정보보호관리체계(ISMS) 항목의 중요도 인식과 투자의 우선순위 비교 연구 (A comparative study on the priorities between perceived importance and investment of the areas for Information Security Management System)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 24권 / 5호 / 919 ~ 929페이지
· 저자명 : 이중정, 김진, 이충훈

초록

최근의 개인정보 유출과 같은 정보보안 사고들이 기업의 매출 감소와 이미지 손실에 직접적인 영향을 주는 심각한위험 관리 요소가 됨에 따라 체계적인 정보보호 관리를 위해 정보보호관리체계를 도입하는 기업들이 증가하고 있다. 그러나 기업 내 정보보호 인식과 달리 적은 투자로 인해, 한정된 예산으로 다양한 정보보호 요소들을 효과적으로 관리할수 있는 방안이 중요해지고 있다. 본 연구에서는 정보보호관리체계의 13개 항목들에 대해 정보보호전문가들의 중요도평가를 통해 우선순위를 도출하여, 단계적으로 정보보호관리체계를 구축할 수 있는 방향을 제공한다. 그리고 각 항목들에 대한 투자 정도도 평가하여 중요도와 투자 간의 우선순위 차이를 비교·분석하였다. 연구 결과 침해사고 관리가 가장중요한 것으로 나타났으며, 투자 정도에서는 IT 재해복구가 가장 높은 것으로 확인되었다. 그리고 정보보호 중요도와투자 간의 우선순위 차이가 큰 정보보호 항목은 암호통제, 정보보호정책, 정보보호교육, 인적보안으로 확인되었다. 본연구 결과는 정보보호관리체계 도입을 고려하거나 운영 중인 기업들이 한정된 예산을 고려하여 효과적인 정보보호 투자에 대한 의사결정 자료로 활용될 수 있을 것으로 기대한다.

영어초록

Recently, organizational efforts to adopt ISMS(Information Security Management System) have been increasingly mandatedand demanded due to the rising threat and the heavier cost of security failure. However there is a serious gap between awarenessand investment of information security in a company, hence it is very important for the company to control effectively a varietyof information security threats within a tight budget. To phase the ISMS, this study suggests the priorities based on evaluatingthe Importance of 13 areas for the ISMS by the information security experts and then we attempt to see the difference betweenimportance and investment through the assessment of the actual investment in each area. The research findings show thatintrusion incident handling is most important and IT disaster recovery is the area that is invested the most. Then, informationsecurity areas with the considerable difference between priorities of importance and investment are cryptography control,information security policies, education and training on information security and personnel security. The study results areexpected to be used in making a decision for the effective investment of information security when companies with a limitedbudget are considering to introduce ISMS or operating it.

참고자료

· 없음