Earticle

최근, 산업제어 시스템의 개방화로 인해 민간, 공공 분야 정보시스템에서 구조적 패러다임의 큰 변화가 제안되고 있다. 이에 따라, 기존 정보시스템의 보안 기술 수준으로 대응할 수 없는 미래 주요 기반 시설 제어시스템의 잠재적 사이버 보안 문제가 최근 대두되고 있으며, 이러한 보안 취약점에 대응하기 위해 다양한 기반 시설 제어 시스템 환경에 대해 입체적 으로 보안 취약성을 평가할 수 있는 보안 평가 도구가 필요하다. 하지만 현재 국내 사이버 보안 평가 환경은 점검 항목의 대부분이 기술적인 영역에 한정되어 있어 한계점이 존재한다. 이를 극복하기 위해, 미국의 사이버 보안 평가 도구인 CSET(Cyber Security Evaluation Tool)을 국내 다양한 기반 시설의 제어 시스템 환경에 맞게 적용하기 위한 많은 연구가 필요하다. 따라서, 본 논문에서는 기존의 보안 평가 도구를 적용하는 다양한 연구 사례 분석을 통해 국내 원전, 전력 등의 기반 시설에 적용할 방안에 대해 분석하고 앞으로의 연구 방향을 제안한다.

Recently, the liberalization of industrial control systems has been accompanied by a major change in the structural paradigm of information systems in the public and public sectors, and potential cyber security problems in the future major infrastructure control systems that cannot respond to the level of security of existing information systems. To cope with this, a cyber security evaluation tool that can evaluate security vulnerability in three dimensions against various infrastructure control system environment is needed. However, a cyber security evaluation in the domestic environments does not have the concept of the current security status and satisfy settings of the infrastructure. Also, the most of items in that environments have had short-term inspection themselves which makes a limitation by a technical area. In order to overcome this problems, many researches are needed to apply CSET (Cyber Security Evaluation Tool) which is the US cyber security evaluation tool to the control environment of various domestic infrastructure. In this paper, first, we analyze methods to apply to the major domain through the analysis of various case studies on existing security assessement tools. Finally, we discuss future directions.

Recently, to use the evaluated firewall is recognized as a solution to achieve the security and reliability for government and organizarions in Korea. Results of firewall evaluation using ITSEC(Information Technology Security Evaluation Criteria) and CCPP(Common Criteria Protection Peofile)have been announced. Because there are problems to apply ITSECor CCPP for the firewall evaluation in korea environment, korea government and korea Information security Agency (KISA) decided to develop our own security dvaluation critrtia fir firewalls.As a result of the efforts, Korea firewall security evaluation criteria has been published on Feb. 1998. In this paper, we introduce Korea security evaluation criteria for firewalls. The ceiteria consists of functional and assurance requirements that are compatible with CC Evaluation Assurance Levels(EALs)

There has been a growing interest and enthusiasm for the application of virtual worlds in learning and training. This research proposes a design framework of a virtual world-based learning environment that integrates two unique features of the virtual world technology, immersion and interactivity, with an instructional strategy that promotes self-regulatory learning. We demonstrate the usefulness and assess the effectiveness of our design in the context of information security learning. In particular, the information security learning module implemented in Second Life was incorporated into an Introduction to Information Security course. Data from pre- and post- learning surveys were used to evaluate the effectiveness of the learning module. Overall, the results strongly suggest that the virtual world-based learning environment enhances information security learning, thus supporting the effectiveness of the proposed design framework. Additional results suggest that learner traits have an important influence on learning outcomes through perceived enjoyment. The study offers useful design and implementation guidelines for organizations and universities to develop a virtual world-based learning environment. It also represents an initial step towards the design and explanation theories of virtual world-based learning environments.

