--- type: paper slug: irfan-syamsuddin-2009-ahp-ebanking-security title: >- The Application of AHP Model to Guide Decision Makers: A Case Study of E-Banking Security authors: - '[[irfan-syamsuddin]]' - '[[junseokhwang]]' year: 2009 venue: '[[iccit]]' doi: 10.1109/ICCIT.2009.251 categories: - '[[ict-policy]]' methods: - '[[analytical-hierarchy-process]]' themes: - '[[e-banking-security]]' - '[[information-security-policy]]' last_updated: '2026-05-20T02:09:44+09:00' --- # The Application of AHP Model to Guide Decision Makers: A Case Study of E-Banking Security *[[irfan-syamsuddin]], [[junseokhwang]] (2009)* · [[iccit]] · [DOI ↗](https://doi.org/10.1109/ICCIT.2009.251) > 인도네시아 은행권 (BCA·LIPPO 의 typo squatting·PIN 분배 결함 두 사례) 의 [[information-security]] 정책 우선순위를 [[analytical-hierarchy-process]] 로 구조화한다. 보안 정책 4 차원 (management·technology·economy·culture) × 보안 요소 3 차원 (CIA: confidentiality·integrity·availability) 의 위계 모델을 Web-HIPRE 도구로 평가, CIO 의 pairwise comparison 으로 가중치 도출. 결과: 정책 차원에서 culture (0.369) > economy (0.341) > management (0.177) > technology (0.114), 보안 요소 차원에서 confidentiality (0.449) > integrity (0.346) > availability (0.206). 기술 일변도 사고에서 벗어나 문화·관리 측면의 가중치화 필요성을 정량 입증. - **RQ**: 인도네시아 은행권 [[information-security]] 정책의 우선순위를 [[analytical-hierarchy-process]] 로 어떻게 정량 구조화할 수 있으며, 결정자들은 실제로 어느 차원·요소에 무게를 두는가 - **방법론**: [[analytical-hierarchy-process]] (Saaty 9-point 강도 척도, $n(n-1)/2$ pairwise comparison, eigenvector 가중치 추출). 도구: Web-HIPRE applet - **데이터**: 인도네시아 은행 사례 2 건 (BCA 2001 typo squatting "kilkbca.com" / "kikbca.com", LIPPO 2006 VPIN 분배 결함), COBIT·ISO 27001 정책 framework, 은행 CIO 응답 기반 pairwise comparison - **주요 발견**: 정책 4 차원: culture 0.369 > economy 0.341 > management 0.177 > technology 0.114. 보안 요소 3 차원: confidentiality 0.449 > integrity 0.346 > availability 0.206. 즉 의사결정자들은 *기술적* 통제 (인증·암호화·firewall) 보다 *문화적* 통제 (security awareness·교육·organizational behavior) 와 *경제적* 통제 (security investment ROI) 를 더 중시 - **시사점**: 정보보안 정책 결정을 기술 중심 사고에서 벗어나 culture·economy 측면을 명시적으로 가중치화하는 MCDM 접근이 필요. 은행권의 신뢰 비즈니스 특성상 confidentiality 우선이 합리적 ![e-banking 보안 의사결정을 위한 AHP 위계 모델 — 4 정책 차원 × 3 CIA 요소 격자에서 의사결정자의 pairwise comparison 으로 가중치를 도출하는 Web-HIPRE 구조.](/papers/200900_SyamsuddinI_The_application_of_AHP_model_to_guide_decision_makers_A_case_study_of_E_banking_security/fig1.jpeg) ## 요약 [[junseokhwang]] 의 동남아 ICT 정책 라인 ([[siramaliphol]] 의 [[budhi-setyawan]]·[[hamad-hassan]] 와 자매) 의 정보보안 측면 paper. Anderson (2001) 의 "Why Information Security is Hard: An Economic Perspective" 이후 보안 정책은 기술 단일 시각으로 풀 수 없는 multi-criteria 문제로 정립됐고, COBIT·ISO 27001 같은 international standard 가 management framework 를 제공해 왔지만 *어느 차원에 더 가중치를 둘 것인가* 는 의사결정자의 판단에 맡겨졌다. 본 paper 는 Saaty (1980) 의 [[analytical-hierarchy-process]] — MCDM 의 정전 — 를 인도네시아 은행 정보보안 정책 평가에 적용해 가중치를 정량화하는 framework 를 제안한다. 분석 대상은 두 인도네시아 은행 사례. (i) BCA (Bank Central Asia) 2001 typo squitting — 공격자가 "kilkbca.com", "kikbca.com" 등 원본 "klikbca.com" 의 오타 도메인을 매입해 동일 디자인의 가짜 사이트로 사용자 redirect. (ii) LIPPO Bank 2006 internet banking VPIN 분배 결함 — ATM 으로 VPIN 생성 가능한 메커니즘 약점. 두 사례는 *기술 일변도 정책의 한계* 를 보여준다. AHP 모델은 정책 4 차원 (management = IT governance·audit·data classification·access control / technology = software·network·internet security / economy = ROSI·breach 경제 영향 / culture = security awareness·교육·organizational behavior) × 보안 요소 3 차원 (CIA) 의 12-cell 격자에서 CIO 의 pairwise comparison 으로 가중치를 산출, Web-HIPRE applet (Mustajoki & Hamalainen 2000) 으로 계산한다. 