 대해서 이마 알려진 네트웍 침입 패턴뿐만 아니라 네트웍 트래픽 전반에 대한 모니터링을 대폭 강화하여 기존 침입탐지 시스템이나 디도스 대응 시스템 등에서 탐지가 불가능했던 신종 침입 유형이나 소규모 디도스 공격 트래픽도 자동화된 탐지가 가능하게 되었다. 그리고 탐지된 침입시도의 유행 및 위험 수준에 따라서 사전 정의된 침해사고 대응 프로세스를 통해, 정보보안 담당자가 관련 부서 및 경영진의 요구사항에 각각 최적화된 전용 상황 모니터링 화면을 공유하며 침해사고를 효과적으로 공동 대응할 수 있게 되었다. 또한 정보시스템 전반에 대하여 상시 취약점 점검을 실시하고 그 점검 결과를 데이터베이스로 구축하고 정보시스템의 위험 수준에 따른 체계화된 대응 방안을 수립할 수 있게 되었다. 신한은행은 금번 구축된 시스템을 정보보안 영역 전반으로 확대하여 동일 프레임웍에서 위험관리 기반의 내부 정보 유출 체계를 구축하고, 향후 그룹사에도 확대 적용하여 전체 그룹사의 보안 수준을 제고하는 데 활용할 계획이다. * 금번 구축 사례에서 소개된 침해사고 조기 대응체계는 구축 완료 시점에 사내 명칭 공모를 통해 "Ageis"로 선정되었으며, 본 사례에서도 전체 시스템을 가리킬 때 Ageis로 지칭한다. Aegis는 그라스 신화에서 Zeus 신이 딸 Athena 신에게 주었다는 방패로서 보호, 후원, 지도 등의 뜻을 가지며, 이지스 또는 아이기스 라고 발음된다.