Journal of Information Technology and Architecture Vol. 13. No. 3, September 2016, Pages 405-419 전자금융소프트웨어보안기술수준평가지표 이주호 1 이상준 2 * 1 금융보안원보안관제팀장 2 전남대학교경영학부교수 jhidea@naver.com; s-lee@jnu.ac.kr( 교신저자 ) (2016년 00월 00일접수 ; 2016년 00월 00일수정 ; 2016년 00월 00일채택 ) 요약 : 금융서비스에 IT기술을결합한핀테크산업이발전되고있다. 본논문에서는전자금융소프트웨어에대한기술수준을측정하기위한보안기술수준평가지표를제시하였다. 지표는공통평가기준분석, 컴플라이언스분석, 기술수준평가방법분석을통해개발되었다. 보안기술수준은보안감사 (15개), 보안통신 (4개), 암호지원 (5개), 사용자데이터보호 (30개), 식별및인증 (14개), 자원활용 (6개), 대상시스템접근 (10개), 안전한경로및채널 (2개), 보안기능관리데이터보호 (19개), 보안관리 (13개) 로총 118 개기준으로측정된다. 보안기술평가지표를금융유관기관에적용해본결과두가지장점을확인하였다. 첫째, 전반적인보안영역을대상으로종합적으로정량화된평가가능하며, 둘째, 해당소프트웨어에대한법적미준수사항파악이용이하였다. 이지표는앞으로핀테크기술의보안수준진단체계구축을위한지표로활용될수있다. 키워드 : 전자금융, 금융소프트웨어, 공통평가기준, 보안기술수준평가 A Security Technology Level Indicators for Electronic Financial Software +V)P -FF BOE 4BOH+PPO -FF 1 Finacial Security Institute, Yongin-si, Gyeonggi-do 2 School of Business Administration, Chonnam National University, Gwangju, Korea (Received A 00, 2016; Revised A 00, 2016; Accepted A 00, 2016) Abstract: Fintech industry combining existing financial service with IT technology, has been developed. This paper was proposed criteria of technical level measurement for electronic financial software. Indicators have been developed in the order of Common Criteria Analysis, Compliance Analysis, and Technical Levels Evaluation Analysis. The security technology level was proposed by the compliance standard with a total of 118 articles such as Security Aduit (5 measurement articles), Security Communication(4), Cryptologic Support(5), User Data Protection (30), Identification and Authentication(14), Resource Utilization(6), Acess of Target System(10), Safe Path and Channel(2), Protection of Security Function Management Data(19), Security Management(13). By applying proposed evaluation indicators into a financial company, it has confirmed two advantages. Firstly, quantitative assessment can be performed comprehensively to the overall security related area. Secondly, it is easy to identify legal non-compliance to specific software. This indicators can be used for building security level diagnostic system in fintech area. Corresponding author is with school of business administration, Chonnam National University, 61186, Yongbong- Ro 77, Buk-gu, Gwangju, KOREA. E-mail address: s-lee@chonnam.ac.kr 405
이주호 이상준 Keywords: Financial Software, Security Technology Level, Technology Level Indicator 1. 서론 인터넷기반의금융서비스가보편화된가운데스마트폰을이용한모바일전자금융서비스가급속히발전함으로써언제어디서나전자금융서비스를이용할수있는금융서비스가일반화되었다. 2014년말인터넷뱅킹등록고객수는 1억 319만명으로 2013년말 (9,549 만명 ) 대비 8.1% 가증가하였다 [30]. 전자금융거래 란금융회사또는전자금융업자가전자적장치를통하여금융상품및서비스를제공하고, 이용자가금융회사또는전자금융업자와직접대면하거나의사소통을하지않고, 자동화된방식으로이를이용하는거래를말한다 [4,5]. 하지만비대면방식, IT의존성증가로인해그부작용도만만치않다. 인터넷및스마트폰사용의급격한증가에따라전자금융거래에대한각종보안사고또한급격하게증가하고있다 [20]. 2013년다수금융회사에지능형지속위협 (APT) 공격을통해동시다발적으로전산자료를파괴 ( 삭제 ) 하여금융시스템을일시에대량으로마비시킨사례도있다. 이는비대면방식의전자금융거래이용수단의발달로금융소비자들의편의성은향상되었지만, 보안위협도함께증가하고있다 [6]. 전자금융소프트웨어의취약점을이용한전자금융사기가증가하고있다 [31]. 특히최근에는웹서버해킹을통한개인정보탈취, 금전적이득을목적으로메모리해킹사례발생하고있는실정이다. 이는메모리해킹이라는기법을통해컴퓨터메모리 (RAM) 이라는주기억장치에저장되는데이터를절취하거나이를조작하는해킹기법이다. 또한금융회사를대상으로하여지속적으로해킹을시도하는 APT(Advanced Persistent Threat) 공격도발생하였다. 이러한환경에서금융위원회에서는전자금융과관련한정보보호정책을강화하여금융회사들이준수해야하는준거성 (compliance) 을강화하기위하여전자금융서비스에대한사고예방대책을지속적으로강구하고있다. 금융위원회에서는금융회사에게는민간중심의자율적 IT보안체계확립을위하여 2015년금융IT부문자 율보안체계확립방안을발표하였다. 특히민간자율의보안성검토체계를구축하고자 금융회사자체보안성검토지원체계구축 과 핀테크기술의보안수준 진단체계구축 을주요과제추진하고있다. 이러한환경에서공통평가기준 (CC, Common Criteria for Information Technology Security Evaluation) 과국내금융정책당국이요구하는금융소프트웨어개발시필요한준수사항과관련한연구는이루어지지않았다. 본논문에서공통평가기준및 IT컴플라이언스분석을통하여전자금융소프트웨어에대한기술적보안요구사항을정의하고, 기술수준측정방법및측정기준을제시하고자한다. 본논문은전자금융소프트웨어보안기술수준평가지표를도출하고자다음과같은단계로구성하였다. 1 장에서는연구를수행하게된배경, 목적을제시하고연구방법과방법및기대효과를제시하였다. 2장에서는관련연구내용을정리하였다. 3장에서는전자금융소프트웨어보안기술수준평가지표연구를설계하였다. 