|
| |
|
|
정보시스템 위험분석을 위한 분류와 평가기준체계 조사
인 쇄
바로가기
즐겨찾기
키보드를 눌러주세요( Ctrl + D )
링크복사
링크주소가 복사 되었습니다.원하는 곳에 붙혀넣기 하세요
( Ctrl + V )
외부공유
파일 
정보시스템 위험분석을 위한 분류와 평가기준체계 조사~.hwp
[Size :
66 Kbyte
]
정보시스템 위험분석을 위한 분류와 평가기준체계 조사~.hwp
[Size :
66 Kbyte
]
분량 10 Page
가격 1,000 원
×
링크 주소가 복사되었습니다.
링크 주소가 복사되었습니다.
원하는 곳에 붙혀넣기 하세요
카트
|
다운받기
|
 네이버 ID로 다운 받기  카카오 ID로 다운 받기  구글 ID로 다운 받기  페이스북 ID로 다운 받기 |
뒤로
|
자료설명
정보시스템 위험분석을 위한 분류와 평가기준체계 조사에 대한 글입니다.
up정보시스템위험분석을위한분류와평가기준체계조사
up정보시스템위험분석을위한분류와평가기준체계조사
목차/차례
Ⅰ. 서 론
Ⅱ. 보안관리, 위험관리 및 위험분석의 개념
Ⅲ. 평가 스케일의 비교
3.1 소프트웨어공학 부문3.2 정보보호시스템 보안성 평가 부문
3.3 위험관리 부문
3.4 평가스케일의 분석
Ⅳ. 위험분석 프로세스4.1 프로세스, 프로젝트 및 프로덕트의 정의
4.2 기존 프로세스의 문제점
5.2 자산평가 방법
6.2 위협과 취약성의 구분
Ⅴ. 자산분류 및 평가방법
5.1 자산분류체계5.2 자산평가 방법
Ⅵ. 위협의 분류
6.1 위협의 분류방법6.2 위협과 취약성의 구분
Ⅶ. 결론
참고문헌본문/내용
3.4 평가스케일의 분석
조사한 각종 표준, 지침, 도구 및 연구결과들의 측정스케일들은 “다양성”으로 표현한다.
▪단계 명칭의 다양성: 숫자와 단어들을 사용하고 있다. 이는 응용분야의 특성을 반영하려한 시도이지만 궁극적으로는 숫자나 문자는 동일한 의미를 갖는다.
▪단계수의 다양성: 위험분석부문의 경우 각 측정대상속성들은 3단계 또는 5단계가 주류를 이루며 일부 자료에서는 10단계(예: PRAM에서의 자산가치)로 정의한 경우도 있다. 단계수가 많아질수록 인접단계간의 분별력이 적어지며 등급화가 어려워진다. 특히, 자산가치, 위협수준, 취약성수준을 등급화 하는 일은 주관적인(또는 서술적인) 기준에 의존해야한다. 따라서, 단계 수를 세분화하는 것은 평가결과에 대한 신뢰성을 저하시킬 수 있으므로, 3단계 또는 5단계가 적합하다고 판단된다. 문헌[26]에서는 단계 수에 대한 문제를 고찰하였다.
▪등급화기준의 다양성: 등급화기준은 서술적, 수치적 또는 다른 속성들의 조합(위험 속성의 경우)으로 되어있다. 서술적 기준의 경우, 등급화가 간단하지만 결과의 객관성이 저하된다. 수치적 기준의 경우 위험평가대상 기관의 특징을…(생략)
조사한 각종 표준, 지침, 도구 및 연구결과들의 측정스케일들은 “다양성”으로 표현한다.
▪단계 명칭의 다양성: 숫자와 단어들을 사용하고 있다. 이는 응용분야의 특성을 반영하려한 시도이지만 궁극적으로는 숫자나 문자는 동일한 의미를 갖는다.
