주요정보통신기반시설의 정보보안 위험관리 감리점검항목 연구 = A Study on Audit Checklists for Information Security Risk Management of the Critical Information and Communication Infrastructure

국문 초록 (Abstract)

최근 미국, 캐나다, 독일 등을 비롯한 선진국에서는 사이버 테러나 사이버 공격 등으로부터 국가의 중요한 기반시설을 보호하기 위해 정보보호 활동을 강화하고 있으며, 우리나라는 정보통신기반시설보호법을 통하여 주요정보통신기반시설을 지정하여 관리하고 있다.
체계적이고 지속적인 정보보호 활동을 위해서는 정보보안 위험관리 기반의 정보보호 활동이 지속적으로 이루어져야 한다. ISO/IEC 27005는 정보보안 위험관리는 프로세스를 기반의 체계적인 정보보안 위험관리 활동을 제시하고 있다.
국내의 주요정보통신기반시설을 대상으로 매 년 실시하는 취약점 분석 및 평가는 체크리스트 기반의 점검항목을 중심으로 지속적이고 체계적인 정보보안 위험관리를 유지하기에는 미흡한 부분이 많다.
본 연구는 주요정보통신기반시설의 정보보안 위험관리 감리점검항목을 제시하기 위하여 정보시스템 감리지침의 위험관리 관련 감리 점검항목과 주요정보통신기반시설 취약점 분석 및 평가 점검항목을 ISO/IEC 27005 기준과 비교 및 분석하여 주요정보통신기반시설의 정보시스템 감리 시 정보보안 위험관리 부문의 점검영역에 대한 개선책을 제시하였다.
연구결과로 도출된 주요정보통신기반시설의 정보보안 위험관리 감리점검항목을 통하여 향후 주요정보통신기반시설과 관련된 정보화 전략 계획 수립, 시스템 개발, 시스템 운영 및 사업관리의 감리 시 체계적인 정보보안 위험관리 감리 활동이 이루어지길 바란다.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구의 배경 및 목적 1
• 제2절 연구의 범위 및 방법 2
• 제2장 이론적 배경 4
• 제1절 주요정보통신기반시설 4
• 1.정보통신기반보호법 4
• 2.주요정보통신기반시설 현황 7
• 3.주요정보통신기반시설 보호체계 12
• 제2절 정보보안 위험관리 17
• 1.위험관리 개요 17
• 2.위험관리의 필요성 17
• 3.정보보호관리체계 18
• 4.위험관리 관련 규격 19
• 5.ISO/IEC 27005의 정보보안 위험관리 21
• 제3장 주요정보통신기반시설 위험관리 27
• 제1절 주요정보통신기반시설 평가 기준 27
• 1.주요정보통신기반시설의 위험관리 관련 기준 27
• 2.주요정보통신기반시설의 위험관리 점검항목 28
• 제2절 정보보안 위험관리 점검항목 30
• 1.정보보안 위험관리 관련 기준 비교 30
• 2.ISO/IEC 27005 점검항목 도출 41
• 제3절 정보보안 위험관리 점검항목 연구 45
• 1.정보보안 위험관리 관련 지침 비교 45
• 2.정보보안 위험관리 점검항목 비교 46
• 제4장 주요정보통신기반시설의 정보보안 위험관리 감리 점검항목 연구 48
• 제1절 점검항목의 도출 기준 48
• 1.점검항목 도출 연관성 기준 48
• 2.점검항목에 대한 적용 관련 지침 53
• 제2절 주요정보통신기반시설 정보보안 위험관리 감리점검항목 54
• 1.개요 54
• 2.상황 설정 점검항목 55
• 3.위험 평가 점검항목 60
• 4.위험 처리 점검항목 66
• 5.위험 소통 점검항목 69
• 6.모니터링 및 검토 점검항목 70
• 7.위험관리 프로세스 점검항목 72
• 제3절 감리 점검항목 검증 73
• 1.설문대상 73
• 2.주요정보통신기반시설 관련 업무 경력에 관한 설문 결과 73
• 3.주요정보통신기반시설의 위험평가 경험에 관한 설문 결과 74
• 4.주요정보통신기반시설의 정보보안 위험관리 감리 필요성에 관한 설문 결과 74
• 5.주요정보통신기반시설 정보보안 위험관리 감리점검항목에 관한 설문 결과 75
• 6.감리 점검항목 적합성 평가 85
• 제5장 결론 및 향후 연구과제 86
• 참 고 문 헌 87
• 부록 89
• 국문초록 99