내부정보유출 통제를 위한 보안수준 평가방법 개발에 관한 연구

Abstract

최근 2008년에는 민간, 국가 공공기관의 경계를 넘나들며 개인정보는 물론 내부 대외비, 기밀에 해당하는 정보가 노출 또는 유출되는 사건들의 뉴스를 자주 접하고 있다. 과거의 정보보호는 정보시스템 중심의 IT 인프라를 보호하는데 목표를 두었지만 현재의 정보보호는 정보시스템 내에 존재하는 데이터를 보호하는데 초점을 두고 있다. 더불어 이를 취급, 관리하는 내부 직원과 위탁 직원에 대한 보안인식과 윤리의식의 강화를 강조하고 있다. 하지만 조직의 내부정보유출 침해가능성에 대한 취약성을 식별하기 위한 보편적인 평가지표나 평가방법이 존재하지 않아, 이를 해결하기 위한 별도의 보안컨설팅 예산의 수립과 집행이 필요할 수 밖에 없다. 본 연구의 목적은 내부정보유출통제를 위한 보안수준 평가지표를 개발하고 객관적으로 측정 가능한 수준평가방법을 정립하여 안전하고 신뢰할 수 있는 국가 공공기관 대상 내부정보유출통제 보안수준 평가방법을 제시하고자 한다. 본 연구에서는 신뢰할 수 있는 내부정보유출통제 보안수준 평가방법을 제시하고자 국내외 위험분석 및 평가 인증프레임웍에 해당하는 한국정보보호진흥원(KISA) 정보보호관리체계(ISMS) 및 ISO/IEC 27001의 위험분석 및 평가방법 그리고 국가 공공기관에서 정보통신보안의 수준진단을 위한 국가정보원의 보안수준평가 지표에 대한 선행연구와 정보보호관리체계 인증심사 및 각종 보안컨설팅 현장에서의 경험을 토대로 내부정보유출통제를 위한 보안수준평가 방법을 개발하고자 한다. 선행연구를 통해 확인된 내부정보유출통제를 위한 보안수준 평가방법을 활용하여, 주요 국가 공공기관의 내부정보 유출 통제를 강화하기 위한 평가영역별 취약성을 식별하고 이 취약성에 대한 일반적인 개선방안을 함께 제시하여 본 연구결과가 실제 업무현장에서 활용될 수 있도록 하였다. 본 논문이 미흡한 부분이 많기는 하지만, 현재 내부정보유출을 통제하기 위한 국내외 표준체계와 이의 보안수준을 평가하기 위한 지표가 없기 때문에 연구결과로서 도출한 보안수준평가방법이 국가 공공기관에 시범적으로 적용되어 국내 현실에 맞는 정확한 평가방법으로서 활용할 수 있도록 제시하였다.|In 2008, we have experienced lots of security incidence such as leakiness of internal confidential or secrete both private company and government department and we have also seen in public news. In the past period, information security focuses on protecting IT infrastructure. But nowadays, it focuses on protecting data which is in the system. It is also being important for employees to have the mind of security awareness and faithful mind for the company. However, there is no specific methodology to identify possible vulnerability of internal information leakiness. So to solve this problem, the reality needs financial support for security consultation. The purpose for this study is to develop the security level standard of assessment for protecting internal information leakiness which will establish the objectively measurable assessment level method and suggest reliable methodology security level model for internal information leakiness control to the government departments and bureaus. In this study, to develop the trustable security level assessment method for internal information leakiness control, it is pre-studied based on ISMS (Information Security Management System) from KISA (Korea Information Security Agency), risk analysis and assessment model of ISO/IEC 27001 and standard of security level assessment from NIS (National Intelligence Service) and lots of situation in security consultation field. By using security level assessment method for internal information leakiness control, it will be identified vulnerability of major government department’s internal information leakiness and suggested the method which can solve genuine cause of problem. Maybe this study will not be enough to cover up the all problem. However, since there is no specific standard for assessing security level and general architecture for protecting internal information leakiness, this study can be applied to government department for demonstration and hopefully it will be the best assessment method which is fit for the all situation in our country.