정보보호 사전진단 방법론을 활용한 u-City 보안 모델 연구

국문 초록 (Abstract)

유비쿼터스 기술의 보급으로 우리 생활에 밀접한 연관이 있는 도시기반시설이 IT기술과 융합되어가고 있다. 이로 인해 개별 네트워크에서 운영되던 각종 IT 서비스들도 도시기반의 신규 IT서비스로 융합되고 있다. u-City(Ubiquitous City) 구축을 위한 신규 IT서비스 개발시 보안대책 미적용으로 인해, u-City 서비스의 안전성과 신뢰성을 침해하는 사고발생으로 인해, 도시 전체의 기능이 마비될 수 있고 이로 인해 도시민에게 커다란 혼란을 발생 시킬 수도 있다. 이에 u-City안에서 새로이 융합되는 신규 IT서비스의 설계 및 구축단계부터 보안위협 요소를 도출하고, 이에 대한 사전적 대응책을 마련하여 선조치하는 것이 필요하다. 또한 현재 u-City 구축이 추진 중임을 감안하여, u-City 구축을 기획하고 있는 지자체 및 사업자가 참조할 수 있는 보안 모델을 마련하여 공유하는 것도 매우 중요하다.
이에, 본 논문에서 신규 IT서비스의 설계 및 구현 단계에서부터 보안 위협을 분석하고, 선제적 보호대책을 제시하여 서비스의 안전성을 확보가 가능한 정보보호 사전진단 방법론을 제시한다. 또한, 정보보호 사전진단 방법론을 적용하여, 현재 구축되고 있는 u-City 보안위협을 분석하고, 이에 대한 보안대응책을 제시한다. 마지막으로, 정보보호 사전진단 결과 도출된 보안 위협 및 보호대책을 활용하여 u-City 구축 및 운영시 참조할 수 있는 보안 모델을 제시한다.
u-City 보안 모델은, u-서비스 처리기, 정보/상황 처리기 등의 통합운영센터 내부시스템 구성요소와 GIS(Geographic Information System), LBS(Location Based Services) 등의 연계 기반 인터페이스, 경찰청, 소방서 등의 외부기관 인터페이스, 웹 어플리케이션 인터페이스, 상황판, 키오스크 등의 정보출력 인터페이스 등의 u-City 구성요소별 보호대책을 관련 법률, 보안지침 등과 함께 제시하여 보안모델의 실효성과 활용도를 제고한다.
u-City 정보보호 사전진단 결과와 보안모델은, u-City 서비스 아키텍처를 이해하고, u-City 구축 및 운영시 고려해야할 보안위협, 보안대책 및 법률을 이해하는데 활용될 수 있다. 또한, u-City를 구축하거나 운영하는 사업자 및 지자체에서는 u-City의 보안 목표를 설정하고, 안전성을 확보하기 위한 기초자료로 활용이 가능할 것이다.

다국어 초록 (Multilingual Abstract)

With the diffusion of ubiquitous technologies, many city facilities that are closely related with our daily life are being combined with IT technologies. As a result of various IT services running on the separate network are also being integrated into a city-based service
However, serious problems can occur in terms of the stability and reliability of the u-City(Ubiquitous City)service, if the security factor is not fully considered and applied while developing new IT services that will be integrated into u-City projects. It is necessary to countermeasure by Preliminary Evaluation of the Information Security of the New IT Services on design and build stages in the u-City. And, Considered of u-City is being constructed, it is also very important to develop for u-City Security Model, to share of local governments and operators who have responsibility of u-City construction project.
This dissertation proposes, Information Security Pre-Evaluation Methodology which is analysis security threats in the design and implementation phase of new IT services. And also, Present to u-City Security Threats and Countermeasures is applied to Information Security Pre-Evaluation Methodology. Finally, proposes a u-City Security Model based on the Results of Information Security Pre-Evaluation Methodology, u-City security threats and countermeasures. This u-City Security Model is used on u-City building and operating.
The u-City Security model is composed of Security Countermeasures of Integrated Operations Center Internal System Components such as u-Service Processor, the Information/Status Handlers, Tier-Based Interface such as GIS(Geographic Information System), LBS(Location Based Services), Outside Agency Interface such as Police Office, Fire Station, Information Output Interface such as Web Application Interface, Kiosks, The security model is to enhance the effectiveness and utilization provided by u-City related Legal Measures to protect the components, along with the Security Guidelines. Results on Information Security Pre-Evaluation of u-City and u-City Security Model enhance to understand the u-City Service Architectures and Considerations of Security Threats, Security Countermeasures and Laws which are applied to build and operate of u-City.

목차 (Table of Contents)

• Ⅰ. 서론 1
• Ⅱ. 관련연구 3
• 1. 취약점분석평가 방법론 3
• 1.1 VAF 취약점 분석 방법론 3
• 1.2 OCTAVE 취약점 분석 방법론 7
• 1.3 KISA의 취약점분석평가 방법론 10
• 1.4 지식 보안컨설팅 전문업체의 취약점분석평가 방법론 13
• 2. 보안 모델 14
• 2.1 ITU-T의 X.805 보안 모델 14
• 2.1.1 보안 위협 14
• 2.1.2 보안 계층 15
• 2.1.3 보안 평면 16
• 2.1.4 보안 차원 16
• 2.1.5 X.805의 적용방식 16
• 2.2 미국의 EA 보안참조 모델 18
• 2.3 한국의 EA 보안참조 모델 21
• Ⅲ. u-City 정보보호 사전진단 23
• 1. 정보보호 사전진단 방법론 23
• 1.1 정보보호 사전진단 정의 23
• 1.2 정보보호 사전진단 방법론 구조 24
• 1.3 정보보호 사전진단 수행절차 24
• 2. u-City 정보보호 사전진단 29
• 2.1 사전진단 적용 범위 및 절차 29
• 2.2 [1단계] : 서비스 아키텍처 분석 30
• 2.2.1 u-City 서비스 정의 30
• 2.2.2 u-City 서비스 구조 및 구성요소 분석 45
• 2.2.3 u-City 응용서비스 분석 47
• 2.3 [2단계] : u-City 보호대상 선정 52
• 2.4 [3단계] : u-City 보안위협 분석 및 보호대책 도출 53
• 2.4.1 u-City 통합운영센터의 보안위협 및 보호대책 53
• 2.4.2 내/외부 연계에 따른 보안 위협 및 보호대책 59
• Ⅳ. u-City 보안 모델 75
• 1. 개요 75
• 2. u-City 보안모델 76
• 2.1 관리적 영역의 보안 엔티티 77
• 2.2 물리적 영역의 보안 엔티티 83
• 2.3 기술적 영역의 보안 엔티티 86
• 3. u-City 보안 모델의 적용 90
• Ⅴ. 결과 및 고찰 91
• 1. u-City 정보보호 사전진단 적용 결과 91
• 1.1 u-City 정보보호 사전진단 적용의 특징 91
• 1.2 u-City 정보보호 사전진단 비용효과 분석 94
• 1.2.1 BSC 관점의 보안 투자효과 분석 모형 94
• 1.2.2 정보보호 사전진단 보안투자 분석 절차 및 산식 97
• 1.2.3 u-City 서비스의 정보보호 사전진단 비용효과 분석 결과 99
• 2. u-City 보안모델 개발 결과 분석 113
• 2.1 u-City 보안모델의 특징 113
• 2.2 u-City 보안모델 비교 분석 114
• 2.2.1 u-City 보안모델 검증 방법론 114
• 2.2.2 u-City 보안모델 분석 결과 116
• Ⅵ. 결론 121
• 참고문헌 123
• Abstract 125