In the United States(U.S.), since 1985 the Social Security Administration(SSA) Disability Insurance(DI) program has experienced significant growth in the number of people receiving disability benefits, such that by 2005, some 6.5 million disabled workers were drawing benefits. Since that time, except for a few years, the number of applications and new benefit awards has continued a constant, often significant growth, with awards tending to keep pace with new applications. As would be expected, this growth has resulted in spiraling expenditures, in large part because once on the benefit rolls, very few ever leave for any reason, but particularly not because of return to work. The purpose of this article is to provide an explanation of the United States public program efforts, particularly those of the U.S. Social Security Administration (SSA), to promote employment and return to work by Americans with disabilities. The authors focus on the various programmatic and policy changes aimed at encouraging work and reducing existing barriers to employment by persons with disabilities. The context within which Social Security Insurance program for persons with disabilities operates in the U.S. is described, as are SSA’s disability program and definition of disability, Social Security Disability Insurance(SSDI), Supplemental Security Income(SSI), and existing work incentives for each. Also presented are the new work incentives available through the more recent legislation entitled the Ticket to Work and Work Incentives Improvement Act, including expedited reinstatement of benefits, Medicaid Buy-in, and extended Medicare coverage. The article concludes with a description of some complementary government programs to further address these issues, and suggested approaches to research, practice applications, and key policy issues and implications.

The Common Criteria (CC) philosophy is to provide assurance based upon an evaluation of the IT product or system that is to be trusted. Evaluation has been the traditional means of providing assurance. It is essential that not only the customer' srequirements for software functionality should be satisfied but also the security requirements imposed on the software development should be effectively analyzed and implemented in contributing to the security objectives of customer's requirements. Unless suitable requirements are established at the start of the software development process, the re suiting end product, however well engineered, may not meet the objectives of its anticipated consumers. By the security evaluation, customer can sure about the quality of the products or sys tems they will buy and operate. In this paper, we propose a selection guide for If products by show ing relationship between security engineering and security evaluation and make help user and customer select appropriate products or system.

본 연구는 무선 의료 센서 네트워크의 보안을 위해 설계된 블록체인 및 PUF 기반 인증 프로토콜에 대한 포괄적인 분석을 제시하였다. 프로토콜의 취약점인 사칭 및 재생 공격은 타원 곡선 암호화(elliptic curve encryption )와 영지식 증명(zero-knowledge proofs)과 같은 강화된 암호화 조치를 통해 식별되고 해결되었다. 역할 기반 접근 제어는 내부자 위협을 완화하고, 동적 세션 키는 완벽한 순방향 보안을 보장하였다. 프로토콜의 성능은 효율성과 확장성을 입증하여 평가되었다. 향후 연구는 전자 건강 시스템에서 민감한 의료데이터를 보호하 기 위해서 보안을 더욱 강화하기 위해 하이브리드 블록체인 합의 메커니즘과 양자 이후 암호학을 개발해야 할 것이다.

This study presents a comprehensive analysis of a blockchain and PUF-based authentication protocol designed to secure wireless medical sensor networks. The protocol's vulnerabilities, including impersonation and replay attacks, are identified and addressed through enhanced cryptographic measures such as elliptic curve encryption and zero-knowledge proofs. Role-based access control is implemented to mitigate insider threats, while dynamic session keys ensure perfect forward secrecy. The protocol's performance is evaluated, demonstrating its efficiency and scalability. Future research will explore hybrid blockchain consensus mechanisms and post-quantum cryptography to further enhance security.

본 논문은 관광이 기간산업인 호주 퀸즐랜드주를 대상으로 민간시큐리티 산업의 선진화과정과 제도적 개선점 등에 대해 검토하였다. 90년대 중반을 기점으로 단계적으로 진행된 제1,2차 개혁과정의 검토를 통해 제도운영상의 종합적인 성과 및 개선사항을 점검하였으며, 사례분석을 통해 도출한 시사점은 Button(2012)과 Prenzler와 Sarre (2014)가 제시한 표준모델(Best Practice Model)에 대입하여 개선방안을 논의하였는데, 주요 내용은 다음과 같다. 첫째, 퀸즐랜드주는 연방정부의 시큐리티 사업자 규제 권고안을 충실히 이행하고 있으나 현장에서의 실시간 음주․약물 측정, 정신장애정도에 대한 감정, 경비 사업자 측근(close associates)에 대한 프로파일링 등과 같은 선제적 규제기법은 케이스-바이-케이스로 운용중이어서 보다 적극적인 쇄신이 요구된다. 둘째, 퀸즐랜드주 시큐리티 자문업․기계경비업자들의 경우 교육․훈련 과정 이수의 법적의무가 없어 자율준수로 운영되는 현행 커리큘럼의 의무화 방안 역시 재고되어야 한다. 마지막으로, 퀸즐랜드주 시큐리티사업자에 대한 현장 관리감독은 관광특구에 크게 집중되어 있어 관리당국인 공정거래청(Fair Trading)에서 그 범위를 확대하는 등 능동적인 개입이 필요하다고 판단된다. 호주 시큐리티서비스 산업이 한국에 주는 의미 있는 시사점으로는 첫째, 교육훈련의 표준화․공인화와 같은 지속적인 제도정비 개선노력 둘째, 이 같은 시큐리티산업의 전략적 육성과 경쟁력 향상 도모를 통한 민․경 공조체계의 실효성 강화 등을 대표적으로 꼽을 수 있다. 국내에서는 사경비자격제도에 해당하는 산업보안관리사, 공인탐정사 등의 전문자격증이 정부산하 협회 혹은 민간단체 등에서 발급되는 관계로 일관성․신뢰성에 대한 문제가 제기되어 왔고 공신력 부여 방안에 대한 논의 또한 지속되어 온 것이 사실이다. 따라서 호주의 모범선행사례를 참조하여 자격제도 관리․운영의 노하우 활용방안에 대한 체계적 접근을 모색해 볼 필요가 있다고 사료된다.

