제조·운영기술(OT) 보안의 글로벌 표준, ISA/IEC 62443의 체계 및 핵심 프레임워크

 

1. 산업 제어 시스템 보안의 이정표, ISA/IEC 62443의 개요

• 정의: 공장 자동화, 에너지, 발전 등 산업 제어 시스템(IACS)의 전 생애주기에 걸쳐 보안 위협을 관리하기 위해 국제자동화협회(ISA)와 국제전기기술위원회(IEC)가 공동 제정한 OT 보안 국제 표준.

• 등장 배경: 스마트 팩토리 확산에 따른 IT-OT 융합(Convergence), Stuxnet 등 국가 기반 시설을 노린 사이버 공격 증가, 기존 IT 보안 표준(ISO 27001)의 제어 현장 적용 한계.

2. ISA/IEC 62443의 4개 계층(Tier) 구조

본 표준은 대상과 목적에 따라 총 4개의 그룹(General, Policies, System, Component)으로 구성됩니다.

구분	명칭	주요 내용 및 특징
Tier 1	General (일반)	개념, 용어, 지표 및 보안 라이프사이클 정의 (62443-1-x)
Tier 2	Policies & Procedures (정책)	자산 소유자를 위한 보안 관리 체계 및 인력 교육 (62443-2-x)
Tier 3	System (시스템)	제어 시스템의 기술적 보안 요구사항 및 설계 (62443-3-x)
Tier 4	Component (구성요소)	PLC, RTU, 센서 등 개별 제품의 보안 사양 (62443-4-x)

3. ISA/IEC 62443의 핵심 보안 개념

가. Zone & Conduit (구역 및 통로) 모델

• Zone: 유사한 보안 요구사항을 가진 자산들의 논리적/물리적 집합.

• Conduit: 구역 간의 통신을 수행하는 통로로, 구역 간 경계 보안(Firewall, IPS 등) 적용 지점.

나. 보안 수준 (Security Level, SL)

자산의 중요도와 공격자의 역량에 따라 5단계(0~4)로 구분하여 대응 수준을 결정합니다.

• SL 1: 부주의한 실수나 단순 오작동 방지.

• SL 4: 국가 지원 조직 등 높은 역량을 가진 공격자의 정교한 공격 방어.

다. 7대 기본 요구사항 (Foundational Requirements, FR)

1. 식별 및 인증 제어 (IAC): 사용자 및 장치 인증.

2. 이용 제어 (UC): 권한에 따른 접근 제어.

3. 시스템 무결성 (SI): 무단 변경 방지.

4. 데이터 기밀성 (DC): 통신 및 저장 데이터 암호화.

5. 제한적 데이터 흐름 (RDF): 불필요한 통신 차단 (Zone/Conduit 연계).

6. 사건에 대한 적시 응답 (TRE): 보안 침해 감시 및 보고.

7. 리소스 가용성 (RA): 서비스 거부(DoS) 공격 방어 및 가용성 확보.

4. IT 보안 표준(ISO 27001)과의 비교

구분	ISO 27001 (IT 보안)	ISA/IEC 62443 (OT 보안)
우선순위	기밀성(C) > 무결성(I) > 가용성(A)	가용성(A) > 무결성(I) > 기밀성(C)
관리 대상	정보 자산 (Data)	물리 공정 및 제어 장치 (Process)
장비 특성	범용 OS, 짧은 교체 주기	실시간성, 폐쇄적 프로토콜, 긴 수명(10~20년)
가동성	패치 및 재부팅 비교적 자유로움	24/7 무중단 운영, 실시간성 필수

5. 성공적인 OT 보안 구축을 위한 기술사적 제언

• Defense in Depth (심층 방어): 개별 장비(Component) 보안부터 네트워크(System), 절차(Policy)까지 다중 방어 체계 구축 필수.

• 공급망 보안 강화: Tier 4(Component) 표준을 기반으로 납품 장비에 대한 보안 인증(ISASecure 등)을 요구하여 도입 단계부터 보안성 확보.

• 결언: ISA/IEC 62443은 스마트 제조 환경의 필수 요건임. 기술사는 현장의 가용성을 저해하지 않으면서도 보안성을 확보할 수 있도록 **가시성 확보(Asset Inventory)**와 세분화(Segmentation) 중심의 보안 아키텍처를 설계해야 함.

데이터 기밀성 확보를 위한 대칭 및 비대칭 암호화 메커니즘 분석

 

1. 정보보호의 핵심 기술, 암호화(Encryption)의 개요

• 정의: 데이터를 인가되지 않은 제3자가 읽을 수 없는 형태(암호문)로 변환하여 기밀성(Confidentiality)을 보장하는 기술.

