위험 평가 모델 기반의 정량적 사이버 보안 평가 체계 (Quantitative Cyber Security Scoring System Based on Risk Assessment Model)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 29권 / 5호 / 1179 ~ 1189페이지
· 저자명 : 김인경, 박남제

초록

사이버보안성 평가란 자산분석, 위협분석, 취약성 분석을 통하여 자산 및 시스템의 위험 수준을 평가하여 적절한 보안조치를 적용하는 일련의 과정으로 증가하는 사이버 공격에 대한 대비를 위해 체계적인 사이버보안성 평가가 요구된다. 이에 CWSS, CVSS 등 사이버 보안 수준 측정을 위한 다양한 지표가 개발되고 있으나 표준화된 보안성 평가 결과를 통해 위험 우선순위에 따라 적절한 보안조치를 적용하기 위한 정량적 방법은 미흡한 실정으로 대상자산이 가지는특성, 적용되어 있는 환경, 자산에 미치는 영향 등을 고려한 평가 체계가 필요하다. 이에 본 논문에서는 기존의 사이버보안 평가 방법 분석을 기반으로 정량적 위험 평가 모델을 정립하고 정립한 모델에 적용하기 위한 평가 요소들의 정량화를 위한 방법을 제시한다. 사이버 보안성 평가 시 필요한 정성적 속성 요소들의 수준을 AHP 기법을 통한 보안요건별 가중치, 위협 별 영향도, 취약점 요소 별 점수화를 통한 위협 성공 가능성에 대한 확률값 산출을 통해 통계적 데이터를 적용해야 하는 정량적 방법의 한계점을 보완하여 표준화된 사이버 보안 평가 체계를 확립할 것으로 기대된다.

영어초록

Cyber security evaluation is a series of processes that estimate the level of risk of assets and systems through asset analysis,threat analysis and vulnerability analysis and apply appropriate security measures. In order to prepare for increasing cyberattacks, systematic cyber security evaluation is required. Various indicators for measuring cyber security level such as CWSS andCVSS have been developed, but the quantitative method to apply appropriate security measures according to the risk prioritythrough the standardized security evaluation result is insufficient. It is needed that an Scoring system taking into considerationthe characteristics of the target assets, the applied environment, and the impact on the assets. In this paper, we propose aquantitative risk assessment model based on the analysis of existing cyber security scoring system and a method forquantification of assessment factors to apply to the established model. The level of qualitative attribute elements required forcyber security evaluation is expressed as a value through security requirement weight by AHP, threat influence, and vulnerabilityelement applying probability. It is expected that the standardized cyber security evaluation system will be established bysupplementing the limitations of the quantitative method of applying the statistical data through the proposed method.

참고자료

· 없음