• 한국산학기술학회논문지
• /
• 제11권2호
• /
• pp.703-708
• /
• 2010

정보원천의 다양화와 정보시스템 취약성의 증가는 비즈니스 위험을 증가시킨다. 성공적인 비즈니스는 적정한 비즈니스 위험관리를 통해서 가능하다. 그러나 비즈니스 위험관리는 재무적 관점에서 시행되고 있고, 정보보호관리제도는 정보보호의 관점에서만 이루어져 통합적인 비즈니스 위험관리를 수행하기에 부적절하다. 본 연구는 통합적인 비즈니스 위험관리기법을 개발하기 위하여 정보보호관리제도인 ISMS, EA, ISO27001, COBIT, SPICE, 정보시스템감리, SSE-CMM 등을 비즈니스 위험관리관점에서 분석하였다. 본 연구에서 분석된 정보보호관리제도는 비즈니스 위험관리를 위한 원천으로 활용가능하다.

• 인터넷정보학회논문지
• /
• 제7권1호
• /
• pp.31-38
• /
• 2006

정보화 발전으로 정보통신 시스템에 대한 의존도가 높아지고, 이에 대한 위협, 취약성, 위험이 증가하고, 조직의 정보노출 및 보안침해 사고가 증가하고 있는 추세이다. 이러한 정보통신시스템에 대한 위협, 취약성, 위험을 분석하고 제거하기 위한 보안위험분석의 중요성이 부각되고 있다. 위험분석도구는 조직에 내재한 위험을 식별하여 보안침해 사고 발생을 사전에 예방하기 위한 도구로서 주요 정보시스템을 분석 평가하고, 위협, 취약성, 보안대책을 제시하여 조직의 위험 수준을 감소하는 데 도움을 준다. 본 논문은 국제공통평가기준 CC 스키마를 도입하여 정형화된 위험분석 프로세스를 정의하고, 정보보안 관리자가 쉽게 위험분석을 적용 할 수 있도록 보안위험분석 도구를 제안한다.

• 한국IT서비스학회지
• /
• 제7권1호
• /
• pp.117-130
• /
• 2008

Multi-attribute risk assessments provide a useful framework for systematic quantitative risk assessment that the security manager can use to prioritize security requirements and threats. In the first step, the security managers identify the four significant outcome attributes(lost revenue, lost productivity, lost customer, and recovery cost). Next. the security manager estimates the frequency and severity(three points estimates for outcome attribute values) for each threat and rank the outcome attributes according to AHP(Analytic Hierarchy Process). Finally, we generate the threat index by using muiti-attribute function and make sensitivity analysis with simulation package(Crystal Ball). In this paper, we show how multi-attribute risk analysis techniques from the field of security risk management can be used by security managers to prioritize their organization's threats and their security requirements, eventually they can derive threat index. This threat index can help security managers to decide whether their security investment is consistent with the expected risks. In addition, sensitivity analysis allows the security manager to explore the estimates to understand how they affect the selection.

• 한국컴퓨터정보학회논문지
• /
• 제23권11호
• /
• pp.75-84
• /
• 2018

Social engineering attack means to get information of Social engineering attack means to get information of opponent without technical attack or to induce opponent to provide information directly. In particular, social engineering does not approach opponents through technical attacks, so it is difficult to prevent all attacks with high-tech security equipment. Each company plans employee education and social training as a countermeasure to prevent social engineering. However, it is difficult for a security officer to obtain a practical education(training) effect, and it is also difficult to measure it visually. Therefore, to measure the social engineering threat, we use the results of social engineering training result to calculate the risk by system asset and propose a attack graph based probability. The security officer uses the results of social engineering training to analyze the security threats by asset and suggests a framework for quick security response. Through the framework presented in this paper, we measure the qualitative social engineering threats, collect system asset information, and calculate the asset risk to generate probability based attack graphs. As a result, the security officer can graphically monitor the degree of vulnerability of the asset's authority system, asset information and preferences along with social engineering training results. It aims to make it practical for companies to utilize as a key indicator for establishing a systematic security strategy in the enterprise.

