보안 중요도에 따른 정보자산 분류 방법론 연구

국문 초록 (Abstract)

최근 각급기관에서는 생산․유통되는 정보를 처리하기 위해 정보시스템을 도입하면서 의존도가 심화되고 있지만 이들 시스템에 대한 DDoS공격․해킹 등 사이버공격이 지속적으로 발생하고 있어 조직의 정상적 운영에 지장을 초래함은 물론 국가의 존립마저도 위태롭게 하는 요인으로 대두되고 있다.
이러한 사이버위협에 대처하기 위한 방안으로 각급기관이 보유하고 있는 정보와 정보시스템을 효과적으로 분류하여 관리하는 것이 중요해지고 있다. 그러나 현재 국가․공공기관에서는 자산분류와 관련하여 구체적인 방법이나 절차가 정립되어 있지 않아 기관별로 현황유지에 급급한 실정이어서 날로 교묘해지는 사이버공격을 차단하는데 한계가 있는 것이 현실이다.
본 논문에서는 공공․민간분야의 자산분류와 관련된 평가 및 인증제도의 수행실태를 분석하여 우리 실정에 맞는 구체적인 분류절차와 방법을 연구하였다. 그 결과, 기관 특성별로 적용할 수 있는 공동지표 8개, 기밀성, 무결성, 가용성 분류지표를 각각 21개씩 마련하였으며, 또한 자산분류 작업을 실무에서 바로 적용할 수 있도록 3단계 절차․방법을 제시하였다.
1단계는 자산을 구분·식별하기 위해 도표로 모델을 예시하였고, 2단계는 식별된 자산에 미치는 잠재적 영향도에 따라 중요도를 상, 중, 하로 판단토록 지표별로 척도와 가중치를 부여하고 가중평점을 적용하여 잠정등급을 정하도록 하였으며, 3단계는 잠정 판단된 등급에 대해 조직 내외부의 환경변화를 고려하여 최종 결정토록 하였다.
본 연구결과를 유관 정부기관에서 사이버보안 정책으로 수립하여 국가․공공영역에 시행한다면 우리의 보안수준이 한층 더 제고될 수 있을 것이다.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 필요성 1
• 제2절 연구의 목적 및 내용 2
• 1. 연구의 목적 2
• 2. 연구의 내용 및 방법 3
• 제2장 사이버공격과 정보자산 4
• 제1절 사이버공격 4
• 1. 사이버공격의 개념 및 주요 유형 4
• 2. 최근 동향 및 주요 사례 7
• 제2절 우리나라의 정보자산 분류 제도 12
• 1. 정보 및 정보시스템의 개요 12
• 2. 정보자산의 분류 제도 개괄 14
• 제3절 외국의 정보자산 분류 제도 16
• 1. 미국의 연방정보보안관리법(FISMA) 16
• 2. 국제표준화기구의 정보보호 국제표준(ISO 27000) 20
• 제3장 우리나라의 정보자산 분류 실태 및 문제점 22
• 제1절 정보자산의 분류 실태 22
• 1. 공공분야의 평가 및 인증제도 22
• 2. 정보통신 기반시설 취약점 분석.평가 26
• 3. 민간분야의 정보보호 관리체계(ISMS) 인증 28
• 제2절 정보자산의 분류 수행상 문제점 30
• 1. 정보 및 정보시스템 분류의 법적 체계 미흡 30
• 2. 적용대상 및 평가항목 유사.중복 31
• 3. 기관 자체 평가의 공정성 미흡 및 획일적인 현장점검 32
• 제4장 보안 중요도에 따른 정보자산 분류 방안 33
• 제1절 정보자산의 분류 절차 및 방법 33
• 1. 정보 및 정보시스템의 구분.식별 33
• 2. 정보 및 정보시스템의 보안 중요도 판단 37
• 3. 정보 및 정보시스템의 중요도 재검토.조정 40
• 제2절 정보의 중요도 결정 지표 40
• 1. 공동 지표 41
• 2. 기밀성 지표 41
• 3. 무결성 지표 42
• 4. 가용성 지표 42
• 제5장 OO기관의 전자문서정보 중요도 검증 사례 46
• 제1절 각 지표별 점수 및 가중치 부여 46
• 제2절 등급 조정 및 중요도 최종 결정 50
• 1. 지표별 등급 종합 50
• 2. 정보 중요도 최종 판단 50
• 제6장 결 론 51
• 부록 52
• 참고문헌 74
• 국문초록 78