The objective of this article is to inform and document the contemporary development of the private security industry in Queensland Australia, a premier holiday destination that provide entertainment for the larger region. The purpose of this review is to examine the comtemporary development of mandated licensing regimes regulating the industry, and the necessary reform agenda. The overall aim is threefold: first, to chart the main outcomes of the two-wave of reforms since the mid-`90s; second, to examine the effectiveness of changes in modes of regulation; and third, to identify the criteria that can be considered a best practice based on Button(2012) and Prenzler and Sarre's(2014) criteria. The survey of the Queensland regulatory regime has demonstrated that, despite the federal-guided reforms, there remain key areas where further initiatives remain pending, markedly case-by-case utilisation of more proactive strategies such as on-site alcohol/drug testing, psychological evaluations, and checks on close associates; lack of binding training arrangement for technical services providers; and targeted auditing of licensed premises and the vicinity of venues by the Office of Fair Trading, a licensing authority. The study has highlighted the need for more determined responses and active engagements in these priority areas. This study of the development of the licensing regimes in Queensland Australia provides useful insights for other jurisdictions including South Korea on how to better manage licensing system, including the measures required to assure an adequate level of professional competence in the industry. It should be noted that implementing a consistency in delivery mode and assessment in training was the strategic imperative for the Australian authority to intervene in the industry as part of stimulating police-private partnerships. Of particular note, competency elements have conventionally been given a low priority in South Korea, as exemplified through the lack of government-sponsored certificate; this is an area South Korean policymakers must assume an active role in implementing accredited scheme, via consulting transnational templates, including Australian qualifications framework.

Growing information threats have threatened organization to lose information security controls in these days. Many organizations have accepted the various information security management systems does mention necessity of a continuous evaluation process for the executions of information security management in a theoretical aspect. This study suggests a continuous evaluation process for information security management reflecting the real execution of managers and employees in organizations.

Recently, as evaluation of information security (IS) management become more diverse and complicated, the contents and procedure of the evidence to prepare for actual assessment are rapidly increasing. As a result, the actual assessment is a burden for both evaluation agencies and institutions receiving assessments. However, most of them reflect the evaluation system used by foreign government agencies, standard organizations, and commercial companies. It is necessary to consider the evaluation system suitable for the domestic environment instead of reflecting the overseas evaluation system as it is. The purpose of this study is as follows. First, we will present the problems of the existing information security assessment system and the improvement direction of the information security assessment system through analysis of existing information security assessment system. Second, it analyzes the technical guidance for information security testing and assessment and the evaluation of information security management in the Special Publication 800-115 'Technical Guide to Information Security Testing and Assessment' of the National Institute of Standards and Technology (NIST). Third, we will build a framework to implement the evidence collection system and present a system implementation method for the ‘6. Information System Security’ of ‘information security management actual condition evaluation index’. The implications of the framework development through this study are as follows. It can be expected that the security status of the enterprises will be improved by constructing the evidence collection system that can collect the collected evidence from the existing situation assessment. In addition, it is possible to systematically assess the actual status of information security through the establishment of the evidence collection system and to improve the efficiency of the evaluation. Therefore, the management system for evaluating the actual situation can reduce the work burden and improve the efficiency of evaluation.

