• Journal of Information Processing Systems
• /
• 제16권1호
• /
• pp.61-82
• /
• 2020

The security risk management used by some service providers is not appropriate for effective security enhancement. The reason is that the security risk management methods did not take into account the opinions of security experts, types of service, and security vulnerability-based risk assessment. Moreover, the security risk assessment method, which has a great influence on the risk treatment method in an information security risk assessment model, should be security risk assessment for fine-grained risk assessment, considering security vulnerability rather than security threat. Therefore, we proposed an improved information security risk management model and methods that consider vulnerability-based risk assessment and mitigation to enhance security controls considering limited security budget. Moreover, we can evaluate the security cost allocation strategies based on security vulnerability measurement that consider the security weight.

• 융합보안논문지
• /
• 제11권1호
• /
• pp.39-48
• /
• 2011

QoS(Quality of Service)는 ITU-T Rec. E.800에 의해 서비스를 사용하는 형태, 특성 그리고 요구 수준에 따라 사용자의 요구에 부응하여 제공할 수 있는 네트워크 서비스의 성능지표로 표현된다. 네트워크를 활용하는 정보시스템에서 최종적인 목표는 요구되는 시간내에 목적하는 성능을 확보하는 것이다. 본 연구에서 제안하는 보안 QoS 프레임워크는 측정 메트릭스, 측정스케쥴, 측정도구, 측정의순서, 측정 결과분석에 관련된 사항으로 구성된다. 보안 QoS에서 네트워크보안의 정보보호기능과 시스템기능을 분리하여 관리하지 않고 연계하여 종합 메커니즘으로 구성 및 적용할 경우 종합적인 정보보호 효율은 시너지효과로 나타난다. 본 연구는 정보보호기능과 제반 시스템기능을 연계하여 정보보호기능을 적용했을 경우의 연동메커니즘 구현방법 개발과 그 성과를 측정하기 위한 것이다. 본 연구에서 제안한 네트워크 보안 효율성 제고를 위한 보안 QoS측정방안 연구 방법론을 통해 체계적인 측정환경을 설계할 경우 운용시스템상에서 보안 효율성 측정이 가능함이 입증되었고 측정 메커니즘을 통해서 개선된 네트워킹기능과 정보시스템 기능을 위한 효율성제고 방법론 개발이 가능함을 보여주고 있다.

• 정보보호학회논문지
• /
• 제20권6호
• /
• pp.127-146
• /
• 2010

정보보호 안전진단 제도를 적용받는 정보통신서비스 기업의 지속적인 정보보호 수준을 제고하고, 정보보호 안전진단 성과측정 방법을 개발하여 안전진단대상 기관들이 스스로 수준측정을 하여 지속적인 정보보호 개선활동을 하도록 측정 지표 및 방법론을 제시하였다. 본 논문에서는 안전진단 수검 전후와 수검후의 지속적인 기업이 정보보호에 대한 투자와 노력에 대한 성과를 측정하여 기업 자체적으로 측정가능하게 하여 정보보호관리체계를 지속적이고 종합적으로 유지하고 관리하도록 하였다. 또한 정부에서도 제도 전반적인 이행의 근거와 타당성을 확보하여 안전진단 자체가 정보 보호 수준을 한단계 높이는 실질적인 안전진단이 이루어 지도록하여 보안 사고를 사전에 예방하고 기업성과를 향상시키는데 도움을 주고자 한다.

• 융합보안논문지
• /
• 제12권6호
• /
• pp.11-17
• /
• 2012

네트워크보안 성능평가는 복잡하고 다양한 시스템 환경에서 특정한 단일성능 측정 만으로는 성능평가 측정자체의 의미와 평가결과의 신뢰성이 한계일 수 밖에 없다. 본 논문에서는 보안 QoS의 MOS 측정기법을 사용한 보안기능 만족도 측정방법을 제시한다. 그 내용은 네트워크보안 QoS 만족도에 대한 MOS(Mean Opinion Score) 평가사양 및 운용방법을 개발하여 향후 정보시스템에 대한 고객의 만족도 평가에 활용될 수 있는 QoS 측정/분석 모델을 운용현장에서 활용토록한다. 시스템공급자(개발업체)와 시스템소비자(사용자) 모두가 성능측정 결과를 이용할 수 있도록 가능한 수준의 객관화된 형태의 기준과 방법체계를 개발한다. 개발내용은 보안기능, 네트워킹 기능과 이 두 기능을 종합적으로 평가하는 3개영역의 성능이 상호 연계되는 성능측정 방법론이다. 본연구의 제안 방법론을 사용하여 체계적인 측정환경을 설계 할 경우 운용시스템상에서 보안 QoS의 만족도 산출이 가능하다. 앞으로 다양한 성능측정 기준과 성능측정 방법을 추가적으로 확장하여 네트워크 보안시스템 만족도 평가방법을 업그레이드 시켜나가야 할 것 이다.

