국내 정보보호 교육체계 연구

김동우(Dong-woo Kim),채승완(Seung-woan Chai),류재철(Jae-cheol Ryou) 한국정보보호학회 2013 정보보호학회논문지 Vol.23 No.3

최근의 사이버 공격은 내부 직원을 목표로 하거나 불특정 다수의 PC를 이용하는 등 지능화, 대규모화 되고 있어 기술적인 보안대책만으로 대응하는데 한계가 있으며, 관련 인력이 중심이 되는 종합적인 대책이 필요하다. 그러나 정보보호 전문 인력을 양성하는데 있어서 근간이 되는 국내의 정보보호 교육체계는 정보보호 교육 중장기 계획 부재, 교육 프로그램에 대한 검증 부족, 교육기관 간의 정보 교류 부재 등 여러 가지 문제점을 가지고 있다. 본 논문에서는 국내 정보보호 교육체계의 문제점을 해결하고 사이버 정보보호 환경을 개선하기 위한 정보보호 교육 발전 방안을 제안한다. 본 논문에서 제안하는 정보보호 교육체계 발전 방안은 국가 정보보호 교육 마스터플랜의 기획 및 추진, 정보보호 교육 프로그램 인증제도 도입, 정보보호 전문인력 DB 운영, 정보보호 전문 인력에 대한 다양한 혜택 개발 등의 세부 방안을 포함한다. There is a limitation on counteracting recent cyber-attacks with only technical security measures because they become more intelligent and large-scale to aim at employees instead of systems directly or to be conducted with unspecified multiple PCs. Thus, comprehensive measures revolved around related manpower are necessary to deal with them. However, domestic information security education system which is the base of professional manpower training lacks medium-and long-term plans for information security education, verification of education programs, and information sharing among educational institutions. This paper suggests information security education development plans for resolving problems on domestic education systems and improving cyber information security environment such as a national information security education master plan, certification system introduction of education programs, and professional manpower database management.

개인정보보호법을 대비한 개인정보보호 시스템에 관한 연구

김동례(Dong Rye Kim),심기창(Gi Chang Shim),전문석(Moon-seog Jun) 한국정보보호학회 2011 정보보호학회지 Vol.21 No.6

개인정보보호법이 2011년 3월 국회 법사위에서 통과되어 2011년 9월 30일 시행예정에 있다. 시행예정에 있는 개인정보보호법은 기존 공공기관의 개인정보보보호에 관한 법률을 포함하게 된다. 기존의 개인정보보호 관련 법규 및 시행령은 크게 관리적 보호조치와 기술적 보호조치로 구분된다. 기술적 보호조치의 주요 기반기술은 개인정보보호시스템, 접근통제, 암호화, 출력매체, 접근 및 이용, 웹사이트 노출방지대책 등으로 분류할 수 있다. 본 연구에서는 개인정보보호 기술적 조치사항의 주요기반기술에 대해 기술 및 솔루션, 시스템을 살펴보고 최근 웹 사이트 및 내부 업무시스템에서의 개인정보보호 시스템 특징을 연구하고 단계적 적용을 제안하였다. 본 연구를 통하여 2011년 9월 30일 시행되는 개인정보보호법에 대비하여 기술적 보호조치 단계를 제시함으로써 개인정보 담당자 및 정보보호 담당자에게 한정된 예산과 일정기간에 단계별로 개인정보보호 수준을 높이는 참조 모델로 활용될 수 있을 것으로 기대된다.

기업의 정보보호수준 및 성숙도 진단을 위한 정보보호수준 통합평가시스템 개발에 관한 연구

정희조(Heejo Chung),김진영(JinYoung Kim),임춘성(ChoonSeong Leem) 한국정보보호학회 2004 정보보호학회지 Vol.14 No.4

