SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

1. 문제 정의 (Problem)

• 비효율적인 사이버보안 투자: 디지털화된 기업들은 적절한 보호를 유지하면서도 과도한 비용을 지출하지 않는 사이버보안 전략 수립에 어려움을 겪고 있습니다.
• 경제적 인센티브 부재: 현재 많은 기업 (특히 중소기업, SME) 은 사이버보안 투자 부족과 왜곡된 경제적 인센티브로 인해 공격의 주요 표적이 되고 있으며, 이는 직접적인 비즈니스 중단 손실과 간접적인 평판 손상, 법적 제재 등 심각한 경제적 영향을 초래합니다.
• 기술적/경제적 접근의 격차: 사이버보안 계획은 기술적 지식뿐만 아니라 경제적 차원 (투자 대비 효과) 을 고려해야 하지만, 이를 쉽게 적용할 수 있는 도구가 부족합니다. 특히 고든 - 로브 (Gordon-Loeb, GL) 모델과 같은 정교한 경제 모델을 비기술적 사용자가 실용적으로 활용하기는 어렵습니다.

2. 방법론 (Methodology)

이 논문은 사이버보안 계획을 지원하기 위해 SECAdvisor라는 오픈소스 시각화 도구를 제안합니다. 이 도구는 다음과 같은 경제 모델과 방법론을 통합합니다.

• 고든 - 로브 (Gordon-Loeb, GL) 모델 및 정보 세그먼테이션:
  • GL 모델을 기반으로 데이터의 가치 ($L$), 취약성 ($v$), 공격 성공 확률을 고려하여 **최적의 사이버보안 투자액 ($z^*$)**을 계산합니다.
  • 기존 GL 모델의 한계를 극복하기 위해 정보 세그먼테이션 (Information Segmentation) 개념을 도입했습니다. 기업의 정보를 '웹 서버', '데이터베이스', '네트워크' 등 여러 세그먼트로 나누고, 각 세그먼트별 가치와 취약성을 독립적으로 분석하여 투자 효율성을 극대화합니다.
  • 최적 투자액은 기대 순 편익 (ENBIS) 을 최대화하는 지점에서 결정되며, 일반적으로 예상 손실의 37% ($1/e$) 를 초과하지 않는다는 GL 의 원칙을 따릅니다.
• 보안 투자 수익률 (ROSI) 계산:
  • 추천된 보안 솔루션의 비용 효율성을 평가하기 위해 ROSI 지표를 사용합니다.
  • 공식: $ROSI = \frac{(\text{ALE} \times \text{MitigationRatio}) - \text{SolutionCost}}{\text{SolutionCost}}$
  • 여기서 ALE(연간 예상 손실) 는 공격 발생률 (ARO) 과 단일 손실 노출 (SLE) 의 곱으로 계산됩니다. ROSI $\ge$ 1 인 경우 비용 효율적인 투자로 판단합니다.
• 시스템 아키텍처:
  • 프레임워크: AngularJS (프론트엔드), NestJS (백엔드), MongoDB (데이터베이스).
  • 기능: 비즈니스 프로파일 정의, 정보 세그먼트 생성 및 가치 추정, GL 모델 적용을 통한 최적 투자 계산, MENTOR 추천 엔진 연동을 통한 보안 솔루션 추천, ROSI 기반 비용 효율성 비교.
  • 확장성: Breach Probability Function (BPF) 을 사용자가 기업 상황에 맞게 커스터마이징할 수 있도록 설계되었습니다.

3. 주요 기여 (Key Contributions)

• 최초의 통합 도구: 사이버보안 경제 모델 (GL, ROSI) 을 시각적이고 직관적인 웹 기반 도구로 통합한 SECAdvisor는 해당 분야에서 최초의 솔루션입니다.
• 정보 세그먼트 기반 최적화: 기업 전체를 하나의 덩어리로 보지 않고, 정보 세그먼트별로 최적 투자액을 산출하여 자원을 효율적으로 배분할 수 있게 합니다.
• 실무 및 교육용 플랫폼:
  • 기업 의사결정자가 예산과 요구사항에 맞는 최적의 보안 전략을 수립할 수 있도록 지원합니다.
  • 비기술적 사용자도 복잡한 경제 모델을 쉽게 적용할 수 있도록 인터페이스를 단순화했습니다.
• 오픈소스 및 공개: 소스 코드와 프로토타입이 공개되어 있어 연구 및 교육 목적으로 자유롭게 활용 가능합니다.

4. 평가 결과 (Results)

논문은 SECAdvisor 의 유효성을 사용성 평가와 실제 교육 활동을 통해 검증했습니다.

• 사용성 평가 (Usability Evaluation):
  • 13 명의 기술 배경을 가진 참가자를 대상으로 수행되었으며, 6 가지 주요 작업 (세그먼트 정의, 최적 투자 계산, ROSI 비교 등) 을 수행했습니다.
  • 작업 성공률: 전체 평균 **87.2%**의 높은 성공률을 기록했습니다. 특히 기본 계산 작업은 92~100% 의 성공률을 보였습니다.
  • 시스템 사용성 척도 (SUS): 평균 82.1 점을 기록하여 '우수 (Excellent)' 등급에 해당하며, 매우 높은 사용성과 직관성을 입증했습니다.
• 실제 적용 사례 (Real-World Activities):
  • 유럽의 사이버보안 컨설턴트 양성 과정 (CONCORDIA 프로젝트), 취리히 대학교 (UZH) 마스터 과정, NeCS 박사 학교 등 다양한 교육 현장에서 활용되었습니다.
  • 수백 명의 참가자가 GL 모델과 ROSI 개념을 처음 접하거나 심화 학습하는 데 성공적으로 활용되었으며, 교육 및 실무 적용에 대한 긍정적인 피드백을 받았습니다.

5. 의의 및 결론 (Significance)

• SME 를 위한 접근성 제고: 제한된 예산과 기술 인력을 가진 중소기업 (SME) 이도 복잡한 사이버보안 계획을 경제적 관점에서 수립할 수 있는 길을 열었습니다.
• 데이터 기반 의사결정: 단순한 직관이 아닌, 수학적 모델 (GL, ROSI) 에 기반한 객관적인 투자 결정을 가능하게 하여 사이버보안 예산 낭비를 방지하고 효율성을 높입니다.
• 미래 지향성: 향후 실제 취약점 데이터와 몬테카를로 시뮬레이션을 통한 정교한 평가, AI 를 활용한 자산 가치 자동 추정, 그리고 기업 프로파일에 따른 BPF 자동 커스터마이징 등을 통해 도구의 정밀도를 높일 계획입니다.

결론적으로, SECAdvisor 는 사이버보안이라는 기술적 영역에 경제학적 원리를 성공적으로 접목하여, 기업이 위험과 투자 사이의 균형을 찾고 비용 효율적인 보안 전략을 수립할 수 있도록 돕는 혁신적인 도구입니다.