보안컨설팅 수행방법론

◦ 컨설팅 수행방법론은 경영분야의 조직변화이론에 근간을 두고 있기 때문에 기본적인 단계나 접근방법은 거의 비슷하게 나타난다.
◦ 여기서는 보안컨설팅 수행방법론으로 국제노동기구(ILO)에서 제시한 밀란 모형(Milan Model, 1996)을 중심으로 제시하였다.
- 이 방법론은 경영분야의 업무혁신에 초점을 두고 각 단계가 끝날 때마다 사용자(또는 고객)의 피드백 및 승인을 획득하도록 되어 있으며, 착수→진단→계획수립→실행→종료의 순으로 구분된다.

5) 한국능률협회컨설팅 모델, 1997

◦ 한국능률협회컨설팅에서 수행하는 컨설팅 수행절차는 특별히 정형화된 것은 없으나 대체로 다음과 같다.

4) ILO(Milan) 모델, 1986

◦ 국제노동기구(ILO) 주관으로 정리된 컨설팅 수행절차는 제반 이론들을 포괄적으로 정리한 것으로, 흔히 ‘밀란 모델(Milan Model)'이라고도 한다.
◦ 이 방법론은 경영분야의 업무혁신에 초점을 두고 각 단계가 끝날 때마다 사용자(또는 고객)의 피드백 및 승인을 획득하도록 되어 있으며, 다음과 같이 5단계로 구분된다.

3) Margerison 모델, 1986

◦ 컨설팅 과정을 크게 3가지로 구분한 뒤 다시 12과정으로 세분된다.
◦ Lewin의 조직변화이론 맥락과 크게 다르지 않다는 것이 특징이다.

2) Kolb & Frohman 모델, 1970

◦조직의 변화과정을 7단계로 파악하고, 성공적인 변화가 이루어지기 위해서는 변화 과정 중 각 단계별로 변화담당자와 피변화자 간에 적절한 관계가 형성되어야 함을 강조한 모델이다.

1) Lewin 모델, 1951

◦조직의 모든 수준의 변화 즉 개인, 집단 및 조직 등 여러 수준의 태도변화에 전반적으로 적용될 수 있는 이론을 제시한 것이다.
◦조직의 변화과정을 개인의 태도변화 과정과 동일한 방식으로 설명하면서 조직에서의 모든 수준의 변화, 즉 개인․집단 및 조직의 태도변화는 해빙(Unfreezing), 변화(Moving), 재동결(Re-freezing) 등 세 단계를 거치며 이루어진다고 본다.
◦Lewin의 이론은 변화이행 연구의 시초로 이후 많은 학자들이 Lewin의 이론을 기반으로 하여 변화이행에서의 다단계 모델을 제시하기 시작한다.

4) 실행 및 종료(WHEN)

◦실행 및 종료단계는 이전 단계에서 수립된 보안경영체계와 단계별 보안대책을 언제 추진해야 하는가를 설명하는 단계로, 본 단계에서는 보안정책서, 보안지침, 보안절차 등 보안경영 문서체계 확립과 보안시스템 구축이 실행되도록 하여야 한다.
◦컨설턴트는 본 단계에서 보안경영체계의 주요 통제항목을 제시하여야 하며, 이에 따라 기업의 환경에 적합한 보안문서체계를 설계하고, 보안솔루션 도입을 통한 시스템 구축을 추진해야 한다.
- 보안문서체계 도입이나 시스템 구축시 임직원 교육 및 사후점검과 유지관리도 필수적임

3) 계획수립(HOW)

◦계획수립 단계에서는 보안업무를 어떻게 추진해야 하는가를 설명하는 단계로, 본 단계에서는 진단단계에서의 환경분석과 취약점 진단결과를 정리하여 어떻게 보안경영활동을 추진할 것인가의 마스터플랜을 수립해야 한다.
◦먼저 환경분석 및 자산분석 결과와 기술적 보안진단 및 보안경영실태에 대한 진단결과를 정리하여 기업이 우선적으로 추진해야 할 핵심과제를 선정해야 한다.
◦그 다음으로 분석 및 진단결과를 바탕으로 보안경영체계를 수립하고, 단계별 보안대책을 수립하여 기업에 제시하여야 한다.

2) 진단(WHAT)

◦진단단계는 컨설팅 수행시 무엇을 해야 하는가를 설명하는 단계로, 취약성 분석 및 위험평가가 이루어지며, 컨설턴트는 본 단계에서 정보자산의 식별 및 가치평가, 시스템 위협 및 취약점 진단, 보안경영실태 진단 등의 업무를 수행해야 한다.
◦정보자산의 식별 및 가치평가 작업은 기업 내 자산의 실질적인 가치를 파악하는 작업으로 시스템과 보안경영실태를 진단할 때 취약점을 판단하는 기준이 된다.
◦시스템의 위협 및 취약점 진단을 통해 보안시스템 도입 및 확대를 추진하게 되며, 보안경영실태 진단을 통해 현실성 있는 보안정책과 지침을 수립하고 보안경영활동을 실무에 적용하게 된다.

1) 착수(WHY)

◦착수단계는 컨설팅을 왜 해야 하는지를 설명하는 단계로 컨설턴트는 기업의 업무현황 및 요구사항을 분석하고, 기업으로 하여금 보안 자가진단을 실시하도록 조치한다.
◦업무현황 분석시에는 고객의 경영환경 등 총괄적인 측면과 보안조직, 보안현황 등의 보안문제 도출을 위한 기능파악에 초점을 두고 진행해야 하며, 너무 상세한 부분까지 접근하지 않아야 한다.
◦요구사항 분석시에는 고객이 기대하는 업무 요구사항을 명확히 함으로써 컨설팅 범위와 방법을 확정하고, 컨설팅 일정에 대한 협의가 이루어져야 한다.
◦보안 컨설턴트는 기업의 보안수준 측정을 위해서 기업담당자로 하여금 보안자가진단을 실시하도록 하여야 하며, 기업이 응답한 자가진단 결과를 통해 본격적인 컨설팅에 앞서 기업의 보안현황에 대한 사전 정보를 얻을 수 있다.