정보 보안 지표의 정의
정보 보안 지표(information security metrics)란 특정 정보 보안 프로세스의 상태를 추적하고 점검할 수 있도록 설계된 측정 수단입니다. 지표는 정량화 가능한 절차에 기반한 측정 체계를 정의하며, 조직의 보안 상태를 객관적으로 판단할 수 있는 근거를 제공합니다.
좋은 지표가 갖추어야 할 조건
훌륭한 지표는 다음과 같은 특성을 충족해야 합니다.
- 구체성(Specific): 측정 대상이 명확하게 정의되어야 합니다.
- 측정 가능성(Measurable): 정량화할 수 있어야 합니다.
- 달성 가능성(Attainable): 현실적으로 확보할 수 있는 값이어야 합니다.
- 반복 가능성(Repeatable): 동일한 방법으로 여러 번 측정할 수 있어야 합니다.
- 시간 기반성(Time-related): 시간의 흐름에 따라 비교 가능해야 합니다.
측정값과 지표의 차이
측정(measurement)은 특정 시점의 단면적 관점만을 제공하는 반면, 지표(metric)는 일정 기간에 걸쳐 여러 번 수집한 측정값을 미리 정해진 기준선(baseline)과 비교하여 도출한 결과입니다.
측정은 단순히 계산(counting)을 통해 만들어지지만, 지표는 분석을 통해 생성됩니다. 다시 말해 측정은 객관적인 원시 데이터이고, 지표는 그 데이터에 대한 객관적 또는 주관적인 해석이라 할 수 있습니다.
재현성과 반복성의 중요성
지표 산출에 사용되는 측정 방법은 재현 가능(reproducible)해야 하며, 서로 다른 유능한 평가자가 독립적으로 수행했을 때에도 동일한 결과를 얻어야 합니다. 또한 결과는 반복 가능(repeatable)해야 하므로, 최초에 평가를 수행한 집단이 두 번째 측정을 진행했을 때도 같은 결과가 나와야 합니다.
어떤 양의 값을 확인하기 위한 측정 방법으로는 측정 기기, 표준 물질, 측정 시스템 등이 활용될 수 있습니다.
정보 시스템 보안에서의 적용
정보 시스템의 보안 측정은 정량화 가능한 보안 속성을 지닌 시스템의 여러 구성 요소에 측정 방법을 적용하여 측정값을 얻는 과정을 포함합니다. 이렇게 산출된 값은 조직이 적시에 접근하고 활용할 수 있어야 실질적인 의미를 갖습니다.
지표의 목적과 역할
지표는 성과 관련 데이터를 수집, 분석, 문서화하는 과정 전반에서 의사 결정을 지원하고, 실행력과 책임성을 높이기 위해 고안된 도구입니다.
성과를 측정하는 궁극적인 목적은 대상 활동의 현재 상태를 파악하고, 관찰된 측정값에 근거하여 시정 조치를 통해 해당 활동의 개선을 촉진하는 데 있습니다.
보안 관리자에게 지표가 중요한 이유
정보 시스템 보안 분야에서 지표는 시스템의 보안에 기여하는 요소들과 밀접하게 연관됩니다. 즉, 보안 지표는 정량화 가능한 보안 속성을 지닌 시스템의 여러 개체에 측정 방법을 적용하여 측정값을 도출하는 것입니다.
지표는 보안 담당자에게 매우 효과적인 도구가 될 수 있습니다. 이를 통해 다음 사항들을 파악할 수 있습니다.
- 보호 프로그램의 각 구성 요소가 얼마나 효과적으로 작동하는지
- 특정 시스템, 제품 또는 프로세스의 보안 수준
- 조직 내 직원이나 부서가 자신이 책임지는 보안 영역을 처리할 수 있는 역량
또한 지표는 특정 조치를 취하지 않았을 때 발생할 수 있는 위험 수준을 식별하는 데에도 도움을 줍니다. 이를 바탕으로 조직은 시정 조치의 우선순위와 규모를 합리적으로 산정할 수 있습니다.