드론이 활용되는 분야가 다양해짐에 따라 드론의 취약점을 이용한 공격 시도가 늘어나고 있고 드론 보안의 중요성 또한 강조되고 있다. 본 논문은 관공서에 납품되는 정찰용 드론에 대해 위협모델링을 통해 보안요구사항을 도출하였다. 드론의 데이터 흐름을 분석하고 발생할 수 있는 취약점을 수집하여 위협 분석 및 공격 트리를 작성하였다. 공격 트리로부터 보안요구사항을 도출하고 국가에서 제시한 보안요구사항과 비교하였다. 본 논문에서 도출된 보안요구사항을 활용하면 안전한 정찰 드론 개발과 평가에 도움이 될 것이다.

As drones are widely used, attack attempts using drone vulnerabilities are increasing, and drone security is growing in importance. This paper derives security requirements for reconnaissance drone delivered to government office through threat modeling. Threats are analyzed by the data flow of the drone and collecting possible vulnerabilities. Attack tree is built by analyzed threats. The security requirements were derived from the attack tree and compared with the security requirements suggested by national organizations. Utilizing the security requirements derived from this paper will help in the development and evaluation of secure drones.

차량에 무선 통신 기능이 탑재되기 시작하면서 무선 통신 기능의 취약점을 악용한 차량의 사이버 공격이 증가하고 있다. 이에 대응하기 위해 UNECE는 차량 제조사가 무선 통신 기능을 활용하여 차량에 탑재되는 소프트웨어를 안전하게 배포할 수 있도록 UN R156 규정을 제정하였다. 해당 규정은 차량의 소프트웨어를 안전하게 배포하는데 필요한 보안 요구사항을 명시하고 있으나 해당 요구사항을 개발 및 구현하는데 필요한 구성요소와 세부 기능에 대한 정보가 생략된 채 추상적인 요구사항만이 제시되어 있다. 따라서 본 논문에서는 체계적으로 보안 위협을 분석하는 방법인 위협모델링을 활용하여 안전한 SUMS를 구축하는데 필요한 상세 보안 요구사항을 도출한다. 이후 해당 요구사항을 바탕으로 SUMS에 대한 보안성 평가기준을 제안한다.

As wireless communication functions begin to be installed in vehicles, cyberattacks that exploit vulnerabilities in wireless communication functions are increasing. To respond to this, UNECE enacted the UN R156 regulation to safely distribute the software installed in the vehicle by using the wireless communication function. The regulations specify the requirements necessary to safely distribute the software for vehicles, but only the abstract requirements are presented without information on the components and detailed functions necessary to develop and implement the requirements. Therefore, in this paper, we propose a security evaluation standard that can evaluate whether a safe SUMS is built using threat modeling, a method for systematically analyzing security threats.

본 연구는 국내용 공통평가기준(Common Criteria, CC) 및 한국형 암호모듈 검증 프로그램(Korean Cryptographic Module Validation Program, KCMVP) 등 다양한 사이버보안 분야의 평가 표준 및 프로그램의 평가 증거물을 K-RMF 내에서 재사용할 수 있는 방안을 제안한다. K-RMF는 미 국방성 및 NIST의 RMF를 바탕으로 개발되어 현재 군 조직 전반에 걸쳐 적용되는 지시이다. 미국 RMF의 경우 호혜성의 원칙을 강조하며 CC, CMVP 등 타 평가 체계의 평가 증거물을 재사용할 수 있도록 권고하고 있다. 하지만, 국내의 경우 이러한 호혜성 원칙이 존재하지 않아 평가 증거물을 준비하는 개발자의 부담이 가중된다. 본 연구는 이러한 부담을 완화하기 위해 미국의 RMF에서 강조하는 호혜성의 원칙을 국내에서도 적용하고자 한다. K-RMF를 비롯한 국내 평가 표준 및 프로그램 간의 상관관계를 분석하여 국내용 CC의 보안 목표서 및 KCMVP의 보안 정책 문서와 같은 평가 증거물의 K-RMF 내 재사용 방안을 제시한다.

