보안성숙도 모델을 활용한 정보보호 관리수준 점검방법에 관한 연구

국문 초록 (Abstract)

사람과 사물이 다각적으로 이어지는 초 연결 사회 환경이 형성되고 있고, 데이터 주도 시대가 도래하면서 경제적 활용가치가 높은 정보의 수집과 분석, 생산과 유통의 안정성을 확보하기 위한 정보보호 관리의 중요성이 날로 높아지고 있다. 반면 정보보안을 침해하는 공격의 수법은 점차 지능화, 고도화 되고 있어 기업의 입장에서는 중요 정보자산에 대한 악의적인 해킹공격과 불법적인 정보 유출로 인한 피해예방에 심혈을 기울여야 하는 상황이다. 이러한 환경에서 기업은 정보보호 관리체계 인증을 통해 정보보안에 대한 신뢰를 보장받고 있으나 관리체계를 구성하는 세부영역에 대한 수준 평가와 활용은 제한적이다. 이에 반해 보안 성숙도 모델은 기업의 정보보호 수준을 단계적으로 진단할 수 있고 시급히 개선해야 할 영역을 판단할 수 있음은 물론 기업의 특성과 수준에 맞는 목표 설정을 지원하는 도구가 된다. 본 논문에서는 성숙도 모델을 바탕으로 정보보호 분야에 특화되어 개발, 활용되고 있는 보안 성숙도 모델의 사례인 ISM3와 C2M2를 비교하여 특징을 소개하고 정보보호 관리체계 수준점검 목적에 부합하는 참조모델을 결정하였다. 또한 국내 정보보호 관리체계(ISMS) 인증과 이를 비교, 분석하여 정보보호 관리 수준을 점검하기 위한 모형으로의 참조 가능성을 검증하였고 참조모델에 기반한 수준점검 방법을 제안하기 위하여 정보보호 업무를 수행하는 기업 담당자를 대상으로 전문가 의견조사를 실시하였다. 이를 통해 ISMS인증의 정보보호대책 세부영역을 구성하는 점검항목 간 우선순위를 도출하여 단계적으로 정보보호 관리수준을 점검하고 구축을 지원할 수 있는 방법을 제시하였다. 마지막으로, 최근 정부산하 기관 및 산업계와 학계에서 연구 활용중인 정보보호 관리수준 평가모델과 비교를 통해 실효성을 검증하였다. 기업은 개선된 정보보호 관리수준 점검방법을 통해 정보보호 수준을 단계적으로 평가할 수 있으며 이를 통해 효과적으로 정보보호 대책을 수립하고 발전시켜 나갈 수 있을 것이라 기대한다.

목차 (Table of Contents)

• 1. 서론 1
• 1.1 연구 배경 및 필요성 1
• 1.2 연구의 목적, 범위 및 절차 4
• 1.2.1 연구목적 4
• 1.2.2 연구범위 및 절차 4
• 2. 정보보호 관리체계 인증제도 현황과 선행연구 고찰 7
• 2.1 정보보호 관리체계 인증제도 현황 7
• 2.1.1 정보보호 관리체계 및 수준평가 7
• 2.1.2 국제 정보보호 관리체계 인증제도 현황 9
• 2.1.3 국내 정보보호 관리체계 인증제도 현황 12
• 2.2 정보보호 관리체계 인증 및 수준 평가 연구 동향과 연구 방향 19
• 2.2.1 정보보호 관리체계 인증 및 평가 연구 동향 19
• 2.2.2 정보보호 관리체계 선행연구 고찰을 통한 시사점 및 연구 방향 22
• 2.3 정보보안 성숙도 모델 연구 동향 및 고찰을 통한 연구 방향 25
• 2.3.1 정보보안 성숙도 모델에 관한 연구 동향 25
• 2.3.2 정보보안 성숙도 모델을 활용한 연구 방향 26
• 3. 정보보안 성숙도 모델 비교 분석 28
• 3.1 정보보안 성숙도 모델 개념분석 28
• 3.1.1 정보보안 성숙도 모델 개념 및 효과 28
• 3.1.2 정보보안 성숙도 모델의 활용 29
• 3.1.3 성숙도 표현 방법(Staged & Continuous) 30
• 3.2 정보보안 성숙도 모델 현황 31
• 3.2.1 차원구조 성숙도 모델 31
• 3.2.2 컴플라이언스 성숙도 모델 32
• 3.2.3 통합 역량 성숙도 모델 33
• 3.3 주요 정보보안 성숙도 모델 분석 34
• 3.3.1 ISM3(Information Security Management Maturity Model) 34
• 3.3.2 C2M2(Cybersecurity Capability Maturity Model) 41
• 4. ISMS와 정보보호 역량 성숙도 모델(C2M2) 비교 46
• 4.1 C2M2 구성영역과 ISMS 통제분야 연관성 비교 46
• 4.2 C2M2 구성영역과 ISMS 통제분야 비교결과 53
• 5. 보안성숙도 모델을 활용한 정보보호 관리수준 점검 방법 54
• 5.1 점검항목 우선순위 결정을 위한 전문가 의견조사 연구 54
• 5.1.1 의견조사 방법과 표본 응답자 구성 56
• 5.1.2 전문가 의견조사 결과 분석 57
• 5.2 단계별 정보보호 관리수준 점검방법 67
• 5.2.1 단계별 정보보호 관리수준 점검방법 제안 67
• 5.2.2 정보보호 관리수준 점검결과 표현 방법 82
• 5.2.3 정보보호 관리수준 점검방법의 효과성 검토 83
• 6. 결론 91
• Reference 92
• 부록 95