연구절차와연구모형및가설을수립하였다. 4장에서는해당모델에대한자료수집및표본특성을분석하고측정모형을검정하였다. 마지막으로 5장에서는본연구결과를요약정리하여결론을도출하였다. 2. 관련연구 2.1 국제공통평가기준 공통평가기준은보안관련컴퓨팅기술의평가를위한국제표준이다. 본장에서는공통평가기준의개요, 주요구성요소, 공통평가기준에서의등급별보증정책을소개한다. 가. 공통평가기준개요공통평가기준의역사는미국에서개발된 1983년도오렌지북으로알려진 TCSEC(Trusted Computer System Evaluation Criteria) 부터시작된다. 또한미국에서는연방기준 (federal critera) 을 1992년 12 월에발표하였다. 유럽연합은 1991년에 ITSEC (Information Technology Securithy Evaluation Criteria) 을개발하였다. 캐나다에서는 CTCPEC (Canadian Trusted Computer Product Evaluation Criteria) 를발표하였다. 1993년에캐나다, 독일, 프랑스, 네덜란드, 영국, 미국은 ISO/IEC JTC1 SC27 406 정보화연구
전자금융 소프트웨어 보안기술 수준평가 지표 WG3와 밀접한 교섭을 유지하며 공통평가기준 프로젝 트를 시작하였다. 이후 1996년 1월에 공통평가기준 Version 1.0, 1997년 10월에 version 2.0, 1999년 8 월에 ISO 15408/version 2.1 이 완성되었다[13-17]. 나. 공통평가기준 주요 구성 요소 IT 보안평가를 위한 공통평가기준은 ISO/IEC 15408 표준문서 (evaluation criteria for information technology security) 로 명시되어 있으며 그 대상은 TOE(평가 대상, Target of Evaluation) 라 하며, IT 제품에만 한정하지 않고 소프트웨어 또는 하드웨어의 집합으로 정의된다. 공통평기기준은 IT 제품의 보안기 능성과 평가과정에서 그 제품들에 적용되는 보증수단 Figure 1. 공통평가기준 구성 요소간 관계 에 대한 공통의 요구사항을 제시하여, 공통평가기준 인 국내에서는 금융위원회가 금융관련 주요사항을 심의, 증을 통하여 IT 제품에 대한 보안기능성과 보증 수단 이 이러한 요구사항들을 만족하는지에 대한 신뢰도를 의결하고 있다. 금융감독원은 금융회사를 관리 감독하 고 있다. 금융위원회에서 전자금융거래의 안정성과 신 확인한다. 공통평가기준에서는 요구하는 사항 항목을 뢰성 확보를 위해 금융 회사 등이 준수해야 하는 기준 정의할 때 표현 하는 구조는 클래스명, 패밀리명, 컴포 을 전자금융거래법 과 같은 법 시행령 전자금융감독규 정 등 법규를 마련하였다. 금융회사는 이들 법규를 준 넌트번호, 엘리먼트 번호로 계층적 구조로 이루어져서 요구사항을 식별하고 있다. 클래스명, 패밀리명는 약어 로 표현되며, 약어로서 의미하는 요구사항에 대한 분류 할 수 있다. 공통평가기준은 2가지 유형으로 보호프로 파일과 보안목표명세서라는 구조를 제공한다. 공통평 가기준에서 활용하는 클래스, 패밀리, 컴포넌트와 보호 프로파일, 보안목표명세서의 관계는 Figure 1 과 같다. 수하도록 하고 있다. 관련 법규는 Table 1과 같다. 전자금융감독규정 제 58조(금융회사 정보기술부문 의 건전성 감독 및 실태 평가)에 의거하여, 금융감독원 에서는 금융회사의 IT 부문 건전성을 감독하고 있다. 이 규정 시행세칙 제 9조 및 IT 검사 매뉴얼에서는 은 해당 보증등급 획득 가능성 및 비용의 균형을 고려 Table 2와 같이 IT 감사, IT 경영, 시스템 개발, 도입, 유지보수, IT 서비스 제공 및 지원 등 4개 부문, 20개 평가 항목 (69개 세부항목) 으로 IT 실태 평가 항목을 한 단계적 척도를 제공한다. 공통평가기준은 TOE의 보증등급을 7단계의 계층적인 평가보증등급으로 정의 마련하고 있다. 금융감독원은 금융 회사 IT 부문에 대 한 검사 및 실태 평가 시 해당 평가항목을 활용하고 있 하고, 각 평가 보증등급은 모든 하위의 평가보증등급보 다. 또한 금융회사에서는 해당 항목을 준수하여야 한다 [7,3]. 평가보증등급(EAL, Evaluation Assurance Levels) 다 더 높은 보증을 표현하고 있으므로, 계층적으로 순 서화되어 있다. 공통평가기준은 하나의 제품이나 시스 템이 명시된 보안목적을 지속적으로 만족한다는 것에 대한 확신을 제공한다. 보증활동은 보호프로파일의 시 작단계부터 TOE의 인증까지 시스템 개발주기에 따라 계속하여 이루어진다. ISO/IEC 15408-3은 보안보증 활동의 핵심사항을 어떤 보안보증활동이 수행되고, 그 것이 어떻게 수행되고, 누구에 의하여 수행되는지를 정 나. 금융위원회 IT보안 종합대책 금융위원회에서는 2011년 3월 DDoS 사건, 농협 전 산망 마비 사고 (2011년 4월) 이후에 금융회사 IT 보 안강화 종합대책 (2011년 6월)을 마련하였다. 2013년 3월 사이버테러를 계기로 금융전산 보안 강화 종합대 의되고 있다[1,11,15]. 책 (2013년 7월), 전자금융사기 예방 서비스 (2013년 9월)를 시행하였다. 이와 같이 금융위원회에서는 수시 2.2 금융분야 컴플라이언스 연구 로 금융권 IT 보안강화를 위한 종합대책을 수립, 추진 하였다. 최근 발표된 금융회사 주요 보안 종합대책의 상세한 내용은 Table 3 과 같다[4]. 가. 국내 금융분야 보안 준수사항 Journal of Information Technology and Architecture 407
이주호 이상준 Table 1. 금융회사준수기준관련법규 Financial companies comply with standard regulations 법령및규정 전자금융거래법 주요내용 - 안전성확보 ( 제 21조, 제 21조의 2) u 인력, 시설, 정보기술부문, 전자금융업무등에대해금융위원회의기준준수 ( 제 21조 ) - 정보보호최고책임자지정및그업무 ( 제 21조의 2) 인력, 조직, 예산부문 - IT 부문인력 (5%), 정보보호인력 (5%), IT 부분예산 (7%) ( 제 8 조 ) - 정보보호교육계획수립운영 ( 제 8 조 ) 시설부문 - 건물, 출입통제, 전원등설비구비, 전산실보호구역설정등 ( 제 9~11 조 ) 전자금융감독규정 정보기술부문 정보기술부문내부통제 외부주문 감독검사 - 단말기보호대책 ( 제 12 조 ) : 사용자별비밀번호설정, 단말기접근통제 - 전산자료보호대책 ( 제 13 조 ) : 전산자료접근권한통제, 이용자정보관리 - 정보처리시스템보호대책 ( 제 14 조 ) - 시스템유틸리티보정, 운영제체 (OS) 에대한유지보수 - 해킹방지대책 ( 제 15 조 ) : 업무목적외프로그램제거, 취약점즉시보정 - 악성코드방지대책 ( 제 16 조 ) - 중요단말기악성코드감염여부점검, 탐지치료프로그램최신상태유지 - 홈페이지등공개용웹서버관리대책 ( 제 17 조 ) : DMZ 구간설정, 악성코드등취약점제거 - IP 주소관리대책 ( 제 18 조 ) : 개인별내부 IP 주소부여및외부유출금지 - 정보처리시스템구축및전자금융거래사업추진 ( 제 20조 ) u 시스템안정성확보를위해분석설계단계부터보안대책마련등 - 비상대책수립등수립운용 ( 제 23조, 제 24조 ) u 재해복구시스템등업무지속성확보, 비상대응훈련실시 - 비밀번호관리 ( 제32조, 제33조 ): 8자리이상, 분기별 1회이상변경, 암호화 - 공인인증서사용 ( 제37조 ) : 전자금융거래에공인인증서나동등수준의인증사용 - 전자금융거래를위한외부주문시준수사항 ( 제 60 조 ) 이용자금융정보무단보관및유출금지, 개인정보유출등에대비한보안대책수립 - 금융회사정보기술부문의건전성감독및실태평가 ( 제 58 조 ) - 금융회사의정보기술부문및전자금융사고보고 ( 제 73 조 ) 정보통신기반보호법 - 주요정보통신기반시설지정 ( 제 8 조 ) - 취약점분석평가 ( 제 9 조 ) - 정보공유분석센터운영 ( 제 16 조 ) - 주요정보통신기반시설침해행위등의금지 ( 제 28 조 ) 다. 