• 융합보안논문지
• /
• 제14권4호
• /
• pp.41-53
• /
• 2014

조직의 정보보호 목표를 효율적이고 효과적으로 달성하기 위해서는 정보보호 수준을 정확히 평가하고 개선 방향을 제시하는 정보보호 성과평가 지표와 측정방법이 필요하다. 그러나 이러한 요구사항에도 불구하고 국내 기업의 정보보호 활동에 대한 성과나 효과를 측정하기 위한 표준적인 지표나 활용 가능한 측정 방법이 미흡한 실정이다. 이로 인해 기업에서는 지속적인 보안투자 결정을 이끌어 내는데 큰 어려움을 겪고 있다. 본 연구의 목적은 이러한 각 기업 환경에 적합한 합리적인 성과평가를 위하여 성과평가에 영향을 주는 다양한 관점에서 성과평가지표를 도출하고, 평가지표간 중요도에 따른 가중치 부여를 통하여 평가 지표와 측정방법을 개발하는 것이다. 정보보호 활동의 다양한 성과 요인을 균형 있게 평가하기 위해 Norton과 Kaplan(1992)이 개발한 균형성과표 (BSC : Balanced Scorecard) 모형을 활용하였다. 본 연구 결과는 국내 기업들이 정보보호 수준을 파악하고 주기적인 성과측정을 통해 자사의 정보보호 현황 파악과 추이 분석이 가능하고 정보보호 투자 등 전략을 수립하는데 적용할 수 있다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제11권9호
• /
• pp.4588-4608
• /
• 2017

The measurement of information security levels is a very important but difficult task. So far, various measurement methods have studied the development of new indices. Note, however, that researches have focused on the problem of attaining a certain level but largely neglecting research focused on the issue of how different types of possible flaws in security controls affect each other and which flaws are more critical because of these effects. Furthermore, applying the same weight across the board to these flaws has made it difficult to identify the relative importance. In this paper, the interrelationships among security flaws that occurred in the security controls of K-ISMS were analyzed, and the relative impact of each security control was measured. Additionally, a case-control study was applied using empirical data to eliminate subjective bias as a shortcoming of expert surveys and comparative studies. The security controls were divided into 2 groups depending on whether or not a security flaw occurs. The experimental results show the impact relationship and the severity among security flaws. We expect these results to be applied as good reference indices when making decisions on the removal of security flaws in an enterprise.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제8권1호
• /
• pp.305-325
• /
• 2014

In cloud computing infrastructure, current virtual machine trust measurement methods have many shortcomings in dynamism, security and concurrency. In this paper, we present a new method to measure the trust of virtual machine. Firstly, we propose "behavior trace" to describe the state of virtual machine. Behavior trace is a sequence of behaviors. The measurement of behavior trace is conducted on the basis of anticipated trusted behavior, which not only ensures security of the virtual machine during runtime stage but also reduces complexity of the trust measurement. Based on the behavior trace, we present a Dynamic Tree Style Trust Measurement Model (DTSTM). In this model, the measurement of system domain and user domain is separated, which enhances the extensibility, security and concurrency of the measurement. Finally, based on System Call Interceptor (SCI) and Virtual Machine Introspection (VMI) technology, we implement a DTSTM prototype system for virtual machine trust measurement. Experimental results demonstrate that the system can effectively verify the trust of virtual machine and requires a relatively low performance overhead.

• 한국산학기술학회논문지
• /
• 제10권8호
• /
• pp.1911-1919
• /
• 2009

현재의 정보보호시스템 위험 분석 수준 측정에 대한 시험 평가업무는 미국, 영국을 비롯한 선진국에서만 평가 기술을 확보하고 있으나, 국내의 경우 위험분석 수준측정을 위한 인프라와 평가기술이 부족한 실정이다. 따라서 본 논문에서는 정보보안 위험분석 수준 측정 기술 및 평가방법에 대해 연구하고 이를 이용하여 보안통제항목의 개발 및 이를 적용한 보안 수준 성능 평가 도구를 제시한다. 제시한 도구를 이용한 정보보호 시스템의 보안 관리 수준 분석을 통해 현 시스템과 보안 환경에 대한 보안 관리 수준을 평가할 수 있을 것으로 기대된다.

• 한국전자거래학회지
• /
• 제17권1호
• /
• pp.137-150
• /
• 2012

사회적요구와 기술 개발로 체계적인 개인정보관리와 보안 지침강화에도 불구하고, 개인정보 유출과 침해의 문제는 다양한 형태로 나타나고 있다. 이러한 개인정보를 관리함에 있어, 어떠한 정보를 보호할 것인가 하는 문제는 민감한 핵심 요소이다. 본 논문에서는 개인정보를 구성하는 각 속성정보의 관리 정책을 결정할 기준으로 속성정보의 동적 보안수준 측정법을 제시한다. 동적 보안수준 측정법은 개인정보의 가변적 특성을 측정 요소로 채택한다. 이 기법을 적용함으로, 개인의 각 속성정보 보안수준의 변화에 능동적으로 대처할 수 있는 정보관리 기능을 제공할 수 있다. 이는 기존 정보관리기법의 보안성을 더욱 높일 수 있으며, 통합 ID 관리 시스템이나 전자지갑과 같은 통합 시스템의 보안성 향상에 기여할 것으로 기대된다.

• 한국전자통신학회논문지
• /
• 제3권4호
• /
• pp.210-220
• /
• 2008

본 연구는 최근의 내부 보안위협 추세를 고려하여 인원보안 관리 수준을 효과적으로 측정할 수 있는 인원보안 관리 지표를 개발하는 목적으로 수행되었으며 이론적인 고찰과 기존의 보안관리 체계와 연구 자료를 분석하여 문제점을 도출하고 개선방향을 설정하였다. 연구할 관리항목 지표는 보안 전문가들의 예비 조사를 거쳐 연구 관리지표를 선정하고, 타당성 검증을 위하여 설문조사를 실시하였다. 도출된 관리항목 지표는 인원 보증(Personnel Assurance), 개인 역량(Personnel Competence), 보안 환경(Security Environment)으로 분류하였으며, 지표별 타당성, 중요성, 보안위험 수준에 대한 설문 조사결과를 분석하였다. 조사 결과, 대부분의 관리 지표들이 바람직한 것으로 나타났다. 향후 관련 항목 간의 요인분석 등을 통하여 보다 발전된 인원 보안 관리의 계량화 연구가 필요하다.