• Review of KIISC
• /
• v.9 no.2
• /
• pp.68-68
• /
• 1999

최근 발생한 많은 정보 시스템 침해 사고로 인해 특정 목적 ·환경에 맞게 개발된 상용 보호 제품의 추가만으로는 시스템을 효과적으로 보호할 수 없다는 것이 실증되었다. 따라서, 조직의 정보시스템 환경에 보다 뛰어난 보호를 제공하기 위한 보호 관련 활동을 시스템 개발 과정과 통합하여 초기 단계부터 중요하게 고려해야 한다는 주장이 널리 제기되었다. 이를 위해 시스템 개발 초기단계부터 운용유지에 이르는 전 단계에 걸쳐 안전한 시스템 구축을 위한 체계적인 보호공학 방법론이 필요하게 되었다. 본논문에서는 획득자를 대상으로 시스템 수명 주기 전반에 걸쳐 단계별로 고려해야할 보호 고려사항과 수행활동을 체계화한 시스템 개발 기반 보호공학 방법론을 소개한다.

• Review of KIISC
• /
• v.9 no.2
• /
• pp.69-82
• /
• 1999

최근발생한 많은 정보시스템 침해 사고로 인해 특정 목적 ·환경에 맞게 개발된 사 용보호 제품의 추가만으로는 시스템을 효과적으로 보호할수 없다는 것이 실증되었다, 따라 서 조직의 정보시스템 환경에 보다 뛰어난 보호를 제공하기 위한 보호 관련 활동을 시스템 개발 과정과 통합하여 초기 단계부터 중요하게 고려해야 한다는 주장이 널리 제기 되었다, 이를 위해 시스템 개발 초기단계부터 운용유지에 이르는 전단계에 걸쳐 안전한 시스템 구축 을 위한 체계적인 보호공학 방법론이 필요하게 되었다. 본논문에서는 획득자를 대상으로시 스템 수명 주기 전반에 걸쳐 단계별로 고려해야할 보호 고려사항과 수행활동을 체계화한 시 스템 개발 기반 보호공학 방법론을 소개한다.

• Review of KIISC
• /
• v.14 no.1
• /
• pp.107-122
• /
• 2004

세계 각 국은 산업 및 정보의 의존성에 의해 모든 정보를 한눈에 볼 수 있는 시대로 변모하였으며, 사이버 공간 그 자체가 정치, 경제사회, 문화 등의 기본적인 생활 공간으로 자리 매김하고 있다. 따라서 사이버 공간을 보호하지 않을 경우 안정된 정보사회 구축은 불가능하다. 특히, 정보보호의 대상이 특정 국가적인 정보 보안에 국한되지 않고 기업 및 사회의 정보 등으로 확대되고 있어, 국가적으로 국가 안보뿐만 아니라 개인의 정보보호를 위한 새로운 제도와 조치가 절실히 요구되는 시점이다. 따라서 본 고에서는 복합 기능을 갖는 정보보호 제품의 보호 프로파일 개발을 위한 기반 연구로 요구되는 대체 평가 방법론에 대해 고찰해 보고자한다. 특히 북미를 중심으로 표준화가 진행 중에 있는 CEM을 기준으로, 영국을 중심으로 유럽의 적합성 표준으로 추진 중에 있는 SCT와 ISO/IEC에서 제시되고 있는 적합성 테스트 방법론인 ISO/IEC 9496 및 보증 프레임워크인 ISO/IEC 15443에 대한 자체 취약성 분석을 수행하고 자각의 평가 방법론간의 상호 연관성과 비교 분석을 통해 복합 기능을 갖는 정보보호 제품의 보호 프로파일 개발의 가이드라인을 제시하고자 한다.

