국문요약

산업보안관리체계 인증 수립 방안 연구

한국산업기술대학교 산업기술경영대학원
기술정보보호학과
박 낙 규

21세기는 기업과 국가 경쟁력이 산업기술의 개발 및 활용 여부에 의해 좌우되므로 기업들은 경쟁력 있는 산업기술을 확보하기 위해 연구개발에 꾸준히 투자하고 있다. 이러한 산업기술이 보안관리 소홀로 인해 경쟁기업이나 해외로 유출된다면 해당 기업은 물론 국가 경쟁력 저하로까지 이어지는 막대한 피해를 가져오므로 산업보안의 중요성은 갈수록 커지고 있다. 이러한 산업기술보호의 중요성으로 인하여 산업기술의 유출을 방지하고 산업기술보호 문화 확산을 도모하기 위한 종합적이고 체계적인 관리체계 필요성이 대두되었다. 산업보안관리체계 인증은 국가경쟁력 제고에 필요한 조직의 지식재산권, 산업기술 및 영업 비밀 보호에 유효한 내용으로 제정하였고, 조직의 ‘산업기술, 영업 비밀, 지식재산권, 기타 경영자원’ 등에 대한 체계적인 관리와 지속가능한 산업보안경영의 필요성에서 수립된 관리체계이다. 본 논문의 목적은 기존의 인증제도와의 차별성을 분석하고 산업보안관리체계 기준 및 세부항목 적용을 통한 업무분석 및 개선방향을 토대로 산업보안경영의 전략적 방향을 제시하는데 있다. 본 연구는 국내 ISO 인증체계를 수립한 기업체를 대상으로 세부항목 적용을 통해 기업의 보안수준 진단과 실행계획 수립에 얼마나 영향을 미치는지를 사례연구를 통해 분석하였으며 기업들로 하여금 KIMS 인증 취득의 효과를 인식하여 궁극적으로 KIMS 구축을 통해 산업기술의 유출을 방지하고 산업보안경영 강화를 통해 기업성과를 향상시키는데 도움을 주고자 하였다.
본 연구의 사례분석에 따른 각 영역의 실행계획 수립 방안은 다음과 같다.
첫째, 관리적 보안 영역의 업무분석 및 결과에서는 산업보안정책 및 지침의 승인 및 실행, 산업보안정책 및 지침에 대한 체계적인 교육, 산업보안관리체계 운영을 위한 기록 및 이행근거 확보, 인적, 물적, 정보자산의 위험관리과정 수립, 제품실현과정의 보안 관리 전략 수립이 필요한 것으로 확인되었다.
둘째, 물리적 보안 영역의 업무분석 및 결과에서는 시설보호구역에 대한 보안대책 수립과 중요 장비에 대한 보호지침 수립이 필요한 것으로 확인되었다.
셋째, 기술적 보안 영역의 업무분석 및 결과에서는 사용자 계정 및 패스워드 지침 수립, 정기적인 접근 권한 검토 및 네트워크 기반 공격에 대한 종류별 보안대책, 웹서버의 취약점을 방어하기 위한 대응방안 수립, 보조기억매체 용도별 구분 사용 및 관련 교육 실시가 필요한 것으로 확인되었다.
넷째, 보안사고대응 영역의 업무분석 및 결과에서는 보안사고대응 매뉴얼 구성을 통한 사고발생 가능성에 대비하는 전략 수립, 보안사고 발생 가능성이 높은 자산에 대한 취약점 분석과 보안사고대응의 정기적인 교육훈련이 필요한 것으로 분석되었다. 측정, 분석 및 지속적 개선의 실행계획 수립 사항으로는 내부감사 규정 개정 및 자산 전반에 대한 위협 및 취약점 분석을 통한 위험평가 데이터 수립이 필요한 것으로 확인되었다.
다섯째, 보안지식경영 영역의 업무분석 및 결과에서는 성과관리의 경우 산업보안정책에서 중점관리의 대상이 되는 프로세스들에 대한 성과지표 개발이 실행되지 않은 점과 조직의 경영검토에 반영되지 않은 점이 개선할 사항으로 파악되었다. 또한 기술가치 평가에서는 기업이 보유하고 있는 특허 등의 관리에 대한 지침이 수립되지 않은 점이 개선할 사항으로 확인되었다. 본 연구에서의 한계점으로는 특정 업종 중심의 사례연구로 제조, 서비스, 보안업체를 포함한 모든 산업체의 산업보안관리체계 진단 수준을 일원화시키는데 한계가 있었고 산업보안관리체계 수립 방안 측면에서 통제항목 적용의 신뢰성을 검증하기 위한 기업체의 데이터 분석에 한계가 있었다는 것이다.
본 연구의 결과와 한계점을 토대로 향후 연구방향을 제시하면 산업보안관리체계가 실질적으로 ISO 경영시스템이 수립된 기업체를 대상으로 업종별로 조직성과에 미치는 영향을 분석해 보는 것은 의미가 있을 것이다. 또한 산업보안관리체계 수립에 따른 산업보안경영은 단기적 투자에 따른 비용문제와 장기적 성과의 충돌에서 장기적 관점에서의 기업 발전모델이 된다. 그러므로 산업보안관리체계 수립에 적합한 통제항목 적용을 통해 업종별로 기업의 경영성과에 얼마나 영향을 미치는지 연구해볼 가치가 있다.

