일반기술

정보시스템 보안을 위한 비즈니스-프로세스 중심의 자산분석을 기반으로 한 위험평가방법

기존의 구입비용, 운영유지비 등으로 평가하는 정량적 자산분석 방법을 델파이기법을 사용하여 정량적 자산가치를 정성적 자산가치로 변환하고, 자산의 업무기여도, 자산이 위치한 부서중요도, 사용빈도수 및 보안대응책 적정성 등 조직의 정보시스템의 환경과 특성을 반영한 가중치 요소들을 적용하여 실질적인 자산의 가치를 평가할 수 있다. 즉 같은 자산일지라도 어느 부서, 무슨 업무에 얼마만큼 사용하는지 등에 따라 달라질 수 있다는 것을 제시한다.2006년 5월 국가정보원에서 발행한 ‘국가정보백서2006’에 따르면 보안 관제 및 보안컨설팅의 04년 대비 05년의 매출은 타 분야에 비해 42~45%가량의 증가를 보였고, 앞으로의 시장성 있어서 정보보호 서비스 분야의 핵심으로 타 분야에 비해 빠른 성장을 보일 것이다. 더구나 하나의 정보시스템 보안을 넘어 기업의 비즈니스 모델에 적합한 보안관리 서비스가 필요하다. 그러므로 본 발명은 이러한 보안 관제 및 보안 컨설팅업무의 기반이 기술인 위험관리에 있다위험평가 방법론은 보안업체에서 제안하는 일반적인 위험분석 방법론과 접근방식이 상이하기 때문에 취약성 분석 및 위험분석을 수행 또는 개발하는 보안업체에서 많은 관심을 가질 것으로 보인다. 따라서 본 기술의 제안이 기업에서 자동화 도구로 개발된다면 위험관리 대상 조직의 정보시스템 특성과 환경을 반영한 위험측정이 가능하기 때문에 위험평가를 요하는 조직에서 많은 관심을 나타낼 것으로 예상된다.기존의 보안대응책을 운영하고 있는 조직에서 위험관리를 수행할 경우 본 방법론을 사용하여 비용효과적인 보안대응책 수립이 가능하다. 아울러 조직의 업무 특성에 따른 정보자산의 중요도를 알 수 있으며, 그에 따른 보안대응책을 효율적으로 수립할 수 있다.또한, 위험평가 공식이 정성적으로 산출하게 되어 있어 자동화 도구로 구현하여 실행하기 용이하여 기존의 위험평가도구에서 인간의 개입이 많은 불편함을 줄일 수 있다.본 기술은 위험평가에 있어, 조직의 특성을 반영할 수 있는 위험분석 방법론을 제시하였다. 자산가치의 중요성을 자산의 정성적 가치와 정량적 가치를 반영한 효과적인 위험수준을 평가하고, 조직의 정보시스템의 특성을 반영하기 위한 2차의 자산 분석을 수행하여, 자산이 지니고 있는 실질적인 자산의 가치분석을 수행한다. 또한 비즈니스-프로세스 중심의 자산 분석 방법론은 정확한 자산 가치분석을 통해 대응책 수립에 있어 비용의 낭비 없이 효과적으로 자산을 보호할 수 있다.