연구동향국내에서는 IT 보안평가의국제표준인 공통평가기준 을이용한연구가많은편으로초기에는정보통신시스템에적용에관한연구 [28], 공통표준간의비교 [10] 과같은연구들이있었다. 더불어보안평가관리시스템 [32], 보안정책모델 [27], 평가방법론 [1], 소프트웨어개발보안에의활용 [11], 보증요구사항적용방안 [29], 보안기능요구사항도출을위한보호프로파일재사용 [12] 등에서도 공통평가기준 이널리사용되었다. 정보보호소프트웨어프로세스측면에서는제품평가프로세스 [18], 프로세스성숙도모델 [26] 에대한연구가있다. 이외에도기술수준평가 [25], 컴플라이언스평가지표 [33] 에대한국내연구가있다. 정보기술아키텍처 측면에서는융합보안관제시스템구축활성화방안연구 [19], 클라우드서비스사용자관점에서의취약점과보안관리체계 [24] 에대한연구가시도되고있다. 국제연구에서는오래전부터기술수준모델 [20], 제품과프로세스상태를측정하기위한연구 [8], 기술예측 [20] 등의연구가시작되었다. 공통표준 이발표된이후로 IT 아웃소싱레벨관리 [9], 보안보증 [21], 보안요구공학프로세스 [2] 가있다. 3. 전자금융소프트웨어보안기술수준평가지표설계국내전자금융서비스와관련된컴플라이언스는전자금융거래법, 전자금융감독규정등다양하지만, 금융 408 정보화연구
전자금융소프트웨어보안기술수준평가지표 Table 2. IT 부문에대한검사및평가항목 Entry inspection and evaluation of the IT sector 평가부문평가항목 ( 세부항목수 ) IT 감사부문 1.1 IT 감사조직및요원 (2) 1.2 IT 감사실시내용 (4) 1.3 IT 감사사후관리및기타 (3) IT 경영부문 시스템개발, 도입및유지보수부문 IT 서비스제공및지원부문 2.1 IT 부서조직및요원 (2) 2.2 IT 관련내규 (2) 2.3. IT 계획및방향제시 (4) 2.4 비상계획 (6) 2.5. 경영정보시스템 (MIS) 등 (4) 3.1 시스템개발, 도입, 유지보수관련조직및요원 (2) 3.2 시스템개발, 도입및유지보수관련내규 (1) 3.3 시스템개발, 도입유지보수현황 (6) 3.4 내부통제용시스템, 시스템통합등 (3) 4.1 IT 서비스제공 / 지원관련조직및요원 (2) 4.2 IT 서비스제공 / 지원관련내규 (1) 4.3 시설및장비 (2) 4.4 운영통제 (5) 4.5 보안 (4) 4.6 통신망 (3) 4.7 최종사용자컴퓨팅 (3) 4.8 전자금융거래등 (10) Figure 2. 연구절차 Research procedures 회사에서개발하고서비스하는전자금융소프트웨어에대한보안기술에대한요건은명확하지않은상황이다. 공통평가기준 (v3.1) 의보안기능요구사항및 IT보안컴플라이언스분석을통하여 Figure 2의절차로 전자금융소프트웨어보안수준지표 를도출한다. Figure 2의절차에따라전자금융소프트웨어보안수준측정변수는공통평가기준제2부 보안기능요구사항 에서소프트웨어와관련통제항목을도출하였다. 또한국내전자금융관련법규 ( 전자금융거래법, 전자금융감독규정 ) 에서전자금융소프트웨어에기술적으로요구되는내용을도출하였다. 이때전자금융서비스의 Table 3. 금융회사주요보안종합대책 leading comprehensive financial security measures 추진시기 2011. 6. 2013. 7. 2013. 9. 추진내용 - 금융회사 IT 보안강화종합대책 금융 IT 보안취약요인개선 : IT 보안기술인프라개선, IT 내부통제강화, IT 아웃소싱관리개선, 재해복구 / 사고대응강화 금융회사 IT 보안역량강화 : 정보보호최고책임자 (CISO) 지정, IT 보안투자및조직역량강화, IT 보안교육훈련강화 금융 IT 부문감독 / 검사강화 : IT 부문건전성감독강화, 금융 IT 보안사고제재수준강화, 전자금융거래법 등정비, 금융회사 IT 보안컨트롤타워기능강화 - 금융전산보안강화종합대책 금융전산위기대응체계강화 : 금융권보안전담조직체계화, 공동백업전용센터구축, 위기대응능력강화 금융회사의전자금융기반시설보안강화 : 망분리의무화, 내부통제강화, 금융보안관리체계인증제도도입추진 금융회사의보안조직, 인력역량강화 : CISO 역할, 독립성강화, 표창등보안인력사기진작, 전문인력양성및교육강화 금융이용자보호및감독강화 : 이상금융거래탐지시스템구축확대, 금융전산부문감독및검사강화 금융회사의자율적보안노력지원 : 보안수준진단가이드라인등제공 - 전자금융사기예방서비스 공인인증서 ( 재 ) 발급시본인확인절차추가 ( 기존 ) 공인인증서 _ 보안카드또는 OTP => ( 변역 ) 공인인증서 + 보안카드또는 OTP + 휴대폰문자또는전화확인등 Journal of Information Technology and Architecture 409
이주호 이상준 Table 4. 전자금융 소프트웨어 관련 컴플라이언스 준수항목 영역 항 목(Essential, Ei) 비고 - 보안감사 데이터 생성 - 감사 데이터 저장 보호 보안 감사 - 선택된 감사데이터 저장 - 감사데이터 임계치 초과시 행동 정의 6항목 - 비정상행위탐지위한개별프로파일유지 - 잠재적 보안위반 탐지시 자동 대응행동 보안 통신 - 일부 정보발신 증거 검증 - 일부 정보수신 증거 검증 2항목 - 암호알고리즘과키길이 Figure 3. 연구 모형 암호 지원 - 암호키접근방법 - 암호키파기방법 특성상 익명성 등을 적용할 수 없는 FPR클래스(프라 이버시, 익명성) 통제항목은 전자금융 거래에서는 본인 - 암호연산 확인이 필수적으로 필요한 사항이라 제외하였다. 전자 - 모든범위 접근통제정책 - 일부범위 접근통제정책 금융 소프트웨어 보안기술 수준평가의 항목으로 보안 - 정보 위변조방지 증거 감사(15개 항목), 보안통신(4개), 암호지원(5개), 사용 - 정보주체 사용자 검증 자 데이터 보호(30개), 식별 및 인증(14개), 자원활용(6 - 일부 정보흐름통제정책 개), 대상 시스템 접근(10개), 안전한 경로 및 채널(2개), - 보안속성기반 정보흐름통제 보안기능 관리데이터 보호(19개), 보안관리(13개) 등 총 10개 영역, 118개 항목을 도출하였다. 각 영역과 보 안기술수준 점수의 인과관계를 Figure 3과 같이 가설 로 설정하였다. 4항목 - 허용되지않는 정보흐름제한 사용자 - 허용되지않는 정보흐름일부제거 데이터 - 허용되지않는 정보흐름모두제거 보호 - 허용되지않는 정보흐름감시 17항목 - 외부데이터유입시 보안속성 적용 3.1 전자금융 소프트웨어 보안기술수준 측정 - 내부데이터전송시 보호 - 내부데이터전송시 무결성검사 위의 금융 컴플라이언스에서 요구하는 전자금융 소 - 저장데이터 무결성검사 프트웨어에서 구현, 통제 가능한 보안 준수 항목은 - 저장데이터 무결성검사 및 행동정의 - 보안기능전송용 데이터 노출보호 - 보안기능전송용 데이터 무결성검사 - 사용자 보안속성정의 - 인증데이터재사용방지 식별 및 - 다중인증 매커니즘 인증 - 사용자신원재인증 6항목 - 인증시도 실패시대응행동 - 비밀 정보허용 기준검증 대상 시스템 접근 Figure 4. 금융 IT보안 컴플라이언스와 공통평가기준관계 410 정보화 연구 - 사용자별 세션 동시세션 수 제한 - 사용자 비활동시 시스템에 의한 잠금 3항목 - 사용자 비활동시 시스템에 의한 세션 종료 합계 38항목