Abstract

A Study on the Methods for the Establishment of Industrial Security Management System Certification

by Park Nak-kyu
Advisor : Prof. Seo, Dae-young, Ph.D.
Department of Technical Information
Protection
Graduate School of Industrial
Technology&Management
Korea Polytechnic University

In 21st century as the competitiveness of a country or a corporation depends on the development and utilization of industrial technology, companies have invested
continuously in R&D to have competitive industrial technology. If such technology leaks to competing companies or foreign countries owing to the negligence of security management, not only the company but the country have serious damages that can weaken national competitiveness; therefore, the industry security becomes more and more important. Hence, due to the importance of industrial technology integrated and systematic management system becomes necessary to prevent the leakage of industrial technology and to promote industrial technology protection culture. Industrial security management system certification has been made to contain the effective contents to protect an organization''s intellectual property to enhance corporate competitiveness, industrial technology and sales secrets, and it is the management system established from the necessity of systematic management of an organization''s ''industrial technology, sales secrets, intellectual property and other management resources etc.'' and sustainable industrial security management. The purpose of this study is to suggest strategic direction of industrial security management and improvement direction on the basis of work analysis, that is done by the application of industrial security management system standards and detailed items, through case studies. This study analyzed how much it influenced the company''s security level examination and action plan preparation by detailed item application through case studies of domestic companies that established ISO certification system, and it is hoped to assist companies to improve their achievements by the understanding of the effect of industrial security management system certification acquisition to prevent industrial technology leakage and reinforce industrial security management.
The action plan making method for each field based on the case studies in this study is as followings;
Firstly, in the work analysis and result in managemental security field the approval and execution of the policies and guidelines of industrial security, systematic education of the policies and guidelines of industrial security, the securing of records and execution grounds for industrial security management system operation, the establishment of danger management process of human, material and information assets and the establishment of security management strategy of product realization process are identified to be necessary.
Secondly, in the work analysis and result in physical security field the establishment of security measures for the protection zone of installation and the establishment of protection guidelines for important equipments are identified to be necessary.
Thirdly, in the work analysis and result in technical security field the establishment of guidelines of user account and password, the periodic review of access rights, diversified security measures against network attack, the establishment of measures to defend the weak points of web server, the utilization and the education of auxiliary memory by use are identified to be necessary.
Fourthly, in work analysis and result in the field of measures against security accidents the establishment of strategy against possible accidents with security accident counteracting manual, the analysis of weak points of the assets that have high possibility of security accident and periodic education and training to counteract security accidents are required to be necessary. And in measurement, analysis and continuous improvement the revision of internal auditing rules and the establishment of danger evaluation data through the analysis of threats and weak points on the assets in general are identified to be necessary.
Fifthly, in the work analysis and result in security knowledge management field the reflection of achievement in achievement index development and management review of the processes that are objects of concentrated management in industrial security policy is identified to be necessary in the case of achievement management. And in the value evaluation of technology the establishment of guidelines for the management of patents, which companies possess, is identified to be necessary. The limits of this study lie in unifying the industrial security management system examination levels of all industries including manufacturing and services etc. owing to the biased case studies on specially designated industries, and in the data analysis of companies to verify the credibility of control item application in terms of the establishing method of industrial security management..
If future study direction is proposed on the basis of this study''s result and limits, it would be meaningful to analyze the influence on the organization achievement by business expanding the application objects of industrial security management system to the companies that have ISO 9001, ISO 27001 and information protection management system. The industrial security management according to industrial security management system will be a corporate development model in long term at the collision of the short term cost problem from investment and long term achievement. Hence, it is valuable to study the influence on corporate management achievemen