▪단계수의 다양성: 위험분석부문의 경우 각 측정대상속성들은 3단계 또는 5단계가 주류를 이루며 일부 자료에서는 10단계(예: PRAM에서의 자산가치)로 정의한 경우도 있다. 단계수가 많아질수록 인접단계간의 분별력이 적어지며 등급화가 어려워진다. 특히, 자산가치, 위협수준, 취약성수준을 등급화 하는 일은 주관적인(또는 서술적인) 기준에 의존해야한다. 따라서, 단계 수를 세분화하는 것은 평가결과에 대한 신뢰성을 저하시킬 수 있으므로, 3단계 또는 5단계가 적합하다고 판단된다. 문헌[26]에서는 단계 수에 대한 문제를 고찰하였다.
▪등급화기준의 다양성: 등급화기준은 서술적, 수치적 또는 다른 속성들의 조합(위험 속성의 경우)으로 되어있다. 서술적 기준의 경우, 등급화가 간단하지만 결과의 객관성이 저하된다. 수치적 기준의 경우 위험평가대상 기관의 특징을…(생략)
참고문헌
[1] ISO/IEC TR 13335, 1부, “IT보안 개념 및 모델”(1996), 2부 “보안관리 및 계획”(1997).
[2] ISO/IEC TR 13335, 3부, “IT 보안관리 지침”(1998), 5부, “네트워크 연결관리 지침”(2000).
[3] British Standards Institution(BSI), “BS-7799”, 1999.
[4] Bundesamt fur Sicherheit in der Informationstechnik), `IT Baseline Protect Manual`, - Standard security safeguards, http://www.bsi.bund.de/gshb/english/menue.htm
[5] SSE-CMM, “Project, Systems Security Engineering Capability Maturity Model (SSE-CMM) - Model Description Document”, V.2, http://www.sse-cmm.org, 1999. 4. 1.
[6] 정보통신부, “전산망 보안을 위한 위험관리 지침서”, KICO.KO-10.0047, 1995.12.
[7] 이강수, “선진국 정보보호시스템의 평가제도에 관한 연구”, KISA 보고서, 1998. 3.
[8] 이강신, 김학범, 이홍섭, “국내외 정보보호 모델에 관한 연구”, 정보보호학회지, 11-3, 2001.6
[9] S. Vallabhaneni, “Auditing Computer Security- A Manual with Case Studies”, 1989.
[10] ISO/IEC 14598-1, “IT-Software product evaluation, Part 1. General overview”, 1997. 3.
[11] FIPS-65, “Guidelines for Automatic Data Processing Risk Analysis”, NIST, 1975 (Aug. 1995에 폐지됨).
[12] FIPS-191, “Specifications for Guideline for The Analysis Local Area Network Security”, NIST, Nov. 1994.
[13] NIST, “Risk Management Guide for Information Technology Systems”, NIST-SP-800-30, 2001.10.
[14] NISTIR-4387, “Simplified Risk Analysis Guideline”, NIST, 1990.
[15] NISTIR-4325, “Simplified Risk Analysis Guideline”, NIST, 1990.
[16] GAO, “Information Security Risk Assessment - Practices of Leading Organizations”, - Case Study 1, GAO/AIMD-00-33, 1999. 11.
[17] GAO, “Information Security Risk Assessment - Practices of Leading Organizations”, - Case Study 3, GAO/AIMD-00-33, 1999. 11.
[18] CSE, “A Guide to Security Risk Management for IT Systems”, Government of Canada, Communications Security Establishment(CSE)”, 1996.
[19] TTAS, “공공정보시스템 보안을 위한 위험분석 표준 - 개념과 모델”, TTAS.KO-12.007, 1998. 11.
[20] OCTAVE, “OCATVE Criteria, Version 2.0”, Carnegie Mellon Software Engineering Institute(2001. 12), OCATVE Method Implementation Guide Version 2.0, OCTAVE, 2001. 6, http://www.sei.cmu.edu/ publications/ pubweb.html.
[21] CRAMM, “A Practitioner`s View of CRAMM”, http://www.gammassl.co.uk/.