This study proposes a method for reusing evaluation evidence from various cybersecurity assessment standards and programs, such as the domestic Common Criteria (CC) and the Korean Cryptographic Module Validation Program(KCMVP), within the K-RMF. The K-RMF was developed by benchmarking the U.S. RMF and is currently a directive applied across all military organizations. The U.S. RMF emphasizes the principle of reciprocity and recommends allowing the reuse of evaluation evidence from other evaluation frameworks, such as CC and CMVP. However, in Korea, this principle of reciprocity does not exist, increasing the burden on developers preparing evaluation evidence. This study aims to mitigate this burden by applying the principle of reciprocity within the domestic context. Specifically, by analyzing the correlation between domestic evaluation standards and programs, it proposes a method to reuse key evaluation evidence, such as Security Target from CC and security policy from KCMVP, within the K-RMF.

인터넷 서비스 급증과 함께 사용자가 다양한 서비스를 이용하게 되면서 계정관리에 어려움을 겪을 수 있다. 이러한 고충을 해결하기 위해 다양한 비밀번호 관리 어플리케이션이 등장하고 있다. 포렌식 관점에서 비밀번호 관리 어플리케이션은 범죄 증거를 획득할 수 있는 단서를 제공할 수 있다. 본 논문에서는 비밀번호 관리 어플리케이션에서 사용자가 저장한 데이터를 획득하는 것을 목적으로 한다. 이를 위해 역공학을 통해 암호화된 데이터를 복호화하고 분석 대상 어플리케이션에 대한 보안성 평가 및 데이터를 안전하게 보관할 수 있는 더 나은 방법을 제안한다.

As users use various services along with the rapid increase in Internet services, it may be difficult to manage accounts. To solve these difficulties, various password management applications are emerging. From a forensic point of view, password management applications can provide clues to obtain criminal evidence. The purpose of this paper is to acquire the data stored by the user in the password management application. To this end, we propose a better way to decrypt the encrypted data through reverse engineering, evaluate the security of the application to be analyzed, and safely store the data.

디지털 환경에서 보안 메신저는 조직 내 기밀 대화를 처리하는 주요 도구로 자리 잡았다. 그러나 메신저의 보안성만을 채택 근거로 선택할 경우, 실제 업무 사용에서의 불편함이나 개인정보 보호 미흡 등 다양한 문제가 발생할 수 있다. 이에 본 연구는 조직별 메신저 도입 시 보안성·사용성 ·프라이버시 측면을 통합적으로 평가하는 프레임워크를 제안하고, 4가지 주요 보안 메신저(Wickr, Signal, Telegram, DeltaChat)와 카카오톡에 대한 분석 및 평가를 제시한다. 본 연구는 조직별(정부·기업·민간) 메신저 선택 시 보안, 프라이버시, 사용성 간 균형을 고려할 수 있는 우선순위 기반의 실용적 의사결정 기준을 제시한다. 또한 해당 프레임워크는 향후 시스템 도입 및 보안 정책 수립 과정에서 실무적으로 활용될 수 있다.

In the digital environment, secure messengers have become essential tools for handling confidential conversations within organizations. However, choosing a messenger solely on the basis of security can lead to practical issues in real use, including poor usability and insufficient privacy safeguards. To address this, this study proposes a framework that holistically evaluates security, usability, and privacy for organizational adoption, and presents analyses and evaluations of four major secure messengers-Wickr, Signal, Telegram, and Delta Chat-alongside KakaoTalk. The study offers a practical, priority-based decision criterion that enables organizations across government, enterprise, and civil-sector contexts to balance security, privacy, and usability when selecting a messenger. The proposed framework is also intended for practical use in subsequent system procurement and security-policy development.

클라우드 컴퓨팅의 장점에도 불구하고 보안성에 대한 문제들이 많은 사용자들의 선택에 장애가 되고 있다. 본 논문에서는 클라우드 컴퓨팅의 보안성에 대한 ISO 7498-2 표준의 관련 속성들이 전체 보안 품질에 미치는 상대적 영향도를 평가하였다. 많은 요인들의 영향도를 객관적으로 평가하기 위하여 Fuzzy AHP(Analytic hierarchical process)를 적용하였다. 본 연구는 클라우드 컴퓨팅 서비스의 보안 관련 각 속성들의 상대적 중요성을 구체적으로 수치화 할 수 있었고, 클라우드 컴퓨팅 서비스의 효율적인 선택 및 개발에 필요한 관리 방법을 제시할 수 있었다.