결과는 *기술 일변도의 오해를 정량 기각* 한다. 정책 차원에서 culture (0.369) 가 1 위, economy (0.341) 가 2 위, management (0.177) 와 technology (0.114) 가 하위. 보안 요소 차원에서는 confidentiality (0.449) 가 1 위로 은행권의 *고객 데이터 보호 = 신뢰 비즈니스 핵심* 명제를 입증, integrity (0.346) 2 위, availability (0.206) 3 위. 12-cell 격자에서 culture × CIA 모두 균등 (0.123 × 3) 한 점이 흥미롭다 — 문화적 통제는 confidentiality·integrity·availability 모두에 동등 기여. [[junseokhwang]] 의 AHP 정책 평가 라인 ([[hamad-hassan-2015-pakistan-egov-ahp]], [[hamad-hassan-2019-pakistan-ahp-policy]], [[lpghimire-2018-nepal-renewable-energy-ahp]], [[imran-ahmad-2020-pakistan-internet-ahp]]) 의 초기 작업으로, 후속 paper 들이 AHP 를 정책 평가의 표준 도구로 채택하는 패턴의 출발점. ## 핵심 결과 | 정책 차원 \ 보안 요소 | Confidentiality | Integrity | Availability | **TOTAL** | |---|---:|---:|---:|---:| | Management | 0.112 | 0.054 | 0.011 | 0.177 | | Technology | 0.068 | 0.023 | 0.023 | 0.114 | | Economy | 0.146 | 0.146 | 0.049 | 0.341 | | **Culture** | 0.123 | 0.123 | 0.123 | **0.369** | | **TOTAL** | **0.449** | 0.346 | 0.206 | 1.000 | 핵심 명제: **인도네시아 은행권 의사결정자의 정량 가중치는 culture > economy > management > technology (정책 차원), confidentiality > integrity > availability (보안 요소). 기술 일변도 사고는 정량 가중치 합 0.114 로 가장 낮으며, security awareness·교육·organizational behavior 의 문화적 측면이 1 위.** ## 방법론 노트 Saaty (1980) 의 AHP 는 의사결정 문제를 *위계* (목표 → 기준 → 대안) 로 구조화한 뒤, 각 위계 수준에서 $n$ 개 기준 (or 대안) 의 *pairwise comparison* 으로 9-point 강도 척도 (1 equally, 3 weakly, 5 strongly, 7 very strongly, 9 absolutely more important; 역방향은 역수) 를 수집한다. $n$ 개 기준에 대해 $n(n-1)/2$ 개 비교만으로 전체 가중치를 도출 가능. 결과는 pairwise comparison matrix $\mathbf{A} = [a_{ij}]$ 형태: $$ \mathbf{A} = \begin{pmatrix} 1 & 3 & 5 \\ 1/3 & 1 & 7 \\ 1/5 & 1/7 & 1 \end{pmatrix} $$ 여기서 $a_{ij}$ = 기준 $i$ 가 기준 $j$ 에 대해 갖는 상대 중요도. 가중치는 $\mathbf{A}$ 의 principal eigenvector (Saaty's eigenvalue method) 로 추출. AHP 4 단계는 (1) 문제를 위계로 구조화, (2) pairwise comparison + judgment matrix 산출, (3) local weights + 일관성 검증 (Consistency Ratio, CR < 0.1), (4) 위계 수준 간 가중치 aggregation 으로 최종 가중치. 식별은 *의사결정자의 pairwise judgment 데이터에서 eigenvector 추출* 로 객관화되며, 본 paper 는 Web-HIPRE (Mustajoki & Hamalainen 2000) 를 도구로 사용해 인도네시아 은행 CIO 응답을 입력. CIA 3 요소 가중치 0.449 / 0.346 / 0.206 의 합은 1, 정책 4 차원 0.369 / 0.341 / 0.177 / 0.114 의 합도 1 로 정규화 일관성 검증됨. ## 연구 계보 직접 선행: Saaty (1980) *The Analytic Hierarchy Process* RWS Publications — AHP 정전. Zahedi (1986) *Interfaces* "The analytic hierarchy process — a survey of the method and its applications" — AHP 적용 사례 검토 + 4 단계 절차 표준화. Mustajoki & Hamalainen (2000) *INFOR* Web-HIPRE 도구 — 본 paper 가 계산에 사용. von Solms (2005) *Computers & Security* "Information Security governance: COBIT or ISO 17799 or both?" — 본 paper 의 정책 framework 출처. Anderson (2001) *ACSAC* "Why Information Security is Hard: An Economic Perspective" — 보안의 *경제* 측면 강조의 출발점. Gordon & Loeb (2002) *ACM TISSEC* "The Economics of Investment in Information Security" — 경제 차원 가중치의 이론 기반. Schlienger & Teufel (2002) *IFIP* "Information Security Culture: The Socio-Cultural Dimension" — culture 차원 가중치의 이론 기반. Peltier (2001) *Information Security Risk Analysis* — CIA 3 요소 분류. [[junseokhwang]] 의 [[siramaliphol]] 라인 ([[budhi-setyawan-2009-indonesia-telecom-diffusion]] 와 자매) 의 동남아 ICT 정책 라인의 일환. ## See also - [[junseokhwang]] - [[irfan-syamsuddin]] - [[iccit]] - [[analytical-hierarchy-process]] - [[information-security]] - [[siramaliphol]] - [[hamad-hassan-2015-pakistan-egov-ahp]] - [[lpghimire-2018-nepal-renewable-energy-ahp]]