• 구성 요소: 평문(Plaintext), 암호 알고리즘, 암호 키(Key), 암호문(Ciphertext)으로 구성됨.

• 분류: 암호화와 복호화에 사용하는 키의 일치 여부에 따라 대칭 암호화와 비대칭 암호화로 구분됨.

2. 대칭 암호화와 비대칭 암호화의 개념 및 특징

가. 대칭 암호화 (Symmetric Encryption): 단일키 방식

• 개념: 암호화와 복호화에 동일한 하나의 비밀키(Secret Key)를 사용하는 방식.

• 특징: 알고리즘 구조가 단순하여 연산 속도가 매우 빠름.

• 주요 문제: 송신자와 수신자 간의 키 분배(Key Distribution) 및 관리의 어려움.

나. 비대칭 암호화 (Asymmetric Encryption): 공개키 방식

• 개념: 암호화에는 공개키(Public Key)를, 복호화에는 개인키(Private Key)를 사용하는 쌍(Pair) 구조의 방식.

• 특징: 키 분배 문제를 해결하고 전자서명, 부인방지 기능을 제공함.

• 주요 문제: 복잡한 수학적 연산(소인수분해 등)으로 인해 대칭키 대비 속도가 현저히 느림.

3. 대칭 암호화와 비대칭 암호화 상세 비교

구분	대칭 암호화 (Symmetric)	비대칭 암호화 (Asymmetric)
사용 키	암호화 키 = 복호화 키 (1개)	암호화 키 $\neq$ 복호화 키 (2개, 쌍)
키 분배	키 전달 시 탈취 위험 존재	공개키는 공개되므로 분배 용이
키 관리	사용자 증가 시 관리 키 급증 ($n(n-1)/2$)	사용자당 1쌍의 키만 관리 ($2n$)
연산 속도	매우 빠름 (대용량 데이터 적합)	상대적으로 느림 (소량 데이터 적합)
주요 용도	파일 암호화, 대량 데이터 전송	키 교환, 전자서명, 인증
알고리즘	AES, DES, SEED, ARIA	RSA, ECC, ElGamal, Diffie-Hellman

4. 효율적인 암호 체계 운용을 위한 하이브리드(Hybrid) 방식

현대 보안 시스템(TLS/SSL 등)은 두 방식의 장점만을 결합한 하이브리드 암호 체계를 사용합니다.

1. 키 교환: 상대적으로 느리지만 안전한 비대칭 암호화를 사용하여 대칭키(세션키)를 안전하게 전달.

2. 데이터 전송: 실제 대용량 데이터는 연산 속도가 빠른 대칭 암호화를 사용하여 암호화 후 전송.

3. 결과: 보안성과 효율성(속도)을 동시에 확보한 아키텍처 구현.

5. 기술사적 제언 및 향후 전망

• 양자 내성 암호(PQC): 양자 컴퓨터의 발전으로 기존 RSA 등 비대칭 암호가 무력화될 위기에 처함에 따라, 격자 기반 암호 등 양자 내성 암호로의 조속한 전환 준비 필요.

• 결언: 암호화는 단순히 알고리즘의 문제가 아닌 **'키 관리 거버넌스'**의 문제임. 기술사는 데이터의 중요도와 시스템 성능을 고려하여 최적의 암호 알고리즘과 키 관리 생애주기(Life-cycle) 전략을 수립해야 함.

미지의 목적함수 최적화를 위한 효율적 탐색 기법, 베이지안 최적화 분석

 

1. 블랙박스 함수 최적화의 해법, 베이지안 최적화의 개요

• 정의: 목적함수(Objective Function)의 형태를 미리 알지 못하는 블랙박스 상황에서, 과거의 탐색 결과를 바탕으로 확률적 추정 모델을 구축하여 최적값을 효율적으로 찾는 기법.

• 필요성: * 고비용 연산 극복: 딥러닝 모델 학습처럼 한 번의 평가(Evaluation)에 많은 시간과 자원이 소요되는 경우에 적합.

  • 전역 최적해 탐색: Grid Search나 Random Search 대비 적은 시도로 더 나은 하이퍼파라미터 조합 도출 가능.

2. 베이지안 최적화의 핵심 메커니즘과 구성 요소

가. 베이지안 최적화의 기본 원리 (Bayes' Theorem 기반)

사전 지식(Prior)과 관측 데이터(Evidence)를 결합하여 사후 확률(Posterior)을 업데이트하며 최적해의 위치를 추정합니다.