전자금융소프트웨어보안기술수준평가지표 Figure 5. 전자금융소프트웨어보안수준지표산출모델 Electronic banking software security index calculation model Figure 4에서컴플라이언스준수평가영역이다. 컴플라이언스준수항목을공통평가기준보안요구사항영역별로분류하여매핑하여분류하면 Table 4와같다. 전자금융감독규정과금융보안원의금융IT 보안컴플라이언스참조가이드에서전자금융소프트웨어에대하여요구하는개발관련요구항목을이용하여분류하였다. 전자금융 S/W 보안기술수준 (R) 과컴플라이언스준수여부 (E) 를산출하는모델은 Figure 5와같이제시하였다. 전자금융소프트웨어보안기술수준 (R) 산출공식은아래와같다. R = M i ( D j, S i ) (i = 1 10, j=1 118), M i (a, b i )= Σ a* b i, M i (x~y, z) = x*z +...+ y*z R = M 1 ( D 1 ~ D a, S 1 )) + M 2 ( D a+ 1 ~ D b, S 2 ) + M 3 ( D b+ 1 ~ D c, S 3 ) +... + M 10 ( D i+ 1 ~ D j, S 10 )) (a=15, b=19, c=24, d=54, e=68, f=74, g=84, h=86, i=105, j=118) D i : 보안영역별평가항목의측정값 : 보안영역에대한가중치 S i 3.2 컴플라이언스준수여부측정 전자금융소프트웨어관련통제항목 118개항목중, 금융IT 컴플라이언스 분석에따라필수적으로준수하여야하는항목으로정의할수있다. 금융IT 컴플라이 언스에의하여전자금융소프트웨어에대하여필수적으로준수하여야보안요구사항에대한항목은 Table 4 와같다. 필수준수항목은본모델에서보안대책에대한적합, 부적합을판단하는요소로사용된다. 전체 38 개항목중한개라도준수하지않으면, 전체적으로보안수준이부적합하다고평가한다. 따라서, E ( 컴플라이언스준수여부 ) 는아래와같이결정할수있다. E i - = 1 or 0 (i 항목에대한대책적용여부 : 미적 용 = 1, 적용 =0) if ( ΣE i (i = 1 38) == 0 ) E = 적합 (Ttrue) ; else E = 부적합 (False) ; - 부적합개수 = ΣE j (i = 1 38) 4. 실증분석본연구를위해구성된설문지의내용과구성방식은크게 11가지부분으로구성되어있다. 일반사항으로인구통계학적사항과전문성정도이고, 보안감사, 보안통신, 암호지원, 사용자데이터보호, 식별및인증, 자원활용, 대상시스템접근, 안전한경로및채널, 보안기능관리데이터보호, 보안관리 10가지큰항목으로구성되어있다. 설문대상은전자금융서비스와관련된금융회사, 전자금융업자보조업자, 금융회사업무관련 IT 전문가대상으로설문을실시하였다. 4.1 실증분석을위한조작적정의가. 평가항목분석보안감사분야는전자금융소프트웨어에서보안통제관점에서의감사데이터의정의, 감사대상선택, 감사데이터보호등과관련된 15개의항목으로구성된다. 보안통신분야는발신부인방지, 수신부인방지관점으로 4개세부항목으로구성된다. 암호지원분야는암호키관리와암호연산관점으로 5개세부항목으로구성된다. 사용자데이터보호분야는접근통제, 데이터인증, 정보흐름통제, 외부데이터통제, 내부데이터통제관점으로 30개세부항목으로구성된다. 식별및인증분야는사용자보안속성, 사용자식별및인증, 비밀정보관점으로 14개세부항목으로구성된다. 자원활용분야는오류에의한내성, 자원사용우선순위, 자원할당관점으로 6개세부항목으로구성된다. 대상 Journal of Information Technology and Architecture 411
이주호 이상준 시스템접근분야는접근경고및이력, 세션보안관점으로 10개세부항목으로구성된다. 안전한경로및채널분야는 2개세부항목으로구성된다. 보안기능관리데이터보호분야는보호준비, 관리데이터물리적보호, 장애및복구, 관리데이터전송보호, 시험및탐지관점에서 19개세부항목으로구성된다. 마지막으로보안관리분야는명세및역할, 기능및속성관리, 보안기능데이터관리관점에서 13개세부항목으로구성된다. 일반사항은 Table 5와같이설문항목 4항목과, 118개세부항목으로총 122개설문항목으로구성되었다. 나. 가중치분석지표의가중치를산정하기위하여 AHP 분석을실시하였다. AHP(Analytic Hierarchy Process) 는 ' 의사결정의목표또는평가기준이다수이며복합적인경우, 이를계층화 (Hierarchy), 주요요인과그 Table 5. 설문항목및내용 Survey items and details 항목 설문내용 문항수 일반사항 - 응답자의기본사항, 분야에대한전문성정도 4 보안감사 보안통신 암호지원 - 보안감사데이터생성 - 대상사건의신원연관 - 감사대상사건선택 - 감사데이터저장보호 - 선택된감사데이터저장 - 감사데이터임계치초과시행동정의 - 감사데이타포화시행동정의 - 보안감사검토기능 - 식별된사용자에게감사레코드읽기허용 - 감사데이터도구선택 - 감사분석시기본임계치제공 - 비정상행위탐지위한개별프로파일유지 - 시그니쳐기반감사데이터분석 - 복잡공격분석을위한다단계탐지 - 잠재적보안위반탐지시자동대응행동 - 일부정보발신증거검증 - 모든정보발신증거검증 - 일부정보수신증거검증 - 모든정보수신증거검증 - 암호알고리즘과키길이 - 키분배정의 - 암호키접근방법 - 암호키파기방법 - 암호연산 15 4 5 Table 5. Continued 항목설문내용문항수 사용자데이터보호 식별및인증 자원활용 - 일부범위접근통제정책 - 모든범위접근통제정책 - 보안속성기반접근통제정책 - 정보위변조방지증거 - 정보주체사용자검증 - 일부정보흐름통제정책 - 모든정보흐름통제정책 - 보안속성기반정보흐름통제 - 허용되지않는정보흐름제한 - 허용되지않는정보흐름일부제거 - 허용되지않는정보흐름모두제거 - 허용되지않는정보흐름감시 - 외부데이터전송시보안정책강제 - 외부데이터전송시보안속성적용 - 외부데이터유입시보안정책강제 - 외부데이터유입시보안속성적용 - 내부데이터전송시보호 - 내부데이터전송시보호및통제데이터분리 - 내부데이터전송시무결성검사 - 내부데이터전송시분리된전송채널 - 저장데이터무결성검사 - 저장데이터무결성검사및행동정의 - 보안기능전송용데이터노출보호 - 보안기능전송용데이터무결성검사 - 송신처도움데이터복구 - 송신처도움없는데이터복구 - 일부자원관련이전정보사용금지보장 - 모든자원관련이전정보사용금지보장 - 일부정보복귀허용 - 모든정보복귀허용 - 사용자보안속성정의 - 사용자와주체간연결 - 사용자식별전행동허용 - 모든행동허용전사용자식별 - 사용자인증전행동허용 - 모든행동허용전인증전사용자인증 - 위조된인증데이터탐지및방지 - 인증데이터재사용방지 - 다중인증매커니즘 - 사용자신원재인증 - 제한된피드백목록제공 - 인증시도실패시대응행동 - 비밀정보허용기준검증 - 허용기준만족비밀정보생성 - 장애시일부기능정상운영 - 장애시모든기능정상운영 - 일부자원우선순위할당 - 모든자원우선순위할당 - 자원최대할당치를강제제공 - 자원최소할당량보장 30 14 6 412 정보화연구