• 시큐리티연구
• /
• 제10호
• /
• pp.189-213
• /
• 2005

경영환경의 변화에 따른 다양한 위험들을 효과적으로 파악하고 이에 대응할 수 있는 위험관리 시스템을 갖추는 것이 기업의 성공과 실패를 결정하는 필수 조건으로 부각됨에 따라, 다양한 위험들을 효과적으로 평가하고 대응책을 제시함으로써 체계적인 위험관리가 이루어져야 하며, 이제는 전사적 위험관리가 새로운 트렌드로 자리잡아가고 있다. 위험요소 분석의 첫 번째 단계는 위험요소를 인지하는 작업으로, 이는 모든 경비시설내에서 손실에 대한 취약성을 확인하는 것을 말한다. 두 번째 단계는 위험요소에 대한 사정이 있어서 손실의 발생가능성을 고려하는 것이고, 세 번째 단계는 손실의 위험성을 평가하는 것이다. 취약성을 평가하고, 손실발생가능성을 측정하고, 그 손실로 인한 위험성을 계량화(수치화)한 위험분석의 결과를 토대로 위험요소별 평가등급을 정하고 최종적으로 위험수준을 결정하게 된다. 위험수준은 경비안전시스템에 대한 보완대책 수립의 기초가 된다. 손실에 대비하고 손실을 최소화하기 위한 위험관리대책을 수립함에 있어 보험이 가장 주요한 수단이기는 하나, 모든 위험을 다 보험에 맡길 수는 없다. 오히려 경비의 비용효과를 고려하고, 경비화일을 활용하여 발전적인 위험관리대안을 제시해야 한다. 이 때 위험요소의 원천을 제거하는 것이 최상의 방책이며, 그 경로를 차단하는 것이 차선이다. 아울러, 안전에 관한 회사내규를 강화하고, 안전과 위험관리에 관한 교육을 지속적이고 반복적으로 실시하여야 한다. 위험관리는 사업의 손실후 연속성을 위해 가장 효율적인 손실전 준비를 하는 것이다. 따라서 가장 비용효과적이고 생산적인 위험관리 방안을 제시하는 것이 무엇보다 중요하며, 이 기능은 지속적으로 유지 발전되어야 한다. 경영환경의 변화에 따른 다양한 위험들을 효과적으로 파악하고 이에 대응할 수 있는 위험관리 시스템을 갖추는 것이 기업의 성공과 실패를 결정하는 필수 조건으로 부각됨에 따라, 다양한 위험들을 효과적으로 평가하고 대응책을 제시함으로써 체계적인 위험관리가 이루어져야 하며, 이제는 전사적 위험관리가 새로운 트렌드로 자리잡아가고 있다. 위험요소 분석의 첫 번째 단계는 위험요소를 인지하는 작업으로, 이는 모든 경비시설내에서 손실에 대한 취약성을 확인하는 것을 말한다. 두 번째 단계는 위험요소에 대한 사정이 있어서 손실의 발생가능성을 고려하는 것이고, 세 번째 단계는 손실의 위험성을 평가하는 것이다. 취약성을 평가하고, 손실발생가능성을 측정하고, 그 손실로 인한 위험성을 계량화(수치화)한 위험분석의 결과를 토대로 위험요소별 평가등급을 정하고 최종적으로 위험수준을 결정하게 된다. 위험수준은 경비안전시스템에 대한 보완대책 수립의 기초가 된다. 손실에 대비하고 손실을 최소화하기 위한 위험관리대책을 수립함에 있어 보험이 가장 주요한 수단이기는 하나, 모든 위험을 다 보험에 맡길 수는 없다. 오히려 경비의 비용효과를 고려하고, 경비화일을 활용하여 발전적인 위험관리대안을 제시해야 한다. 이 때 위험요소의 원천을 제거하는 것이 최상의 방책이며, 그 경로를 차단하는 것이 차선이다. 아울러, 안전에 관한 회사내규를 강화하고, 안전과 위험관리에 관한 교육을 지속적이고 반복적으로 실시하여야 한다. 위험관리는 사업의 손실후 연속성을 위해 가장 효율적인 손실전 준비를 하는 것이다. 따라서 가장 비용효과적이고 생산적인 위험관리 방안을 제시하는 것이 무엇보다 중요하며, 이 기능은 지속적으로 유지 발전되어야 한다.

• 대한가정학회지
• /
• 제41권11호
• /
• pp.49-60
• /
• 2003

The purposes of this study were (1) to assess the perceived evaluation of family financial risk safeguards and (2) to identify demographic variables, financial security and financial communication which were an influence on the perceived evaluation of family financial risk safeguards. The data were collected from 598 housewives using an on-line survey. The major findings of this study were as follows: first, the perceived evaluation of financial risk safeguards was lower than the median(2.80). Especially, the perceived evaluation of financial risk safeguard for children's education had the highest score. Second, the variables which were an influence on the financial communication of husbands and wives were‘financial security’ and ‘years which they have been married’. Third, the perceived evaluation of financial risk safeguards was significantly different according to financial security and the financial communication of husbands and wives.