나. 주요 구성 요소

구성 요소	설명	주요 기술/알고리즘
대리 모델 (Surrogate Model)	현재까지 관측된 점들을 바탕으로 미지의 목적함수 형태를 확률적으로 추정하는 모델	가우시안 프로세스 (Gaussian Process), TPE, Random Forest
획득 함수 (Acquisition Function)	대리 모델의 추정 결과를 바탕으로 다음번 어느 지점을 탐색할지 결정하는 전략 함수	Expected Improvement (EI), Upper Confidence Bound (UCB)

3. 베이지안 최적화의 수행 절차 (Iteration Flow)

1. 초기화: 임의의 하이퍼파라미터 조합($x$)에 대해 목적함수($f(x)$) 값을 몇 개 측정함.

2. 대리 모델 업데이트: 측정된 $(x, f(x))$ 데이터를 바탕으로 대리 모델을 학습시켜 사후 분포 도출.

3. 획득 함수 계산: 대리 모델의 평균(기대값)과 분산(불확실성)을 활용하여 획득 함수 값이 최대가 되는 다음 지점($x_{next}$) 선정.

4. 실제 평가: 선정된 $x_{next}$를 실제 모델에 적용하여 새로운 결과값 $f(x_{next})$ 획득.

5. 반복: 최적해를 찾거나 최대 반복 횟수에 도달할 때까지 2~4단계 수행.

4. 탐색(Exploration)과 활용(Exploitation)의 균형 전략

베이지안 최적화의 성능은 획득 함수를 통한 두 전략의 적절한 조화에 달려 있습니다.

전략	설명	특징
탐색 (Exploration)	불확실성(분산)이 높은 영역을 조사하는 전략	새로운 최적해 발견 가능성 제고, 중복 탐색 방지
활용 (Exploitation)	현재까지 알려진 값 중 평균이 가장 높은 영역을 조사하는 전략	현재 최적해 주변의 정밀 탐색, 빠른 수렴 유도

5. 베이지안 최적화의 활용 및 기술사적 제언

• 활용 분야: AutoML(하이퍼파라미터 자동 튜닝), 로봇 제어 파라미터 최적화, 신약 후보 물질 탐색 등.

• 한계 및 극복: 고차원 파라미터 공간에서는 가우시안 프로세스의 연산 복잡도($O(n^3)$)가 증가하므로, 대규모 데이터셋에서는 TPE(Tree-structured Parzen Estimator) 기법 연계 권장.

• 결언: 파운데이션 모델과 같은 초거대 AI 시대에 자원 효율적인 모델 최적화는 필수적임. 기술사는 베이지안 최적화를 활용하여 그린 AI(Green AI) 관점의 저비용·고효율 학습 아키텍처를 설계할 수 있어야 함.

데이터 가치 창출과 유통 생태계의 핵심, 데이터 거래소의 메커니즘 및 활성화 방안

 

1. 데이터 경제의 가속화, 데이터 거래소의 개요

• 정의: 데이터를 상품으로 간주하여 공급자와 수요자 간의 거래를 중개하고, 데이터의 탐색·결합·결제·유통을 지원하는 온라인 플랫폼 기반의 마켓플레이스.

• 필요성: * 데이터 활용 극대화: 사장되는 데이터를 유통시켜 신산업(AI, 빅데이터 등)의 원료로 공급.

  • 부가가치 창출: 데이터 기반의 신규 비즈니스 모델 발굴 및 데이터 자산 가치(Data Asset) 인정.

  • 데이터 주권 확보: 안전한 유통 체계를 통해 개인정보 침해 우려 불식 및 투명한 거래 환경 조성.

2. 데이터 거래소의 개념도 및 주요 구성요소

가. 데이터 거래소의 서비스 개념도

데이터 거래소는 데이터 공급자(Provider)와 수요자(Consumer) 사이에서 신뢰받는 중개자(Trusted Intermediary) 역할을 수행합니다.

나. 주요 구성요소 및 기능

구분	구성 요소	주요 기능 및 역할
인프라	데이터 카탈로그	등록된 데이터의 메타데이터 정보 제공 및 검색 기능
	데이터 샌드박스	데이터 구매 전 품질 확인 및 분석 환경(Closed 환경) 제공
운영	가치 평가 모델	데이터의 희소성, 품질, 활용성을 고려한 적정 가격 산정
	결제 및 정산 시스템	거래 완료 시 대금 결제 및 수익 배분 관리
보안	비식별화/가명처리기 도구	개인정보 보호를 위한 비식별 조치 및 유효성 검증
	유통 추적(DRM/Watermark)	무단 복제 방지 및 사후 유통 경로 추적 관리

3. 데이터 거래의 주요 유형 및 프로세스

가. 데이터 거래 유형

1. Raw 데이터 거래: 가공되지 않은 원천 데이터 그대로 판매.

2. 가공/분석 데이터 거래: 시각화, 통계 분석 등 2차 가공을 거쳐 즉시 활용 가능한 데이터 판매.