In spite of many advantages of cloud computing, security concerns are a barrier in users' adopting the cloud service. In this paper, we evaluate relative priorities between security attributes of ISO 7498-2 standards affecting overall security quality in cloud computing. For an objective evaluation, the fuzzy AHP(Analytic hierarchical process) is applied. The evaluation results represented the relative priority with concrete number can be an effective management method to choose and develop the cloud computing service.

차량의 전장화 및 자율주행 기술 도입으로 다수의 ECU(Electronic Control Unit)가 탑재되면서 차량 내부 네트워크의 복잡도가 증가함에 따라 사이버보안은 차량 안전의 필수 요소가 되었다. 이러한 배경에서 차량 내부 네트워크의 이상 행위를 탐지하는 Automotive IDS(Intrusion Detection System) 연구가 활발히 진행되고 있으나, 기존 연구들은 제한된 데이터셋과 특정 공격 유형에 집중되어 실제 차량 환경에서의 일반화된 성능 평가에 한계가 있다. 본 논문은 차량 통신 프로토콜의 특성을 반영하여 CAN(20종) 및 Automotive Ethernet(SOME/IP, 4종)을 대상으로 IDS 평가 시나리오를 제안한다. 제안된 시나리오의 검증을 위해, 실차 데이터 기반의 CAN 시나리오 10종에 대해서는 IDS 모델의 탐지 성능을 실험적으로 평가하고, SOME/IP 시나리오 4종에 대해서는 시뮬레이션 환경에서 제한적 평가를 수행하였다. 연구 결과, 제안된 시나리오는 다양한 공격 기법과 프로토콜 특성을 포괄하여 IDS의 탐지 메커니즘별 성능과 한계를 분석할 수 있는 기준을 제공한다.

As vehicle networks become more complex due to electrification and autonomous driving, cybersecurity has become essential. Although Automotive Intrusion Detection Systems (IDSs) have been actively studied to detect anomalous behavior in in-vehicle networks, existing studies often rely on limited datasets and specific attack types, making it difficult to assess their generalized performance in real-world environments. This paper proposes IDS evaluation scenarios reflecting protocol characteristics, targeting 20 types for CAN and 4 types for Automotive Ethernet (SOME/IP). For validation, we experimentally evaluated IDS performance using 10 real-vehicle data-based CAN scenarios and performed a limited evaluation of the 4 SOME/IP scenarios in a simulation environment. The results confirm that the proposed scenarios cover diverse attack techniques and protocol features, providing a standard for analyzing the strengths and limitations of IDS detection mechanisms.

본 연구는 사회적 거절 경험이 새로운 타인과의 연결성 회복 의향으로 이어지는 과정에 있어서 애착 안정성 점화와 부정적 평가에 대한 두려움의 영향을 살펴보기 위한 것이다. 이를 위해 사회적 거절로 인한 고통에 취약한 것으로 알려진 18-25세 여대생 90명을 대상으로 실험을 실시하였다. 본 연구는 2(애착 안정성 점화 유/무) × 2(부정적 평가에 대한 두려움 높음/낮음) 피험자 간 설계로, 실험 전에 온라인 설문을 통해 부정적 평가에 대한 두려움 수준이 높은 집단과 낮은 집단을 구분하였다. 실험 참여자 모두에게 사회적 거절 유발 절차를 실시하였고, 이후 애착 안정성 점화 글쓰기 과제를 통해 애착 안정감을 조작하였다. 마지막으로 추후 협동과제에 대한 참여 선호도로 새로운 타인과의 연결성 회복 의향을 측정하였다. 분산분석 결과, 새로운 타인과의 연결성 회복 의향에 대한 애착 안정성 점화의 주효과가 유의하게 나타났다. 또한 애착 안정성 점화와 부정적 평가에 대한 두려움 수준 간의 상호작용 효과가 유의하였다. 구체적으로, 부정적 평가에 대한 두려움 수준이 높은 집단의 경우 애착 안정성 점화 글쓰기를 수행한 집단은 통제 글쓰기를 수행한 집단에 비해 새로운 타인과의 연결성 회복 의향을 더 많이 보였다. 본 연구 결과를 토대로 주요 발견의 시사점과 사회적 거절을 경험한 개인들이 새로운 유대관계를 구축해나가는 데 있어 필요한 개입 방안을 논의하였다.