[22] 김기윤, 나관식, 김종석, “보안관리를 위한 위협, 자산, 취약성의 분류 체계”, 정보보호학회지, 6권 1호, 1995. 6.
[23] Will Ozier, “Risk Analysis and Assessment”, Information Security Management Handbook (4‘th Ed.), CRC Press, 2000.
[24] C. Hamilton, “Data-driven Security: How to Target, Focus and Justify the Security Program”, 28`th Annual Computer Security Conference & Exhibition, 2001.
[25] “시만텍사의 Expert 4.1 소개”, 1회 서울정보보안기술 국제컨퍼런스, 2000년 11월.
[26] 김정덕 (외), “위험 분석 도구 기초기술 개발에 관한 연구”, ETRI 연구보고서, 2001.
[27] 송관호(외), “정보시스템 보안을 위한 위험분석 소프트웨어 개발” 한국전산원 연구보고서, 1997. 12.
[28] J. Freeman, et al., “Risk Assessment for Large Heterogeneous Systems”, 13`rd Computer Application Conference, 1997.
[29] R. Craft, et al., “An Open Framework for Risk Management”, 21`st National Information System Security Conference, 1998.
[30] ISO/IEC 14598-5, “IT-Software product evaluation, Part 5. Process for evaluation”, 1997. 12.
[31] ISO/IEC 14598-6, “IT-Software product evaluation, Part 6. Documentation for evaluation modules, 1997. 3.
[32] ISO/IEC-9126 “IT-Software product evaluation -Quality characteristics and guidelines for their use, 1991. 12. 15.
[33] B. Boehm, “Software Engineering Economics”, Prentice-Hall, 1981.
[34] ｢소프트웨어사업대가의 기준(2001)｣, 정보통신부, 2001.
[35] Barry Boehm, et al., “COCOMO 2.0 Software Cost Estimation Model”, International Society of Parametric Analysts, May 1995, http://sunset.usc.edu/research/COCOMOII /index.html.
[36] CC, “Common Criteria for Information Technology Security Evaluation”, Version 2.1, CCIMB-99-031, August 1999, http://www. commoncriteria.org/site_index.html.
[37] CEM, “Common Evaluation Methodology”, Version 1.0, CEM-99/045, August 1999, http://www.commoncriteria.org/site_index.html
[38] European Community, “Information Technology Security Evaluation Criteria (ITSEC)”, Ver. 1.2, June 1991. http://www.cesg. gov.uk/assurance/iacs/ itsec/index.htm
[39] European Community, “Information Technology Security Evaluation Criteria (ITSEM)”, Ver. 1.0, 1993. http://www.cesg.gov. uk/assurance/iacs/ itsec/index.htm
[40] DoD, “Department of Defense Trusted Computer System Evaluation Criteria (TCSEC)”, Dec. 1985.
[41] Canadian System Security Centre, “The Canadian Trusted Computer Product Evaluation Criteria (CTCPEC)”, Ver.3e, Jan. 1993.
[42] “정보통신망 침입차단시스템 평가기준·평가지침서”, 정보통신부고시 1998-19호, 정보통신부, 1998.
[43] M. Swanson, “Security Self-Assessment Guide for Information Technology Systems”, NIST- SP-800-26, NIST, IT보안평가, 2001.11.
[44] G. Stonebumer, et al., “Risk Management Guide for Information Technology System”, NIST- SP-800-30, NIST, 2002.1.
[45] CIAO/VAF, “Vulnerability Assessment Framework 1.1”, Critical Infrastructure Assurance Office(CIAO), 1999.10.
[46] D. Peeples, “The Foundations of Risk Management”, 20`th National Information Security Conference, 1997.5.
[47] M. Timms, “A Practical Approach to Risk Assessment”, Compsec Computer Security Conference`90, 1990. 10.
[48] Z. Ruthber et al., “Guide to Auditing for Controls and Security: A System Development Lifecycle Approach”, NBS Special Publication 500-153, 1998.4.
[49] A. Finkelstein et al. (ed.), “Software Process Modeling and Technology”, John Wiley&Sons, 1994.