• Review of KIISC
• /
• v.31 no.5
• /
• pp.21-31
• /
• 2021

컴퓨터 기술의 발전에 따라 ML(Machine Learning) 및 AI(Artificial Intelligence)의 도입이 활발히 진행되고 있으며, 정보보호 분야에서도 활용이 증가하고 있는 추세이다. 그러나 이러한 모델들은 black-box 특성을 가지고 있으므로 의사결정 과정을 이해하기 어렵다. 특히, 오탐지 리스크가 큰 정보보호 환경에서 이러한 문제점은 AI 기술을 널리 활용하는데 상당한 장애로 작용한다. 이를 해결하기 위해 XAI(eXplainable Artificial Intelligence) 방법론에 대한 연구가 주목받고 있다. XAI는 예측의 해석이 어려운 AI의 문제점을 보완하기 위해 등장한 방법으로 AI의 학습 과정을 투명하게 보여줄 수 있으며, 예측에 대한 신뢰성을 제공할 수 있다. 본 논문에서는 이러한 XAI 기술의 개념 및 필요성, XAI 방법론의 정보보호 분야 적용 사례에 설명한다. 또한, XAI 평가 방법을 제시하며, XAI 방법론을 보안 시스템에 적용한 경우의 결과도 논의한다. XAI 기술은 AI 판단에 대한 사람 중심의 해석정보를 제공하여, 한정된 인력에 많은 분석데이터를 처리해야 하는 보안담당자들의 분석 및 의사결정 시간을 줄이는데 기여할 수 있을 것으로 예상된다.

• Review of KIISC
• /
• v.23 no.5
• /
• pp.5-8
• /
• 2013

모바일, 클라우드, BYOD 등 새로운 IT 환경으로의 변화로 인해 기존의 정보보호 접근방법의 효과성에 대해 의문이 대두되고 있다. 침입차단시스템, 안티 바이러스 등 알려진 침입패턴에 근거한 기술적 대책 중심의 접근방법으로는 복잡하고 지능화되어가는 최근의 공격에 효과적으로 대응하기에는 태생적 한계를 가지고 있다. 또한 가중되는 보안대책으로 인해 창의적인 업무 수행을 방해하고 사용자의 자율성을 감소시키는 부작용도 초래하고 있다. 따라서 새로운 환경변화에 효과적으로 대처하고 지속가능한 정보보호관리 프로그램을 수립하기 위해서는 새로운 패러다임의 도입이 필요하다고 할 수 있다. 본 고에서는 가트너에서 제시한 일련의 혁신적인 정보보호 접근방법을 소개함으로써 새로운 패러다임을 제시하고 이에 기반한 새로운 정보보호관리 프로그램 구성요소와 이의 구현을 위한 로드맵을 제시한다.

• Review of KIISC
• /
• v.22 no.6
• /
• pp.15-21
• /
• 2012

정보기술(IT) 인프라가 기업의 핵심 인프라로 자리 잡으면서 기업은 고객에게 다양하고 유용한 서비스 및 재화를 제공하기 위하여 개인정보에 대한 의존도 및 활용도를 높이고 있다. 더불어 개인정보를 보호하기 위한 투자 요구도 높아지고 있으며, 이를 위해서 조직은 개인정보의 보호에 대한 측정 및 평가 방법을 수립하는 것이 필요하다. 본 연구에서 다양한 정보보호 투자의 성과측정 방법 및 IT 성과측정 방법의 기존 연구를 고찰하여 개인정보보호 투자에 따른 성과측정에 가장 적절한 방안으로 경제효율성평가(WiBe) 프레임워크를 선정하고, 그 타당성을 제시한다.

• Journal of Convergence for Information Technology
• /
• v.10 no.8
• /
• pp.1-6
• /
• 2020

The government is carrying out information security consulting support projects to solve the difficulties of SME information protection activities. Since the information security consulting methodology applied to SMEs does not apply the proven methodology such as the critical information and communication infrastructure(CIIP), ISMS, ISO27001, etc. It applies various methods for each consulting provider. It is difficult to respond appropriately depending on the organizational situation such as the type and size of SMEs. In order to improve such problems of SME information security consulting and to improve more effective, effective and standard methodology, the information security consulting methodology applied in the current system was compared and analyzed. Through the improvement plan for SME information security consulting method suggested in this study, it is possible to provide information security consulting suitable for all enterprises regardless of SME size or business type.