The purpose of this study was to investigate the effects of security priming and fear of negative evaluation on the process of social rejection leading to the desire to reconnect. A sample of 90 female university students aged 18 to 25 years participated in the experiment. The analysis used a 2 (security priming writing/control) × 2 (fear of negative evaluation: high/low) ANOVA test. Before the experiment, the subjects were tested by an online survey that categorized them as the low or high fear of negative evaluation. The social rejection procedure and security priming writing task were used to manipulate social rejection and felt-security, respectively. The desire to reconnect was measured by a scored task in which the subjects selected their extents of preference for future collaborative tasks. The results found a significant main effect of security priming writing and a significant interaction effect between security priming and the extent of fear of negative evaluation on the desire to reconnect. Based on these results, the paper discusses the effectiveness of security priming for establishing new social ties after social rejection.

제로트러스트 보안체계로의 전환이 요구되는 현시대에서 시범사업과 실증사업을 중심으로 단계적 확산 노력이 진행되고 있으며, 현재 상용 제로트러스트 솔루션은 주로 네트워크와 신원 중심 기능에 초점이 맞춰져 있다. 본 논문은 국내에 제로트러스트 7필러를 만족시킬 수 있도록 베이스라인 도입을 효과적으로 확산하고 운영할 수 있도록 돕는 DAPOZ 프레임워크를 제안한다. 이 프레임워크는 제로트러스트 베이스라인 구축, 진단 및 평가, 고도화의 순환 구조인 BIC Loop 방법을 기반으로 하여, 정량적인 위험도 분석과 체크리스트 기반의 성숙도 수준 진단, 자산 중요도 평가를 통해 기업별 지속적으로 개선가능한 제로트러스트 보안체계 구축을 지원한다. 성숙도 초기 수준의 제로트러스트 베이스라인 도입을 통해 논문에서 제안하는 점수 체계 기준 40점의 보안 수준을 확보할 수 있다. 이후 진단 및 개선 체계에 따라 점진적으로 조직의 보안 수준을 향상시킨다. 따라서 체계적으로 제로트러스트를 도입하고 운영할 수 있는 현실적 방안을 제시한다. 또한 국내외 컴플라이언스와 가이드라인을 반영하여 복잡한 환경에서도 중앙집중형 보안 정책 관리와 보안 운영이 가능하게 하며 이에 따라 보안 역량 강화와 비용 효율성을 동시에 달성할 수 있는 현실적 대안을 제시한다.

In the current era demanding a shift to zero trust security frameworks, phased expansion efforts centered on pilot and demonstration projects are ongoing. Current commercial zero trust solutions primarily focus on network and identity centric functions. This study proposes the DAPOZ framework to effectively expand and operate baseline adoption that satisfies the seven pillars of zero trust within the domestic market. This framework is based on the BIC Loop method a cyclical structure encompassing baseline establishment, diagnosis and evaluation, and enhancement. It supports the establishment of a continuously improvable zero trust security framework for each enterprise through quantitative risk analysis, checklist-based maturity level diagnosis, and asset criticality assessment. By implementinga zero trust baseline at an early maturity level, organizations can achieve a security level of 40 points according to the scoring system proposed in this study. Subsequently, the organization's security level is progressively enhanced through the diagnostic and improvement framework. Thus, it presents a practical approach for systematically introducing and operating zero trust. Furthermore, by incorporating domestic and international compliance requirements and guidelines, it enables centralized security policy management and security operations even in complex environments. This provides a practical alternative that simultaneously achieves enhanced security capabilities and cost efficiency.