[50] A. Furretta, A. Wolf, (ed.), “Software Process”, John Wiley&Sons, 1996.
[51] W. Royce, “Software Project Management - Unified Framework”, Addison Wesley, 1998.
[52] 이병만, 윤정원, 박승규, “정보시스템 위험분석 모델에 관한 연구`, WISC-97, 1997.
[53] CVE, “Common Vulnerability and Exposure”, NIST, http://www.cve.mitre.org/cve/.
[2] ISO/IEC TR 13335, 3부, “IT 보안관리 지침”(1998), 5부, “네트워크 연결관리 지침”(2000).
[3] British Standards Institution(BSI), “BS-7799”, 1999.
[4] Bundesamt fur Sicherheit in der Informationstechnik), `IT Baseline Protect Manual`, - Standard security safeguards, http://www.bsi.bund.de/gshb/english/menue.htm
[5] SSE-CMM, “Project, Systems Security Engineering Capability Maturity Model (SSE-CMM) - Model Description Document”, V.2, http://www.sse-cmm.org, 1999. 4. 1.
[6] 정보통신부, “전산망 보안을 위한 위험관리 지침서”, KICO.KO-10.0047, 1995.12.
[7] 이강수, “선진국 정보보호시스템의 평가제도에 관한 연구”, KISA 보고서, 1998. 3.
[8] 이강신, 김학범, 이홍섭, “국내외 정보보호 모델에 관한 연구”, 정보보호학회지, 11-3, 2001.6
[9] S. Vallabhaneni, “Auditing Computer Security- A Manual with Case Studies”, 1989.
[10] ISO/IEC 14598-1, “IT-Software product evaluation, Part 1. General overview”, 1997. 3.
[11] FIPS-65, “Guidelines for Automatic Data Processing Risk Analysis”, NIST, 1975 (Aug. 1995에 폐지됨).
[12] FIPS-191, “Specifications for Guideline for The Analysis Local Area Network Security”, NIST, Nov. 1994.
[13] NIST, “Risk Management Guide for Information Technology Systems”, NIST-SP-800-30, 2001.10.
[14] NISTIR-4387, “Simplified Risk Analysis Guideline”, NIST, 1990.
[15] NISTIR-4325, “Simplified Risk Analysis Guideline”, NIST, 1990.
[16] GAO, “Information Security Risk Assessment - Practices of Leading Organizations”, - Case Study 1, GAO/AIMD-00-33, 1999. 11.
[17] GAO, “Information Security Risk Assessment - Practices of Leading Organizations”, - Case Study 3, GAO/AIMD-00-33, 1999. 11.
[18] CSE, “A Guide to Security Risk Management for IT Systems”, Government of Canada, Communications Security Establishment(CSE)”, 1996.
[19] TTAS, “공공정보시스템 보안을 위한 위험분석 표준 - 개념과 모델”, TTAS.KO-12.007, 1998. 11.
[20] OCTAVE, “OCATVE Criteria, Version 2.0”, Carnegie Mellon Software Engineering Institute(2001. 12), OCATVE Method Implementation Guide Version 2.0, OCTAVE, 2001. 6, http://www.sei.cmu.edu/ publications/ pubweb.html.
[21] CRAMM, “A Practitioner`s View of CRAMM”, http://www.gammassl.co.uk/.
[22] 김기윤, 나관식, 김종석, “보안관리를 위한 위협, 자산, 취약성의 분류 체계”, 정보보호학회지, 6권 1호, 1995. 6.
[23] Will Ozier, “Risk Analysis and Assessment”, Information Security Management Handbook (4‘th Ed.), CRC Press, 2000.
[24] C. Hamilton, “Data-driven Security: How to Target, Focus and Justify the Security Program”, 28`th Annual Computer Security Conference & Exhibition, 2001.
[25] “시만텍사의 Expert 4.1 소개”, 1회 서울정보보안기술 국제컨퍼런스, 2000년 11월.
