중소기업 정보보호 수준 객관적 평가 방법 연구

국문 초록 (Abstract)

현대 기업 경영에서 IT 인프라에 대한 의존도가 심화됨에 따라 기업의 중요 정보 자산에 대한 불법적인 정보 유출과 악의적인 해킹공격으로 인한 피해가 급증하고 있으며, 기업 경영관리자들의 정보보호 중요성에 관한 인식도 높아지고 있다. 그러나 외부 공격 위험에 대비한 기업 정보보호 수준 평가 항목 및 세부 지표가 부재하며 정보보호 투자 타당성 분석 및 투자 포트폴리오를 측정하기 위한 기업들의 정보보호 전략과 정책이 미흡한 실정이다.
외국의 여러 나라에서는 COBIT, NIST, SSE-CMM, ISO27001, ISO27002 을 통하여 정보보호 관리체계를 진단, 운영하여 국제환경에 적응하도록 했으며, 국내에서는 “정보통신망 이용촉진 및 정보보호 등에 관한 법률”제47조, “정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령”제50조에 의거 국내 평가 및 인증제도가 구축되어 운영되고 있다. 대부분의 중소기업에서는 관리 체계 평가 비용의 부담을 갖고 있다. 또한, 조직에 맞는 평가 지표나 기준이 미비하거나, 외부의 기관에서 만들어진 기준을 통하여 평가할 수밖에 없는 현실이다. 기업에서 정보보호 수준을 종합적으로 평가하기 위해서는 현실적이고, 종합적인 평가체계의 개발이 필요하다. 따라서 본 논문은 중소기업 실태에 맞도록 IT 취약점, 보안관리 체계, 보안 이행 점검의 3개 카테고리로 구분하여 핵심지표를 구성하며, 이를 통해 중소기업들이 비용 효과적으로 정보보호 수준을 종합적으로 평가할 수 있는 객관적인 자가 측정 평가모형을 제시한다.

목차 (Table of Contents)

• 제 1 장 서 론 1
• 제 1 절 연구배경 1
• 제 2 절 연구의 목적 및 논문구성 2
• 제 2 장 관련연구 3
• 제 1 절 정보보호관리체계 3
• 가. 국내 정보보호관리체계(KISA-ISMS) 4
• 나. 국외 정보보호관리체계 8
• 제 2 절 위험분석 14
• 가. 위험분석 개념 14
• 나. 위험분석의 구성요소 14
• 다. 위험분석 방법 18
• 제 3 절 정보보호 성숙도 모델 25
• 가. 정보보호수준 평가항목 및 방법론 개발(고일석, 김진영, 2002) 25
• 나. 정보보호수준 계량화 연구(김현수, 1999) 27
• 제 3 장 중소기업 정보보호수준 객관적 측정 방법론 32
• 제 1 절 제안 모델 개요 32
• 가. 전체 측정 작업 프레임워크 32
• 제 2 절 정보보호 성숙도 모델 56
• 가. 정보보호 성숙도 측정 지표 56
• 나. 정보보호 성숙도 단계 56
• 다. 측정 항목 선정 59
• 라. 정보보호 성숙도 산출 방법 61
• 마. 정보보호 성숙도 영역별 점수 배분 61
• 바. 정보보호 성숙도 평가 결과 집계 62
• 제 4 장 검 증 66
• 제 1절 KISA의 정보보호관리체계와 비교 66
• 가. 설문조사 목적 67
• 나. 설문대상 및 방법 67
• 다. 설문조사 분석 결과 67
• 제 5 장 결 론 74
• 참고문헌 75
• 부록 77
• Abstract 79
• 국문요지 80