전자금융소프트웨어보안기술수준평가지표 Table 5. Continued 항목설문내용문항수 대상시스템접근 안전한경로채널 보안기능관리데이터보호 보안관리 - 사용자세션설정전권고메시지표시 - 세션관련기록표시 - 세션보안속성설정 - 세션설정거부 - 모든사용자동시세션수제한 - 사용자별세션동시세션수제한 - 사용자비활동시시스템에의한잠금 - 사용자비활동시사용자에의한잠금 - 사용자비활동시시스템에의한세션종료 - 사용자비활동시사용자에의한세션종료 - 보안기능간안전한채널 - 사용자와보안기능간안전한경로 - 신뢰할수있는타임스탬프제공 - 보안기능데이터송수신시변경금지보장 - 보안기능데이터송수신시변경금지응답동기화 - 보안기능데이터물리적침해탐지 - 보안기능데이터물리적침해시사용자통보 - 보안기능데이터물리적침해방지 - 장애발생시보안기능상태유지 - 장애발생이후안전한상태관리모드제공 - 장애발생이후자동복구 - 장애발생이후보안기능데이터초기상태복구보장 - 일관성있는안전한상태로복구 - 보안기능데이터전송시노출변경보호 - 보안기능데이터와사용자데이터분리전송 - 보안기능데이터무결성오류탐지 - 보안기능데이터내부복사시일관성보장 - 보안기능데이터외부전송시일관성보장 - 외부시스템연계시시험 - 보안기능수행을위한자체테스트실시 - 재사용공격에대한탐지 - 보안기능목록명세 - 보안기능관리사용자별역할할당 - 보안기능관리의사용자그룹별역할할당 - 보안기능목록관리의인가제한 - 보안속성변경제한 - 보안속성값의안전한값유지 - 보안속성값의디폴트값안전성보장 - 보안속성값설정규칙명세 - 보안속성목록폐지제한 - 보안속성유효기간만료관리제한 - 보안기능데이터관리제한 - 보안기능데이터한계치초과시대응 - 보안기능데이터의안전성보장 주요요인을이루는세부요인들로분해하고, 이러한 10 2 19 13 요인들을쌍대비교 (Pairwise Comparison) 를통해중요도를산출하는분석방법 ' 이다 [23,34]. 직관적으로, ' 다수의속성들을계층적으로분류하여각속성의중요도를파악함으로써최적대안을선정하는기법 ' 으로정의할수도있다. AHP는의사결정요소들의속성과그측정척도가다양한다기준의사결정문제에효과적으로적용되어의사결정자가선택할수있는여러가지대안들을체계적으로순위화를시키고, 그가중치 (weight) 를비율척도 (ratio scale) 로도출하는방법을제시한다. 각전문가들이비교한가중치의평균으로해당가중치를계산하는것을목표로한다. Figure 6과같이기준가중치를위한계층구조에서레벨 1의 10개속성에대한비교기준의상대적인중요도에따라세부기준의중요도가결정되도록한다. 단주성분분석 (PCA) 과같이레벨 2의가중치는동일한단일지표로가정하였다. 레벨1의 10개기준에대한질문구성은다음 Table 6 과같다. 또한상대적중요성의척도는아래 5가지로설문조사를수행했다 (1 매우중요 (3점), 2 중요 (2점), 3 보통 (1점), 4 중요하지않음 (1/2점), 5아주중요하지않음 (1/3점)). 또한본논문에서는 10개기준에대한가중치를도출하기위하여그림 13 에서보안수준가중치계층구조를제시한다. 10개기준에대한쌍대비교에서객관성을증명하기위해전문가그룹에의한의사결정방법을사용한다. 10개기준의상대적인중요도비교를위하여쌍대비교행렬을만들게된다. m이가로축 10개기준이며 n은세로축 10개기준일때, 쌍대비교행렬 1 은 = 이되도록한다. a mn Figure 6. 보안수준가중치계층구조 Security level weights hierarchy a mn Journal of Information Technology and Architecture 413
이주호 이상준 Table 6. 보안수준가중치설문 Security survey weights 설문내용 1. 보안감사 (II-1) 통제사항이 보안통신 (II-2) 통제사항보다얼마나중요하다고생각하십니까? 2. 보안감사 (II-1) 통제사항이 암호지원 (II-3) 통제사항보다얼마나중요하다고생각하십니까? 3 보안감사 (II-1) 통제사항이 사용자데이터보호 (II-4) 통제사항보다얼마나중요하다고생각하십니까? 4. 보안감사 (II-1) 통제사항이 식별및인증 (II-5) 통제사항보다얼마나중요하다고생각하십니까? 5. 보안감사 (II-1) 통제사항이 자원활용 (II-6) 통제사항보다얼마나중요하다고생각하십니까? 6. 보안감사 (II-1) 통제사항이 대상시스템접근 (II-7) 통제사항보다얼마나중요하다고생각하십니까? 7. 보안감사 (II-1) 통제사항이 안전한경로, 채널 (II-8) 통제사항보다얼마나중요하다고생각하십니까? 8. 보안감사 (II-1) 통제사항이 보안기능관리데이터에대한보호 (II-9) 통제사항보다얼마나중요하다고생각하십니까? 9. 보안감사 (II-1) 통제사항이 보안관리 (II-10) 통제사항보다얼마나중요하다고생각하십니까? 10. 보안통신 (II-2) 통제사항이 암호지원 (II-3) 통제사항보다얼마나중요하다고생각하십니까?......(11.~38. 쌍대비교문장생략함 )... 39. 자원활용 (II-6) 통제사항이 보안관리 (II-10) 통제사항보다얼마나중요하다고생각하십니까? 40. 대상시스템접근 (II-7) 통제사항이 안전한경로, 채널 (II-8) 통제사항보다얼마나중요하다고생각하십니까? 41. 대상시스템접근 (II-7) 통제사항이 보안기능관리데이터에대한보호 (II-9) 통제사항보다얼마나중요하다고생각하십니까? 42. 대상시스템접근 (II-7) 통제사항이 보안관리 (II-10) 통제사항보다얼마나중요하다고생각하십니까? 43. 안전한경로, 채널 (II-8) 통제사항이 보안기능관리데이터에대한보호 (II-9) 통제사항보다얼마나중요하다고생각하십니까? 44. 안전한경로, 채널 (II-8) 통제사항이 보안관리 (II-10) 통제사항보다얼마나중요하다고생각하십니까? 45. 보안기능관리데이터에대한보호 (II-9) 통제사항이 보안관리 (II-10) 통제사항보다얼마나중요하다고생각하십니까? 성별 나이 직위 업종 전문성 자발성 투자성향 Table 7. 설문응답자특징 Survey respondents Features 구분 빈도 (n) 백분율 (%) 누적백분율 (%) 남자 59 90.8 90.8 여자 6 9.2 100.0 합계 65 100.0 100.0 21 ~ 25 1 1.5 1.5 26 ~ 30 13 20.0 21.5 31 ~ 35 13 20.0 41.5 36 ~ 40 17 26.2 67.7 41 ~ 45 14 21.5 89.2 46 ~ 50 6 9.2 98.5 51 ~ 55 1 1.5 100.0 합계 65 100.0 100.0 사원 ( 연구원, 팀원 ) 4 6.2 6.2 대리 ( 전임 ) 19 29.2 35.4 과장 ( 선임 ) 17 26.2 61.5 차장, 부부장 ( 책임 ) 16 24.6 86.2 팀장, 부장 ( 수석 ) 5 7.7 93.8 상무 ( 이사 ) 4 6.2 100.0 합계 65 100.0 100.0 공공기관 2 3.1 3.1 금융회사 12 18.5 21.5 보안서비스회사 29 44.6 66.2 정보통신회사 9 13.8 80.0 기타 ( 비영리등 ) 13 20.0 100.0 합계 65 100.0 100.0 정보보호전문가 37 56.9 56.9 IT 전문가 23 35.4 92.3 금융서비스전문가 1 1.5 93.8 기타 4 6.2 100.0 합계 65 100.0 100.0 소극적 8 12.3 12.3 중간 32 49.2 61.5 적극적 21 32.3 93.8 매우적극적 4 6.2 100.0 합계 65 100.0 100.0 매우안정적 6 9.2 9.2 안정적 22 33.8 43.1 중간 26 40.0 83.1 위험적투자스타일 10 15.4 98.5 고위험투자스타일 1 1.5 100.0 합계 65 100.0 100.0 414 정보화연구