3. API/구독형 거래: 실시간 스트리밍 또는 API 호출 방식으로 데이터 제공.

나. 표준 거래 프로세스

1. 등록: 공급자가 데이터 명세 및 샘플 등록.

2. 검색: 수요자가 카탈로그를 통해 필요 데이터 탐색.

3. 계약: 가격 및 이용 조건(Usage Policy) 협상 및 계약.

4. 전송: 클라우드 또는 스토리지 간 안전한 데이터 전달.

5. 사후관리: 이용 현황 모니터링 및 정산.

4. 데이터 거래 활성화를 위한 장애요인 및 해결 방안

장애요인	해결 방안 (기술적/제도적)
신뢰성 부족	블록체인 기반의 데이터 이력 관리 및 스마트 컨트랙트 적용
가치 산정의 어려움	업종별 표준 데이터 가치 평가 가이드라인 수립 및 감정평가사 연계
개인정보 유출 우려	동형암호(Homomorphic Encryption), 차분 프라이버시 등 강화된 보안 기술 적용
데이터 호환성 저하	범정부 차원의 데이터 표준화(Interoperability) 및 메타데이터 체계 일원화

5. 데이터 거래소의 미래: 데이터 댐과 결합된 지능형 마켓

• 기술사적 시사점: 단순히 데이터를 파는 시장을 넘어, 이기종 데이터 간의 **'데이터 결합(Data Convergence)'**을 지원하는 거점으로 진화해야 함.

• 제언: 민간 데이터 거래소와 공공 데이터 포털 간의 연계를 강화하고, '마이데이터(MyData)' 산업과 결합하여 개인의 데이터 주권을 실현하는 동시에 기업의 혁신 성장을 견인하는 선순환 생태계를 구축해야 함.

불확실성 대응을 위한 통합 리스크 관리 표준, ISO 31000의 체계 및 구성요소

1. 전사적 리스크 관리의 이정표, ISO 31000의 개요

• 정의: 조직의 목표 달성에 영향을 미치는 불확실성(Risk)을 체계적으로 관리하기 위해 ISO에서 제정한 리스크 관리 국제 표준 가이드라인.

• 특징: * 범용성: 특정 산업에 국한되지 않고 모든 규모와 유형의 조직에 적용 가능.

  • 가치 창출: 단순한 위험 회피를 넘어, 기회를 포착하고 조직의 가치를 보호 및 창출하는 데 목적을 둠.

  • 통합성: 조직의 거버넌스, 전략, 기획, 관리, 보고 등 모든 활동에 리스크 관리를 통합할 것을 강조.

2. ISO 31000:2018의 3대 핵심 축 (원칙, 체계, 프로세스)

ISO 31000은 원칙(Principles), 체계(Framework), 프로세스(Process)의 유기적 결합을 통해 완성됩니다.

가. 리스크 관리의 8대 원칙 (Principles)

리스크 관리의 효과성을 보장하기 위한 기본 지침입니다.

• 통합성: 조직의 모든 활동에 필수적으로 포함됨.

• 구조화 및 포괄성: 일관되고 비교 가능한 결과를 산출함.

• 맞춤화: 조직의 외부 및 내부 상황에 적합하게 조정됨.

• 포용성: 이해관계자의 적절하고 시기적절한 참여를 보장함.

• 역동성: 외부 환경 변화에 따라 리스크를 실시간으로 인지하고 대응함.

• 최상의 정보 활용: 과거 데이터, 현재 상황, 미래 예측 등 가용한 모든 정보 활용.

• 인적 및 문화적 요소: 조직 내 구성원의 행동과 문화가 리스크 관리에 미치는 영향 고려.

• 지속적 개선: 학습과 경험을 통해 리스크 관리 체계를 끊임없이 고도화함.

나. 리스크 관리 체계 (Framework)

리스크 관리를 조직 전체에 내재화하기 위한 구조입니다.

• 리더십과 의지(Leadership & Commitment): 최고경영진의 강력한 추진 의지가 핵심(중심축).