[26] 김정덕 (외), “위험 분석 도구 기초기술 개발에 관한 연구”, ETRI 연구보고서, 2001.
[27] 송관호(외), “정보시스템 보안을 위한 위험분석 소프트웨어 개발” 한국전산원 연구보고서, 1997. 12.
[28] J. Freeman, et al., “Risk Assessment for Large Heterogeneous Systems”, 13`rd Computer Application Conference, 1997.
[29] R. Craft, et al., “An Open Framework for Risk Management”, 21`st National Information System Security Conference, 1998.
[30] ISO/IEC 14598-5, “IT-Software product evaluation, Part 5. Process for evaluation”, 1997. 12.
[31] ISO/IEC 14598-6, “IT-Software product evaluation, Part 6. Documentation for evaluation modules, 1997. 3.
[32] ISO/IEC-9126 “IT-Software product evaluation -Quality characteristics and guidelines for their use, 1991. 12. 15.
[33] B. Boehm, “Software Engineering Economics”, Prentice-Hall, 1981.
[34] ｢소프트웨어사업대가의 기준(2001)｣, 정보통신부, 2001.
[35] Barry Boehm, et al., “COCOMO 2.0 Software Cost Estimation Model”, International Society of Parametric Analysts, May 1995, http://sunset.usc.edu/research/COCOMOII /index.html.
[36] CC, “Common Criteria for Information Technology Security Evaluation”, Version 2.1, CCIMB-99-031, August 1999, http://www. commoncriteria.org/site_index.html.
[37] CEM, “Common Evaluation Methodology”, Version 1.0, CEM-99/045, August 1999, http://www.commoncriteria.org/site_index.html
[38] European Community, “Information Technology Security Evaluation Criteria (ITSEC)”, Ver. 1.2, June 1991. http://www.cesg. gov.uk/assurance/iacs/ itsec/index.htm
[39] European Community, “Information Technology Security Evaluation Criteria (ITSEM)”, Ver. 1.0, 1993. http://www.cesg.gov. uk/assurance/iacs/ itsec/index.htm
[40] DoD, “Department of Defense Trusted Computer System Evaluation Criteria (TCSEC)”, Dec. 1985.
[41] Canadian System Security Centre, “The Canadian Trusted Computer Product Evaluation Criteria (CTCPEC)”, Ver.3e, Jan. 1993.
[42] “정보통신망 침입차단시스템 평가기준·평가지침서”, 정보통신부고시 1998-19호, 정보통신부, 1998.
[43] M. Swanson, “Security Self-Assessment Guide for Information Technology Systems”, NIST- SP-800-26, NIST, IT보안평가, 2001.11.
[44] G. Stonebumer, et al., “Risk Management Guide for Information Technology System”, NIST- SP-800-30, NIST, 2002.1.
[45] CIAO/VAF, “Vulnerability Assessment Framework 1.1”, Critical Infrastructure Assurance Office(CIAO), 1999.10.
[46] D. Peeples, “The Foundations of Risk Management”, 20`th National Information Security Conference, 1997.5.
[47] M. Timms, “A Practical Approach to Risk Assessment”, Compsec Computer Security Conference`90, 1990. 10.
[48] Z. Ruthber et al., “Guide to Auditing for Controls and Security: A System Development Lifecycle Approach”, NBS Special Publication 500-153, 1998.4.
[49] A. Finkelstein et al. (ed.), “Software Process Modeling and Technology”, John Wiley&Sons, 1994.
[50] A. Furretta, A. Wolf, (ed.), “Software Process”, John Wiley&Sons, 1996.
[51] W. Royce, “Software Project Management - Unified Framework”, Addison Wesley, 1998.
[52] 이병만, 윤정원, 박승규, “정보시스템 위험분석 모델에 관한 연구`, WISC-97, 1997.
[53] CVE, “Common Vulnerability and Exposure”, NIST, http://www.cve.mitre.org/cve/.
| 📝 Regist Info |
|
I D : gtdw***** Date : 2011-08-31 FileNo : 16136101 |
Cart  | |
| |