법적으로 정의된 적절한 보안의 요구조건

전문가 제언

○ Compliance는 정부기관 또는 기업 등의 조직들이 국가 또는 국제기구 등이 제정한 각종 법률 및 규정을 준수하면서, 조직을 운영하는 준법경영을 의미한다. 또한 IT compliance는 조직들이 IT와 관련된 각종 규제 사항들, 즉 고객정보 보호, 자료 보관, 재무보고서 공시 등의 지침들을 준수하면서 조직을 경영하는 IT 준법경영을 의미한다.

○ 오늘날 기업의 활동은 정보시스템에 크게 의존하고 있어 기업 활동을 규제하기 위한 각종 법규, 지침은 기업의 활동을 지원하는 정보시스템에 대한 규제로 이어지게 된다. 정보시스템을 사용하는 기업 입장에서는 복잡할 뿐 아니라 자주 변동되는 여러 규제를 효과적으로 준수하기 위해 필요한 절차와 기구를 마련하고 운영하여야 하는데, 이것이 기업의 IT Compliance 활동이다.

○ IT Compliance 시장은, 2002년 제정된 미국의 Sarbanes-Oxley Act와 국제결제은행이 마련한 신바젤 협약(BaselⅡ) 그리고 미국의 의료 정보보호와 관련된 HIPAA(Health Insurance Portability and Accountability Act)의 등장 이후 본격적으로 형성되고 있다.

○ 국내에서도 IT사용자나 솔루션 벤더가 따르지 않으면 안 될 각종 법규, 지침이 발효 또는 제정되고 있다. 전자상거래의 안전을 목적으로 제정된 전자서명법과 의료 정보보호를 규정하는 의료법 시행령 그리고 증권감독원의 안전한 증권거래 시스템 운영을 위한 제반 규정 등을 대표적인 IT Compliance를 의무화하는 규제로 볼 수 있다.

○ 본 논문에서는 조직의 보안 관련 IT Compliance 심의과정의 문제점 분석 기법과 기법을 미국 FTC의 규제에 적용한 결과를 소개하고 있다. 본 논문에서 제시한 분석 기법은 국내 금융, 국방, 기업의 IT 관련 규제 준수여부를 심의하는 각급 기관들이 참고하여, 국내 환경에 적합한 분석 기법 개발을 시도할 것을 권고한다.

저자

Travis D. Breaux, David L. Baumer

자료유형

학술정보

원문언어

영어

기업산업분류

정보통신

연도

2011

권(호)

30

잡지명

Computers & Security

과학기술
표준분류

정보통신

페이지

178~193

분석자

고*철

분석물

• 법적으로 정의된 적절한 보안의 요구조건.pdf [236,987 byte]

이미지변환중입니다.