전자금융소프트웨어보안기술수준평가지표 4.2 설문조사표본의특성설문응답자의특성을보면 Table 7 에서보는바와같다. 대상자의성별은 남자 59명 (90.8%), 여자 6명 (9.2%) 순으로나타났다. 나이는 20대 10명 (15.4%), 30대 29명 (46.6%), 40대 25명 (38.5%), 50대 1명 (1.5%) 순으로나타났다. 직위는다양한순으로고르게분포하고있으며, 소속업종구분은 공공기관 2명 (3.1%), 금융회사 12명 (18.5%), 보안서비스회사 29명 (44.6%), 정보통신회사 9명 (13.8%), 기타 ( 비영리회사등 ) 13명 (20%) 순으로나타났다. 직급은 사원 ( 연구원, 팀원 ) 4명 (6.2%), 대리 ( 전임 ) 19명 (29.2%), 과장 ( 선임 ) 17명 (26.2%), 차장, 부부장 ( 책임 ) 16명 (24.6%), 팀장, 부장 ( 수석 ) 5 명 (7.7%), 상무 ( 이사 ) 4명 (6.2%) 으로이루어졌다. 전문성은 정보보호전문가 37명 (56.9%), IT전문가 23 명 (35.8%), 금융서비스전문가 1명 (1.5%), 기타 4명 (6.2%), 로응답자가 정보보호전문가 또는 IT전문가 가 92.3% 로이루어졌다. 응답자의자발적관련성향은 소극적 8명 (12.3%), 중간 32명 (49.2%), 적극적 21명 (32.3%), 매우적극적 4명 (6.2%), 로본설문회신응답자는 중간 또는 적극적 성향의 81.5% 로이루어졌다. 응답자의투자성향은 매우안정적 6명 (9.2%), 안정적 22명 (33.8%), 중간 26명 (83.1%), 위험적투자스타일 10명 (15.4%), 고위험적투자스타일 1명 (1.5%) 로본설문회신응답의투자성향은 매우안정적 또는 안정적 또는 중간 성향이 83% 로이루어졌다. 4.3 측정모형검정가. 평가항목에대한신뢰성검증본논문의설문지에기술된측정항목들에대한신뢰성분석방법으로내적일관성법을이용하였다. 내적일관성법은동일개념의측정을위해여러개의항목을이용하는경우신뢰도를저해하는항목을찾아내어측정도구에서제외시켜측정도구의신뢰도를높이는방법으로보통크론바흐 (Cronbach) 알파값을이용한다. 크론바흐알파값은 0과 1사이에서변하게되는데집단수준의경우알파계수가 0.6이상이고개인수준인경우 0.9이상이되면신뢰성이높다고할수있다 [33]. 본자료분석은 SPSS 20.0 사회과학조사통계기법을이용하였으며, 전자금융소프트웨어보안기술수준 Table 8. 신뢰성분석결과 Reliable results (N=65) 지표영역 세부항목수크론바흐알파 1. 보안감사 15 0.996 2. 보안통신 4 0.792 3. 암호지원 5 0.971 4. 사용자데이터보호 30 0.996 5. 식별및인증 14 0.983 6. 자원활용 6 0.870 7. 대상시스템접근 10 0.984 8. 안전한경로및채널 2 0.935 9. 보안기능관리데이터보호 19 0.995 10. 보안관리 13 0.990 평가지표 ( 안 ) 의 중요도 에대한신뢰도를분석한결과, 전반적으로크론바흐알파값은높은신뢰도를보였다. 다음의 Table 8는지표변수의영역별로크론바흐알파값을보여준다. 영역별크론바흐알파값이모두 0.6 이상으로나타났으며, 제시하고있는신뢰도평가기준인 0.6이상을상회하고있으므로본설문조사의측정결과에대한신뢰성은매우높다고할수있다. 나. 가중치분석결과 AHP(Analytic Hierarchy Process) 기법에의하여 10명의전문가로부터받은상대적중요성에대한유효한가중치백터의평균값으로 R = Σ M i ( D j, S i ) (i = 1 10, j=1 118), 모델에서정의한 S i 의값 ( 가중치 ) 을도출한다. 답변 10개모두 CR 값은 0.1 보다작아서신뢰할수있다. 전자금융소프트웨어보안기술수준평가지표를 AHP 분석결과에의하여아래와같이 S i 의값을도출한다. - W i (i= 1.. 10) : 설문분석결과도출된고유값의평균 (Table 9. 의항목별 W i 값 ) - W t : 개별항목별고유값의합 ( W t = Σ ( W i count( 영역별항목수 ))), W t = W 1 15 + W 2 4 + W 3 5 + W 4 30 + W 5 14 + W 6 6 + W 7 10 + W 8 2 + W 9 19 + W 10 12 = 13.025 - S i = W i W t (i = 1 10) - S 1 : 보안감사기준가중치 (0.006) Journal of Information Technology and Architecture 415
이주호 이상준 Table 9. AHP Analysis 답변 1 답변 2 답변 3 답변 4 답변 5 답변 6 답변 7 답변 8 답변 9 답변 10 평균 (Wi) 보안감사 0.055 0.091 0.091 0.077 0.060 0.073 0.072 0.078 0.077 0.075 0.075 보안통신 0.105 0.091 0.091 0.073 0.114 0.139 0.072 0.102 0.088 0.092 0.098 암호지원 0.105 0.091 0.091 0.137 0.120 0.073 0.144 0.088 0.115 0.108 0.106 사용자데이터보호 0.204 0.182 0.182 0.137 0.120 0.146 0.136 0.197 0.158 0.174 0.163 식별및인증 0.055 0.091 0.091 0.077 0.060 0.073 0.072 0.078 0.077 0.075 0.075 자원활용 0.105 0.091 0.091 0.073 0.114 0.139 0.072 0.102 0.088 0.092 0.098 대상시스템접근 0.105 0.091 0.091 0.137 0.120 0.073 0.144 0.088 0.115 0.108 0.106 안전한경로및채널 0.055 0.091 0.091 0.077 0.060 0.073 0.072 0.078 0.077 0.075 0.075 보안기능데이터보호 0.105 0.091 0.091 0.073 0.114 0.139 0.072 0.102 0.088 0.092 0.098 보안관리 0.105 0.091 0.091 0.137 0.120 0.073 0.144 0.088 0.115 0.108 0.106 합계 1.000 1.000 1.000 1.000 1.000 1.000 1.000 1.000 1.000 1.000 1.000 CR 0.096 0.078 0.090 0.051 0.100 0.098 0.090 0.088 0.090 0.088 - - S 2 : 통신기준가중치 (0.008) - S 3 : 암호지원기준가중치 (0.008) - S 4 : 사용자데이터보호기준가중치 (0.013) - S 5 : 식별및인증기준가중치 (0.006) - S 6 : 자원활용기준가중치 (0.008) - S 7 : 대상시스템접근기준가중치 (0.008) - S 8 : 안전한경로및채널기준에대한가중치 (0.006) - S 9 : 보안기능관리데이터보호기준가중치 (0.008) - S 10 : 보안관리기준가중치 (0.008) - : 상기보안영역별평가항목의측정값 D i 4.4 관련모델적용사례 가. 금융투자유관기관적용금융투자유관기관과금융투자회사등의 IT시스템구축및운용을하는금융인프라관련공공기관인 A 사를대상으로해당지표에대한평가를실시하여실업무에적용하였다 (Table 11). 대상소프트웨어는주식매매, 뱅킹업무와금융상품투자정보를제공하는모바일증권트레이딩시스템 (MTS, Mobile Trading System) 으로하였다. A사에서제공하는 MTS(Moblie Trading System) 에대한보안기술에대한평가수준에대한측정결과는아래와같다. - R ( 보안기능수준값 ) : 0.762 ( 백분율환산값 : 76.2 %) - E ( 컴플라이언스준수여부 ) : 부적합 (False), 부적합개수 : 1개영역별보안수준특이사항으로는보안통신 (50%), 자원활용 (50%), 대상시스템접근 (57%), 보안기능관리데이터보호 (53%) 가 50% 수준으로보안요구수준적용이 60% 이하로적용되어있는상황이다. 해당지표를적용후, 평가대상기관인 A사의정보보호담당자인팀장 1명, 과장 1명과의인터뷰를통해받은피드백은다음과같다. 첫째해당지표는전체적으로데이터통신부터암호화를포함한애플리케이션보안관리, 자원활용까지개발전반적인영역을대상으로종합적으로정량화된평가가능하다. 둘째해당소프트웨어에대한법적미준수사항파악이용이하다. 하지만 A사의보안수준값은 76.2 % 로예상보다낮게측정되었는데, 이는보안기능관리데이터, 자원활용, 대상시스템접근항목에서보안대책이미흡한부분이발견됨. 보호데이터복구, 물리적침해에대한탐지항목은신속성및신뢰성이요구되는금융투자업무용금융거래소프트웨어의보안수준의평가요소로적용하 기에는보완이필요하다고판단된다. 또한공통평가기 416 정보화연구
