earticle

영어

The importance of information security has grown alongside the development of information and communication technology. However, companies struggle to select suitable countermeasures within their limited budgets. Sönmez and Kılıç (2021) proposed a model using AHP and mixed integer programming to determine the optimal investment combination for mitigating information security breaches. However, their model had limitations: 1) a lack of objective measurement for countermeasure efficacy against security threats, 2) unrealistic scenarios where risk reduction surpassed pre-investment levels, and 3) cost duplication when using a single countermeasure for multiple threats. This paper enhances the model by objectively quantifying countermeasure efficacy using the beta probability distribution. It also resolves unrealistic scenarios and the issue of duplicating investments for a single countermeasure. An empirical analysis was conducted on domestic SMEs to determine investment budgets and risk levels. The improved model outperformed Sönmez and Kılıç's (2021) optimization model. By employing the proposed effectiveness measurement approach, difficulty to evaluate countermeasures can be quantified. Utilizing the improved optimization model allows for deriving an optimal investment portfolio for each countermeasure within a fixed budget, considering information security costs, quantities, and effectiveness. This aids in securing the information security budget and effectively addressing information security threats.

한국어

정보통신기술의 발달로 정보보호의 중요성이 커졌지만, 기업은 제한된 예산 내에서 적절한 대책을 선택하는 데 어려움을 겪고 있다. Sönmez and Kılıç(2021)는 정보 보안 침해를 완화하기 위한 최적의 투자 조합을 결정하기 위해 AHP 및 혼합 정수 계획을 사용하는 모델을 제안했다. 그러나 1) 보안 위협에 대한 보안 대책의 효과를 객관적으로 측정하지 못하고, 2) 투자로 인한 위험 감소가 투자 이전에 측정한 위험 수준을 초과하는 비현실적인 현상이 발생하고, 3) 여러 위협에 대해 단일 대응책을 사용할 때 중복된 투자가 이루어진다는 한계가 있었다. 본 연구에서는 베타 확률 분포를 사용하여 대책의 효과를 객관적으로 정량화하고, 위험 감소 수준이 투자 이전에 측정된 위험 수준을 초과하지 않고 보안 대책이 중복 투자되지 않도록 최적화 모델을 개선했다. 개선된 모델을 국내 중소기업을 대상으로 실증분석한 결과, Sönmez and Kılıç(2021)의 최적화 모델보다 더 나은 결과를 도출했다. 개선된 최적화 모델을 사용하면 정보보호 비용, 수량, 대책 효율성을 고려하여 고정된 예산 내에서 최적의 대책별 투자 포트폴리오를 도출할 수 있고, 정보 보안 예산을 확보하고 정보 보안 위협을 효과적으로 해결하는 데 도움이 될 것이다.