조직의 정보보호 목표를 효율적이고 효과적으로 달성하기 위해서는 조직의 정보보호 수준을 정확히 평가하고 이를 개선시킬 방향을 제시하는 기준이나 평가모델이 필요하다. 또한 이를 위해 부문별 정보보호 수준을 평가하고 개선할 수 있는 평가 지표나 기준이 필요하고 우리나라에서 적용 가능한 정보보호 시스템들의 평가방법론이 연구되어야한다. 따라서 본 연구에서는 정보보호와 관련된 기술적 요소와 관리적 요소, 물리적 요소를 기본으로 하는 정보보호 지표체계를 구성하고 정보보호수준을 종합적이고 체계적으로 평가하기 위한 정보보호 성숙 5단계 모형을 통해 서로 매핑될 수 있는 정보보호수준 통합평가시스템을 개발하였다. 이러한 통합평가시스템은 기존연구와의 비교 및 사례적용을 통해 그 실효성을 검증하였다.

공공분야 개인정보보호 정책 집행과제의 우선순위 분석

신영진(Young-Jin Shin),정형철(Hyeong-Chul Jeong),강원영(Won-Young Kang) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.2

본 연구는 2008년부터 2011년까지 행정안전부에서 시행하고 있는 공공기관의 개인정보보호 수준진단 지표의 정책적 의미를 고찰하고, 각 지표의 중요도 선정에 따른 개인정보보호의 정책적 문제를 다루었다. 우선, 개인정보보호 수준진단 지표를 선정하기 위해 개인정보보호에 대한 정책 방향을 개인정보보호의 정책 및 기술적 측면, 개인정보의 관리적 측면, 개인정보 침해 대응적 측면인 세 분야로 구분하였다. 그리고, 각 정책방향에 따라 선정된 지표의 세부사항에 대해 학자, 전문가, 실무자를 대상으로 AHP 조사를 실시하여 우선적으로 추진해야 할 정책을 정하도록 하였다. AHP를 통해 개인정보보호 수준 진단 지표의 중요도를 도출하였으며, 개인정보보호정책의 일반적인 체계를 갖추기 위해 필요한 정책과제를 도출하였다. 결과적으로 공공기관의 개인정보보호의 제도적 기반 확충을 위해서는 웹사이트 상의 개인정보관리, 개인정보보호를 위한 전담 조직 및 인력, 그리고 개인정보보호시스템 도입 등이 우선 시 된다.본 연구의 정책과제를 기초로 공공기관의 개인정보보호 수준진단 체계가 지속된다면 개인정보를 취급하는 공공기관에 대한 국민의 신뢰가 높아지고, 개인정보의 안전한 유통 및 가치가 향상되리라 기대한다. This study is to consider political implication of indicators to measure personal information security in public sector studied by Ministry of Public Adminstration and Security from 2008 to 2011. The study analyzed the priority of personal information security policy dividing into personal information security infrastructure, personal information management with life cycle, correspondence of information infringement by scholars, experts, and chargers. As the results, to progress personal information security policy is important to management of personal identification information on web site; specially institutional infrastructure as responsible organization, exclusive manpower, and security budget; personal information security infrastructure. As like the results, it would be reflected in the progress of personal information security policy and tried to provide systematic management program with improving safe information distribution and usefulness.

정보보호관리체계(ISMS) 항목의 중요도 인식과 투자의 우선순위 비교 연구

이중정(Choong-Cheang Lee),김진(Jin Kim),이충훈(Chung-hun Lee) 한국정보보호학회 2014 정보보호학회논문지 Vol.24 No.5