전자금융소프트웨어보안기술수준평가지표 Table 11. 적용결과및내용 Apply the results and information and Contents 구분 평가대상기관 적용소프트웨어 내용 A 사 ( 금융인프라관련공공기관 ) - 자본시장 IT 서비스기업 - 국내자본시장의시세정보분배업무제공 - 국내 외금융기관, 정보사업자, 언론사등에실시간금융정보제공 - 금융투자시장매매시스템개발및운영 - 증권망 (Stock-Net), 재해복구센터및금융투자관련종합솔루션제공 모바일증권트레이딩시스템 (MTS, Mobile Trading System) - 금융투자회사를위한 IT 서비스로투자자가가정이나회사에서인터넷을통해주식이나파생상품을직접거래할수있도록지원하는시스템 검증기간 15. 9.1 ~ 15. 11. 1 검증항목 지표검증방식 평가자 본연구에서제시하는전자금융소프트웨어관련보안기술요구사항지표 10개영역, 118개항목 - 표 3-3 항목 아래분석및확인을통한지표항목에대한적용여부검증 - 해당소프트웨어소스분석 - 관련로그확인 - 담당자인터뷰금융보안원이주호팀장 확인자 A 사정보보호담당자 (K 팀장, B 과장 ) 준에비해해당지표는보안기술수준의정량적파악및컴플라이언스준수여부의파악이가능하다. 따라서금융회사담당자들이본지표를이용하여각기관의소프트웨어의보안기술수준및법적요구사항준수에대한관리가가능한것이본지표의장점임을확인할수있었다. 5. 결론 5.1 연구결과요약최근금융회사뿐만이아니라핀테크관련업체들도전자금융서비스에대한관심이증가하고있다. 정부의금융보안과관련한규제도타율적규제에서자율적인체제로변화하고있는환경이다. 본연구에서는전자금융과관련한컴플라이언스중에서소프트웨어와관련한기술적요구사항을도출하였으며, 또한공통평가기준에서요구하고있는보안요구사항의틀내에서새로운통제항목및기술적보안수준을측정할수있는모델을제시하였다. 또한전자금융소프트웨어에적용된보안수준을측정할수있는가중치를도출하였다. 본논문에서는가중치를검증하기위하여전문가들 에게 AHP 기법을적용하여평가지표를구체화하였다. 기존연구에서는정보보호수준측정을위하여관리적인통제항목을판별하는데중점을두고있는반면, 본논문에서는소프트웨어에필요한기술적인분류를수행하였다. 그러므로해당통제항목은향후전자금융서비스를신규로검토하고자할때, 보안요구사항으로사용될수도있고, 전자금융서비스와관련한프로그램설계자, 프로그래머들에게도보안기준을제시하여전자금융소프트웨어관련한취약점을예방할수있는기준정보로사용될수있다. 또한, 금융회사와전자금융업자들이전자금융소프트웨어와관련한서비스를시작하려고할때, 본연구에서제시하는수준측정지표를사용하여해당소프트웨어에대한보안수준이관리가가능하다. 또한금융회사의전자금융소프트웨어개발시준수해야하는컴플라이언스의준수여부가평가되면금융회사는법적위규사항을구체적으로관리할수있다. 또한보안기술수준이측정되면, 개발단계에서미흡한보안대책에대한관리가가능하다. 한편해킹또는 IT 기술발전에따라해당지표의보안요구사항들을지속적으로구체화또는보강하여, 발전시켜야한다. 또한필요시금융정책당국은관련연구의지표, 활용방법, Journal of Information Technology and Architecture 417
이주호 이상준 결과값공유 관리방법등에대하여관련법규에반영시킬수있다. 5.2 연구의시사점및한계점 IT보안인증사무국에따르면국내공통평가기준획득시스템은정보보호제품위주로인증이이루어지고있다. 국내금융회사가전자금융소프트웨어에대하여공통평가기준체계에서인증을받은사례는없다. 따라서금융회사의전자금융소프트웨어에대하여공통평가기준평가기준과본연구에서제시하는지표모델과의직접적인비교분석이어려운한계가있다. 본연구모델은공통평가기준과다르게전자금융소프트웨어와관련한보안요구사항으로고정적이며, 컴플라이언스준수여부를 적합 또는 부적합 형태로제시하고있다. 또한보안기술수준을정량적지표 ( 백분율 ) 로제시하고있다. 향후에는전자금융소프트웨어보안기술평가지표를측정하여관리할수있는시스템을구축하여관리하도록시도하여야한다. 아울러세부적인보안요구사항항목들은 IT 기술, 인증기술및데이터보호기술발전에따라서지속적으로연구, 보완, 수정이필요하다. 본연구에서추출된가중치는다양한지표적용이이루어져서적절한통계치가누적되는시점에서는지표를일괄적으로보완하여야한다. 본논문에서제시하는전자금융소프트웨어보안수준측정방법이민간자율의보안성검토체계를수립하는현시점에서 핀테크기술의보안수준진단체계구축 을위한지표연구의초석이되길바란다. 또한전자금융서비스를제공하는소프트웨어개발자, 금융회사, 전자금융서비스사용자, 정부등에서객관적보안수준을측정하고, 인정할수있는수단으로활용될수있다. References [1] Byeong Gyu Roh, Hei Joon Yu, Common Criteria v3.1-based methodology and rating, Review of Korean Society for Internet Information, Vol. 9. No. 3, pp. 67-77, 2008. [2] Daniel, M., Eduardo F.M., Mario, P., Common criteria based security requirements engineering process for development of secure information systems, Computer Standard & Interface, Vol.29, 2006. [3] Financial Security Institute, Financial IT Security Compliance Reference Guide, 2015 [4] Financial Supervisory Service, Electronic banking supervisory regulations, 2015 [5] Financial Supervisory Service, Electronic Financial Transactions Act, 2015 [6] Financial Supervisory Service, IT examination manual, 2014 [7] Financial Supervisory Serviceh, IT examination manual, 2014 [8] Gordon, T.J., Munson, T.R. A Proposed Convention for Measuring the State of th Art of Products of Process, Technological Forecating and Social Change, Vol. 20, pp. 1-26, 1981. [9] Hayes, I., Metrics for IT Outsourcing Level Management, Clarity Consulting, 2001. [10] Hea Suk Jo, Woong Ryul Jeon, Han Jae Jeong, Sung Jin Lee, Common Criteria v2.3 and v3.1 comparative analysis, REVIEW OF KIISC, Vol. 17. No. 6, pp. 9-19, 2007. [11] Heyong Mok park, A study on the process improvement for efficiency elevation of IT security products evaluation, Kyonggi University, 2004. [12] Hye Jin Lee, Reuse way of Protection Profile to draw Security Functional Requirements Based on Common Criteria, Sogang University, 2013. [13] ISO/IEC 15408-1, Infomation