효율적 보안수준관리를 위한 과정 모형에 관한 연구

국문 초록 (Abstract)

새로운 위협이 인지되었을 때 이에 대해 체계적으로 대응할 수 있는 전략과 절차가 필요하며, 현재의 보안대책을 최적화된 형태로 유지하는 것이 더 바람직할 수 있음이 알려졌다. 이후에 보안대책의 구현과 관리체계는 곧 정보시스템 보안을 위해 동시에 고려되어야 하는 항목으로 통합되어 사용되기 시작하였다[1-5]. 보안대책 구현과 관리체계의 통합은 좋은 선택이지만, 완전한 것이라고 하기는 어렵다. 정보시스템에는 여전히 많은 취약점이 내포되어 있으며, 이러한 취약점의 대부분은 정보시스템을 구성하는 단위 제품에 포함되어 있는 경우도 있고, 단위 제품을 연결하여 전체 시스템으로 통합하는 과정에 포함되어 있는 경우도 있다. 아무리 보안대책이 잘 구현되어서 문제없이 관리되고 있다고 하여도, 기본적으로 포함된 취약점들은 여전히 잠재적인 문제의 원인이 될 수 있다. 이러한 문제를 극복하기 위해 정보시스템의 개념을 정립하고 설계를 하는 순간부터 보안을 고려하는 방법이 제안되었으며, 소프트웨어나 정보시스템을 구축할 때 보안요구사항을 도출하여 추가하고, 이를 구현함으로써 수명주기 전 단계에서 보안을 고려하는 방안이 연구되었다[6-9]. 본 논문에서는 수명주기 전 단계에서 효율적으로 사용할 수 있는 보안수준관리 과정 모형을 제시하였다.

다국어 초록 (Multilingual Abstract)

It is more important to build strategies and procedures can be used when new threat is detected. By following these strategies and procedures, operators can manage IS optimally and encounter to the threat systematically. Since than implementation of security countermeasures and management systems were merged to be used together [1-5]. Combination of the security countermeasures and management systems is a good solution but can not be a perfect one. Many vulnerabilities are included in IS as ever. These vulnerabilities can be found from either the sub-systems constitute IS or the process for combination of sub-systems into whole systems. Even though security countermeasures are designed and managed well, vulnerabilities included in somewhere can be the cause of compromise of IS, basically. A new method that considering security from the initial concept design step was proposed to reduce potential vulnerabilities. By applying this method, we can derive and append security requirements when developing IS. And by implementing these security requirements into development processes, we can complement security-related materials in whole life-cycle of IS [6-9]. In this paper, we proposed security level management model can be applied to any step in life-cycle of information systems.

목차 (Table of Contents)

• 요 약
• Abstract
• 1. 서론
• 2. 정의 단계
• 2.1 보안정책 및 보안수준 결정
• 2.2 보안요구사항의 도출과 반영
• 2.3 보안수준관리대상 선정
• 3. 검증 단계
• 3.1 시스템 특성 분석
• 3.2 시스템 개발 과정 분석
• 3.3 기준․방법론 선택
• 3.4 전문인력 배치
• 4. 확인 단계
• 4.1 환경 구성
• 4.2 시험 시행
• 5. 유지 단계
• 5.1 보안수준점검 결과 검증
• 5.2 보안수준 변경 및 대응
• 6. 결론 및 향후 연구 방향
• 참고문헌