사물인터넷의 수요가 증가하면서 사용자의 중요 정보들을 수집하는 사물인터넷 기기의 보안에 대한 필요성 또한 꾸준히 증가하고 있다. 하드웨어, 프로세서, 에너지 등의 제약이 있는 사물인터넷 특성상 기존의 보안시스템을 그대로 적용하기 어렵 기 때문에, 사물인터넷에 특화된 보안가이드라인 및 관련문서가 만들어지고 있다. 그러나 이들은 사물인터넷 기기 각각에 특 화된 보안을 구체적으로 다루기보다는 포괄적이며 일반화된 수준의 보안을 다루고 있다. 더구나 이들은 개발자 및 서비스 제 안자의 입장에서 작성되었기 때문에 특정 사물 인터넷 기기를 사용하고자 하는 일반 사용자의 입장에서 특정 사물인터넷 기 기가 어느 정도 보안성을 갖추고 있는지 파악하기가 어렵다. 본 논문에서는 사물인터넷과 관련된 기존 가이드라인과 문서들을 토대로 사물인터넷 기기 각각에 대하여 보다 구체화된 보안평가용 평가모델을 설계하여 제시하였다. 아울러 이 평가모델을 토 대로 대표적 사물인터넷 기기인 스마트워치를 대상으로 체크리스트를 적용하여 작성해 봄으로써 특정 사물인터넷 기기를 사 용하기 전에 보안성 평가를 일반 사용자도 용이하게 할 수 있음을 보여준다.

As the demand for Internet of Things(IoT) increases, the need for the security of IoT devices is increasing steadily. It is difficult to apply the conventional security theory to IoT devices because IoT devices are subject to be constrained by some factors such as hardware, processor, and energy. Nowadays we have several security guidelines and related documents on IoT device. Most of them, however, do not consider the characteristics of specific IoT devices. Since they describes the security issues comprehensively, it is not easy to explain the specific security level reflecting each characteristics of IoT devices. In addition, most existing guidelines and related documents are described in view of developers and service proposers, and thus ordinary users are not able to assess whether a specific IoT device can protect their information securely or not. We propose an security evaluation model, based on the existing guidelines and related documents, for more specific IoT devices and prove that this approach is more convenient to ordinary users by creating checklists for the smart watch.

정부에서는 방산기술 유출 차단을 위해 2015년도에 ‘방위산업기술 보호법’을 제정하였다. 이와 관련 방산업체에서는 보호대책이 유사한 두 개의(방위산업보안업무훈령, 방위산 업기술보호지침) 보안정책을 적용받고 있어서 보안 행정 소요 증가 및 예산 낭비 등 보안 업무의 효율성이 저하되는 문제가 나타나고 있다. 이러한 배경에서 본 연구는 방위산업 보안관리체계와 ‘정보보호관리체계(ISMS)’ 및 ‘산업기술보호지침’을 비교 분석하여 예비 평 가 지표를 도출하고 델파이 및 AHP 기법을 활용하여 ‘방산업체 보안 평가 지표’를 개발하 였다. ‘방산업체 보안 평가 지표’는 8개의 대분류 및 37개의 중분류와 139개의 평가 항목으로 개발되었으며 보안 수준을 효율적으로 진단하고 보안시스템을 체계적으로 구축할 수 있도 록 대분류(8개) 및 중분류(37개) 평가 항목에 대해서는 가중치와 우선순위도 제시하였다. 본 연구는 모든 방위산업 보안관리체계를 분석하여 개발한 ‘방산업체 보안 평가 지표’로 향후, 방산업체 보안정책 발전을 위한 연구의 기초 자료로 활용될 수 있을 것이다.

The government enacted the Defense Industry Technology Protection Act in 2015 to prevent the outflow of defense industry technology. As a result, defense companies are subject to two similar security policies, which reduce the efficiency of their security operations, including increased security administration needs and wasted budgets. Against this backdrop, this study drew preliminary assessment indicators by comparing and analyzing the defense industry security management system, information protection management system and industrial technology protection guidelines, and developed the defense industry security level assessment index using Delphi technique and AHP technique. The 「Defense Industry Security Level Evaluation Index」 was developed into 8 major categories, 37 middle categories, and 139 evaluation items divided into unique items(2) and common items(6), and the characteristics of the evaluation index are as follows. The priorities for the evaluation items in the major categories (8) and middle categories(37) were presented so that the security level can be efficiently diagnosed and the security system can be systematically established. This study is the first ‘Defense Industry Security Level Assessment Index’ developed by analyzing the entire defense industry security management system, and can be used as basic data for various studies such as development of defense industry security policy in the future.