• Review of KIISC
• /
• v.19 no.1
• /
• pp.40-58
• /
• 2009

증가하는 인터넷 해킹사고와 전자정부의 확산 등으로 정보보호에 대한 필요성이 증대하고 있으며, 산업체 또는 정부에서 정보보호를 담당하는 인력의 수요가 필요하다. 본고에서는 정보보호 인력 양성의 방법으로 정보보호 관련 정규과정에 의한 방법이 아닌 정보보호 자격 검정에 의한 방안을 다룬다. 국외의 공인정보시스템보안전문가(CISSP), 공인정보시스템 감사사(CISA) 및 국내의 정보보호전문가(SIS) 등 국내외 3개의 정보보호 자격에 대한 비교연구를 통하여 정보보호전문가 자격제도의 발전 방안을 제시하고자 한다.

• Review of KIISC
• /
• v.4 no.1
• /
• pp.44-52
• /
• 1994

정보화 사회에서는 가계, 기업, 정보 등의 정보 활동의 주체들이 가진 정보자산은 데이타 베이스(이하DB)와 소프트웨어(S/W)로 대변할 수 있으며, 이중 DB는 정보화 사회의 기반시설의 하나라고 볼 수 있다. 특별히 통계DB는 각 주체들에게는 필수적인 정보를 갖고 있다. 금융자산의 정보, 국방에 관련된 병력, 장비, 군수물자등의 정보, 회계정보 뿐 아니라 인구센서스, 경제계획수립 등등의 다양한 분야에 이 통계 DB는 사용되고 있다. 이러한 통계DB는 기존의DB에서의 데이타의 저장, 관리, 추출 기능외에 통계적인 데이타의 분석기능이 요구되고 있다. 통계 처리를 위한 데이타베이스관리 시스템(DBMS, database management system)은 주로 기존의 DBMS 에 통계처리를 위한 기능을 추가하거나 통계를 위한 DB를 따로 구축하는 방법을 사용하고 있다. 따라서 일반적인 DB 보호 기술과 더불어 통계 의 환경을 이해하는 보호 기술이 요구되고 있다. 일반적으로 DB 를 보호하는 방법으로는 물리적인 보안(physical security)과 운영체계 보안(operating system security) 이 있으며, 이들과 함께 데이타 암호화(data encryption)의 방법을 사용하고 있다. DB 의 보안 방법에 관한 연구 중 George I. Davida 등에 의한 방법은 중국인의 나머지 정리(chinese remainder thorem)를 사용하는 암호화 알고리즘을 이용하여 레코드(record) 단위의 암호화를 하며, Khamis A. Omar등에 의한 방법은 읽기, 쓰기, 갱신의 3단계의 사용자 등급을 부여하여 DB 접근의 제약을 가하는 기능을 갖고 있다. 본고에서는 특히 그 중요성이 더해가고 있는 통계 의 일반적인 개념을 살펴보며, 특성 지향형 질의 모델(characteristic-specified query model)의 보호기술을 살펴본다. 특별히 본고는 통계 DB의 보호에 대한 일반적인 조사 연구로서 잘 알려진 사실들을 많은 참고 문헌과 더불어 소개하는 내용으로 통계 DB의 보호에 관한 새로운 연구 결과는 아니다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.17 no.1
• /
• pp.133-138
• /
• 2007

As a formal document that expresses a set of security requirements for IT products that meets specific consumer needs in the ISO/IEC 15408(CC, Common Criteria) evaluation, protection profiles are developing by many national agencies and companies recently. Since a protection profile is a criteria for security evaluation when the IT systems and products are introduced, the importance of the protection profile is increasing. However, developing protection profiles are still difficult due to lack of detailed methodology and guidance to analyze security environments or to derive security requirements. In this paper, we analyze foreign instances of developing protection profiles and propose a methodology for deriving security requirements through analyzing the TOE security environment.