최근의 개인정보 유출과 같은 정보보안 사고들이 기업의 매출 감소와 이미지 손실에 직접적인 영향을 주는 심각한 위험 관리 요소가 됨에 따라 체계적인 정보보호 관리를 위해 정보보호관리체계를 도입하는 기업들이 증가하고 있다. 그러나 기업 내 정보보호 인식과 달리 적은 투자로 인해, 한정된 예산으로 다양한 정보보호 요소들을 효과적으로 관리할 수 있는 방안이 중요해지고 있다. 본 연구에서는 정보보호관리체계의 13개 항목들에 대해 정보보호전문가들의 중요도 평가를 통해 우선순위를 도출하여, 단계적으로 정보보호관리체계를 구축할 수 있는 방향을 제공한다. 그리고 각 항목들에 대한 투자 정도도 평가하여 중요도와 투자 간의 우선순위 차이를 비교·분석하였다. 연구 결과 침해사고 관리가 가장 중요한 것으로 나타났으며, 투자 정도에서는 IT 재해복구가 가장 높은 것으로 확인되었다. 그리고 정보보호 중요도와 투자 간의 우선순위 차이가 큰 정보보호 항목은 암호통제, 정보보호정책, 정보보호교육, 인적보안으로 확인되었다. 본 연구 결과는 정보보호관리체계 도입을 고려하거나 운영 중인 기업들이 한정된 예산을 고려하여 효과적인 정보보호 투자에 대한 의사결정 자료로 활용될 수 있을 것으로 기대한다. Recently, organizational efforts to adopt ISMS(Information Security Management System) have been increasingly mandated and demanded due to the rising threat and the heavier cost of security failure. However there is a serious gap between awareness and investment of information security in a company, hence it is very important for the company to control effectively a variety of information security threats within a tight budget. To phase the ISMS, this study suggests the priorities based on evaluating the Importance of 13 areas for the ISMS by the information security experts and then we attempt to see the difference between importance and investment through the assessment of the actual investment in each area. The research findings show that intrusion incident handling is most important and IT disaster recovery is the area that is invested the most. Then, information security areas with the considerable difference between priorities of importance and investment are cryptography control, information security policies, education and training on information security and personnel security. The study results are expected to be used in making a decision for the effective investment of information security when companies with a limited budget are considering to introduce ISMS or operating it.

정보보호 분야 지식 및 기술 수요

유혜원(Hye-Won Yoo),김태성(Tae-Sung Kim),전효정(Hyo-Jung Jun) 한국정보보호학회 2009 정보보호학회지 Vol.19 No.1

다년간의 국가정보화 노력으로 우리나라는 이미 IT 강국으로서 선진 정보강국과 어깨를 나란히 하고 있다. 인터넷의 발달과 이를 통한 전자상거래 및 인터넷뱅킹 등 IT 산업의 급격한 발전이 이를 뒷받침해주고 있다. 이러한 추세에 따라 각종 정보보호 제품 및 기술의 개발과 정보보호의 중요성을 인식한 정보보호관리 정책의 수립도 함께 이루어져왔다. 향후 유비쿼터스 사회를 맞이하여 국민 삶의 질적 수준을 한 단계 끌어올리기 위해서는 보다 안정된 정보사회 기반을 마련해야 할 것이다. 이를 위해서 정보보호의 중요성을 확산시키고 정보보호를 담당하는 전문인력을 양성하는 데에 주력해야 할 것이다. 본 연구는 정보보호 인력의 질적 양성을 위해 보다 체계적인 정보보호 교육의 필요성을 높이 인식하여, 정보보호 전문인력이 갖추어야 할 지식 및 기술에 대해 분석하고 있다. 우선, 정보통신 및 정보보호 관련 선행 연구를 통해 55개의 정보보호 분야 지식 및 기술을 도출하고, 산업계 및 학계의 전문가 대상의 검토를 통해 총 71개의 지식 및 기술을 최종 도출하였다. 본 연구의 결과는 정보보호 분야의 실무 수행에 필요한 지식 및 기술 항목들을 제시함으로써, 수요 지향적인 정보보호 교육 프로그램 개발 및 운영에 활용될 수 있을 것이다.

한국정보보호학회 2007년도 제2차 정례 이사회 외

편집부(편집자) 한국정보보호학회 2007 情報保護學會誌 Vol.17 No.2

정보보호 전문가(SIS) 자격 검정제도 발전 방안

박순태(Soon-Tai Park),박준형(Jun-Hyung Park),노봉남(Bong-Nam Noh) 한국정보보호학회 2009 정보보호학회지 Vol.19 No.1

증가하는 인터넷 해킹사고와 전자정부의 확산 등으로 정보보호에 대한 필요성이 증대하고 있으며, 산업체 또는 정부에서 정보보호를 담당하는 인력의 수요가 필요하다. 본고에서는 정보보호 인력 양성의 방법으로 정보보호 관련 정규과정에 의한 방법이 아닌 정보보호 자격 검정에 의한 방안을 다룬다. 국외의 공인정보시스템보안전문가(CISSP), 공인정보시스템 감사사(CISA) 및 국내의 정보보호전문가(SIS) 등 국내외 3개의 정보보호 자격에 대한 비교연구를 통하여 정보보호전문가 자격제도의 발전 방안을 제시하고자 한다.

