Abstract
This Risk analysis on information related assets is conducted primarily according to the standards the Korea Information and Telecommunications Technology Association (TTA) or the International Organization for Standardization (ISO). The process is made of asset analysis, threat analysis, vulnerability analysis, and response plan analysis. The risk for information related assets belongs to the operational risks suggested by BIS (Bank for International Settlements) and the information related losses can be estimated in terms of BIS' suggestion. In this paper it is proposed that how to apply the method proposed by BIS to estimate the loss of information assets.
정보 자산에 대한 위험 분석은 주로 한국정보통신기술협회나 국제표준화기구의 표준에 따라 이루어지고 있다. 그 과정은 자산분석, 위협분석, 취약성분석, 대응책분석의 순서로 이루어져있다. 이 과정은 분석 대상, 즉 자산을 명확히 파악하는 것부터 시작된다. 기존의 방법은 그 대상을 물리적 자산에 따라 분류하는 것이 일반적이다. 한편, 국제결제은행 규약이 제시하는 방법에 따르면 위험 분석의대상을 운영에 따른 분류를 통해 규명하게 된다. 본 논문에서는 물리적 자산 중심의 기존 방법과 더불어 업무 중심의 분석 방법이 유용할 수도 있음을 보이고자 하였다. 컨조인트 분석 기법을 활용하여 상황에 따라 물리적 자산 중심의 방법과 업무 중심의 방법의 유용성의 차이를 예를 들어 분석하였다.