technology - Security techniques - Evaluation criteria for IT Security - Part 1 : Introduction and general model, 2009. [14] ISO/IEC 15408-2, Infomation technology - Security techniques - Evaluation criteria for IT Security - Part 2 : Security functional componets, 2009. [15] ISO/IEC 15408-3, Infomation technology - Security techniques - Evaluation criteria for IT Security - Part 3 : Security assurance componets, 2009. [16] ISO/IEC 18045, Infomation technology - Security techniques - Methodology for IT Security evaluation, 2009. [17] ISO/IEC TR 15446, Infomation technology - Security techniques - Guide for the production of Protection Profiles and Security Targets, 2008. [18] Jin Seok Park, Hee Soo Kang, Seung Joo Kim, How to Combine Secure Software Development Lifecycle into Common Criteria, Journal of the Korea Institute of Information Security and Cryptology, Vol. 24. No. 11, pp. 171-192, 2014. [19] Jong Hyuk Won, Wook Bin Lim, and You Jin Park, A Study on Methods to Encourage the Implementation of Integrated Security Control 418 정보화연구
전자금융소프트웨어보안기술수준평가지표 Systems, Journal of Information Technology and Architecture, Vol. 12. No. 4, pp. 535-552, 2015. [20] Ken Research, Technology level Model Research, 1976. [21] Mark, S. M. and Jim, B, Computer security assurance using the common cirteria, Thomson/ Delmar Learning Clifton Park, NY, 2005. [22] Martino, J, Technology Forecast for Decision Maring (3rd ed), New york, 1993. [23] Melvin, A., Decision-Making using the Analytic Hierarchy Process(AHP) and SAS/IML, Social Secutiy Administration, Baltimore, 2012 [24] Saaty, R.W., The Analytic Hierarchy Process - what it is and how it is used, Pergamon Journal, Vol.5, 1987. [25] Sang Gee Kim, On Analysis of the Characteristics and Indicatiors of Technology Level Evaluation, Hanyang University, 2013 [26] Sang Ho Kim, A study on IT security evaluation using process maturity model and security management system certification : focused on common criteria, SSE-CMM, BS 7799, Yonsei University, 2005 [27] Sang ho Kim, Choon seong Leem, An Evaluation Method for Security Policy Model Based on Common Criteria, Review of KIISC, Vol. 13. No. 5, pp. 57-67, 2003. [28] Sang Ho Lee, Application of common criteria for evaluation of information protection system, Sungkyunkwan University, 2002. [29] Su Yeon Lee, A study on CC for security assurance requirements : focused on domestic common criteria, Sungkyunkwan University, 2012. [30] The Bank of Korea, Usage report domestic Internet banking services, 2014 [31] The Board of Audit and Inspection of Korea, Financial privacy and cyber security management practices audit report, 2014 [32] Yeon Hee Kang, Young Hwan Bang, and Gang Soo Lee, Development of Security Evaluation Management System Based on Common Criteria, The Journal of Society for e-business Studies, Vol. 10. No. 3, pp. 67-83, 2005. [33] Young Tae Kim, A Study on Compliance Evaluation Indicators of Corporate Information Security and Personal Data Protection, SSE-CMM, BS 7799, Chunnam University, 2012 [34] Young-Jin Choi, Jong-Hei Ra, Hong Pilky and Sang-Hak Lee, Vulnerability and Security Management System from the Perspective of the Cloud Service Users, Journal of Information Technology and Architecture, Vol. 9. No. 4, pp. 401-411, 2012. 이주호 (Ju-Ho Lee) 1999 년성균관대학교정보공학공학사 2009 년성균관대학교에서정보통신정책학공학석사 2016 년전남대학교에서정보보호학박사 2009~ ( 사 ) 금융보안원보안관제팀장주요관심분야 : 소프트웨어취약점, 보안수준측정지표, CC, 빅데이터, 보안관제 E-mail : jhidea@naver.com 이상준 (Sang-Joon Lee) 1991 년전남대학교전산통계학이학사 1993 년전남대학교전산통계학이학석사 1999 년전남대학교전산통계학이학박사 1995 년 ~2007 년서남대학교, 신경대학교조교수 2007~ 전남대학교경영학부교수주요관심분야 : 경영정보시스템, 전자상거래, 소프트웨어공학, 유비쿼터스컴퓨팅 E-mail : s-lee@jnu.ac.kr Journal of Information Technology and Architecture 419