정보통신망법 개정에 따른 기업 정보보호 제도 현황 및 정보보호 관리체계의 인증기준 비교

김환국(Kim Hwan Kuk),고규만(Ko Kym Man),이재일(Lee Jae Il) 한국정보보호학회 2013 정보보호학회지 Vol.23 No.4

최근 사이버공격은 지능화, 대규모화되고 있는 반면, 경기침체 등으로 인해 기업의 정보보호 투자가 저조하고 인터넷 침해사고 예방활동이 미흡한 실정이다. 정부는 취약한 기업의 정보보호 환경을 개선하기 위해 정보보호 안전진단 제도를 폐지하고 정보보호 관리체계(ISMS) 인증제도로 일원화하였으며, ISMS 인증기업을 대상으로 한 정보보호 관리등급제, 정보보호 사전점검, 임원급 정보보호 최고책임자(CISO) 지정 등 신설하였다. 본 고에서는 개정 정보통신망법에 따라 신설ㆍ보완된 기업 정보보호 관련 제도현황과 변경된 정보보호 관리체계 인증기준에 대해 소개하고자 한 다.

국내 정보보호 교육 표준 프레임워크 개발; 연령 및 직무 맞춤의 이원화(Two-track) 교육과정을 중심으로

박민정(Minjung Park),이기혁(GI Hyouk Lee),채상미(Sangmi Chai) 한국정보보호학회 2021 정보보호학회논문지 Vol.31 No.5

최근 사용자의 인터넷 의존성 증가와 각종 IT 디바이스의 보급과 확산에 따라, 과거에 비하여 개인 생활 전반에 정보보호가 미치는 영향력이 확대되었다. 이와 더불어 보안을 위협하는 침해 요인들이 지속적으로 복잡, 다양해지고 가짜뉴스 확산, 온라인 신분 도용, 사이버 불링 등을 비롯한 개인의 안전한 온라인 환경을 위협하는 요소들이 사회적으로 증가함에 따라, 정보보호 전문 인력 양성의 필요성이 증가하고 있다. 나아가 기업의 정보보호 업무 종사자 이외에 사회의 모든 구성원이 정보보안의 위협에서 자유로울 수 없게 됨에 따라, 개인의 정보보호에 대한 인식 제고와 자발적인 정보보호 행동을 유도하기 위한 다양한 정보보호 교육 과정의 마련이 필요하다. 따라서, 본 연구에서는 현재 이루어지고 있는 국내·외 정보보호 교육 과정의 현황과 특징에 대하여 분석한다. 이를 통하여 정보보호 교육필요성과 교육 체계 수립의 전략을 모색하여 본 연구에서는 국내 환경에 적용 가능한 정보보호 교육 표준 프레임워크를 제시하고자 한다. 이는 개인의 정보보호 인식과 지식 수준을 제고하여 국내 정보보호 전문 인력 양성과 더불어 개인과 조직, 사회 전반의 정보보안 수준을 향상시켜 국가 경쟁력 향상에 기여할 것으로 판단된다. With the recent increase in users’ dependence on the Internet and the spread of various IT devices, the influence of information security on the users’ has expanded compared to the past. Therefore, it is expected to have an increased influence on information security in personal life. In addition, as the intrusion factors that threaten security continue to become more advanced and diversified (eg., fake news, cyberbullying, identity theft), the need for nurturing information security experts is increasing. Furthermore, not only corporate information security workers, but also all individuals, cannot be free from the threat of information security. Therefore, it is necessary to prepare various information security education to improve information security awareness and induce proactive information security behaviors. In this study, characteristics of domestic and foreign information security education courses are analyzed and provide a standardized framework for information security education applicable to the domestic environment.