• 대한안전경영과학회지
• /
• 제14권3호
• /
• pp.119-126
• /
• 2012

Recently, the breakdown of online banking servers and the leakage of customer information give rise to much concern about the security of information systems in financial and banking companies in Korea. The enforcement of security for information system becomes much more important issue than earlier. However, the security reinforcement of information system is restricted by a budget. In addition, the activities' cost to secure information system from threatening are under uncertain circumstances and should be established by a human decision maker who is basically uncertain and vague. Thus, making the budget for information system is exposed to any extent of the risk for these reasons. First, we introduce brief fuzzy set theory and fuzzy AHP (Analytic Hierarchy Process) methodology. Then, the cost elements that comprise yearly budget are presented and the priorities among the cost elements are calculated by fuzzy AHP. The cost elements that are exposed to risk are evaluated from the both perspectives of the risk impact and risk occurrence possibility which are expressed as linguistic terms. To get information on the risk profiles-pessimistic, most likely, and optimistic-for each cost element, the evaluation is accomplished and the result is presented. At last, the budget ranges-minimum, mode, maximum-for each cost element are estimated with the consideration of the risk profiles.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권1호
• /
• pp.406-434
• /
• 2019

In general, an information security approach estimates the risk, where the risk is to occur due to an unusual event, and the associated consequences for cloud organization. Information Security and Risk Management (ISRA) practices vary among cloud organizations and disciplines. There are several approaches to compare existing risk management methods for cloud organizations but their scope is limited considering stereo type criteria, rather than developing an agent based task that considers all aspects of the associated risk. It is the lack of considering all existing renowned risk management frameworks, their proper comparison, and agent techniques that motivates this research. This paper proposes Agent Based Information Security Framework for Hybrid Cloud Computing as an all-inclusive method including cloud related methods to review and compare existing different renowned methods for cloud computing risk issues and by adding new tasks from surveyed methods. The concepts of software agent and intelligent agent have been introduced that fetch/collect accurate information used in framework and to develop a decision system that facilitates the organization to take decision against threat agent on the basis of information provided by the security agents. The scope of this research primarily considers risk assessment methods that focus on assets, potential threats, vulnerabilities and their associated measures to calculate consequences. After in-depth comparison of renowned ISRA methods with ABISF, we have found that ISO/IEC 27005:2011 is the most appropriate approach among existing ISRA methods. The proposed framework was implemented using fuzzy inference system based upon fuzzy set theory, and MATLAB(R) fuzzy logic rules were used to test the framework. The fuzzy results confirm that proposed framework could be used for information security in cloud computing environment.

• 한국멀티미디어학회논문지
• /
• 제17권12호
• /
• pp.1494-1502
• /
• 2014

Since smartphones are utilized in the ranges from personal usages to governmental data exchanges, known but not patched vulnerabilities in smartphone operating systems are considered as major threats to the public. To minimize potential security breaches on smartphones, it is necessary to estimate possible security threats. So far, there have been numerous studies conducted to evaluate the security risks caused by mobile devices qualitatively, but there are few quantitative manners. For a large scale risk evaluation, a qualitative assessment is a never ending task. In this paper, we try to calculate relative risk levels triggered by software vulnerabilities from unsecured smartphone operating systems (Android and iOS) among 51 Asian countries. The proposed method combines widely accepted risk representation in both theory and industrial fields. When policy makers need to make a strategic decision on mobile security related agendas, they might find the presented approach useful.

• 전자공학회논문지CI
• /
• 제41권6호
• /
• pp.13-22
• /
• 2004

본 연구는 기존의 위험분석 방법론들이 갖는 절차상의 복잡성을 최소한으로 줄이기 위하여, 정보시스템보안관리를 위한 위험분석방법론을 제안한다. 제안한 위험분석방법론은 사전처리단계, 대응책설정단계, 사후처리단계의 3단계로 구성된다. 사전처리단계에서는 기본위험분석단계와 상세위험분석 단계로 나누어 실행하도록 하였다. 기본위험분석단계에서는 정보보안 체계가 구축되지 않았거나 단기간에 최소한의 보안 제어를 위한 수단이 필요한 경우 설정된 항목들을 점검하도록 하는 기본적인 보안 관리 단계이다. 상세위험분석단계에서는 자산, 취약성, 위협의 요소들을 분석하고 이를 기반으로 작성된 위험정도 산출표를 이용하여 위험의 정도를 13가지의 경우로 분류한다. 대응책설정단계에서는 위험의 정도에 따라 13가지의 위험정도를 수용, 무시, 감소 또는 이양 등으로 대응방법을 설정한 후, 물리적, 관리적, 기술적으로 대응책을 실행하도록 하였다. 마지막으로 사후관리 단계에서는 침투 테스트로 잔류위험을 평가하고, 보안정책수립과 감사 및 사고대응을 위한 대책이 이루어지도록 하였다.