• **설계(Design) → 도입(Implementation) → 평가(Evaluation) → 개선(Improvement) → 통합(Integration)**의 선순환 구조.

3. 리스크 관리 프로세스 (Process)

실제 리스크를 식별하고 대응하는 실무적 단계입니다.

1. 커뮤니케이션 및 협의: 이해관계자와 지속적으로 정보를 공유.

2. 범위, 상황 및 기준 설정: 리스크 관리의 목적과 외부/내부 환경 분석.

3. 리스크 평가 (Risk Assessment):

   • 식별(Identification): 무엇이, 왜, 어떻게 발생하는지 찾아냄.

   • 분석(Analysis): 발생 가능성(L)과 영향도(I)를 파악.

   • 산정(Evaluation): 리스크 수용 수준(Appetite)과 비교하여 우선순위 결정.

4. 리스크 처리 (Treatment): 회피(Avoid), 완화(Mitigate), 전이(Transfer), 수용(Accept) 중 선택.

5. 모니터링 및 검토: 환경 변화에 따른 리스크 상태를 지속적으로 관찰.

6. 기록 및 보고: 결과의 공유 및 의사결정 자료로 활용.

4. ISO 31000 기반 리스크 관리의 기대효과 및 제언

• 기대효과: 의사결정의 신뢰성 향상, 손실 최소화 및 자원 배분의 효율성 증대, 법적·규제 준수(Compliance) 강화.

• 기술사적 제언: * 데이터 기반 관리: 최근의 복잡한 비즈니스 환경에서는 AI와 빅데이터를 활용한 **예측적 리스크 관리(Predictive RM)**로의 전환이 필요함.

  • 거버넌스 연계: 리스크 관리가 별도의 행정 업무가 되지 않도록, 조직의 KPI 및 성과관리 체계(BSC 등)와 긴밀히 연계하여 리스크 지향적 조직 문화를 정착시켜야 함.

 

데이터 최적 배치를 위한 정렬 알고리즘: 버블, 삽입, 퀵 정렬의 메커니즘 분석

 

1. 효율적 데이터 탐색의 전제조건, 정렬(Sorting) 알고리즘의 개요

• 정의: 무작위로 나열된 데이터 셋(Set)을 특정 기준(오름차순/내림차순)에 따라 재배치하여 데이터의 가독성을 높이고 탐색 속도를 최적화하는 기법.

• 평가 기준: 알고리즘의 효율성은 실행 시간의 상한을 나타내는 **시간 복잡도($O$-notation)**와 추가 메모리 사용량을 의미하는 공간 복잡도로 결정됨.

2. 주요 정렬 알고리즘별 상세 설명

가. 버블 정렬 (Bubble Sort): 인접 요소 간 교환

• 개념: 인접한 두 원소를 비교하여 정렬 순서에 맞지 않으면 서로 교환하는 과정을 반복하는 방식. 한 번의 순회(Pass)가 끝나면 가장 큰(또는 작은) 원소가 맨 뒤로 이동함.

• 특징: 구현이 매우 단순하지만, 데이터 이동이 많아 효율성이 낮음.

• 시간 복잡도: 최악, 평균, 최선 모두 $O(n^2)$.

나. 삽입 정렬 (Insertion Sort): 적절한 위치 찾아 삽입

• 개념: 두 번째 원소부터 시작하여 앞쪽의 정렬된 부분 집합과 비교하여 자신의 위치를 찾아 '삽입'하는 방식.

• 특징: 데이터가 거의 정렬되어 있는 상태라면 매우 효율적임.

• 시간 복잡도: 평균/최악 $O(n^2)$, 최선(이미 정렬된 경우) $O(n)$.

다. 퀵 정렬 (Quick Sort): 분할 정복(Divide and Conquer) 기반

• 개념: 하나의 축(Pivot)을 설정하고, 피벗보다 작은 값은 왼쪽, 큰 값은 오른쪽으로 분할한 뒤 각각을 재귀적으로 정렬하는 방식.

• 특징: 대부분의 상황에서 가장 빠른 성능을 보이며, 현업 라이브러리에서 널리 사용됨.

• 시간 복잡도: 평균 $O(n \log n)$, 최악(피벗이 편중된 경우) $O(n^2)$.

3. 정렬 알고리즘(버블, 삽입, 퀵) 비교 분석

구분	버블 정렬 (Bubble)	삽입 정렬 (Insertion)	퀵 정렬 (Quick)
방식	인접 값 비교 및 교환	정렬된 부분에 삽입	분할 및 정복 (재귀)
평균 시간 복잡도	$O(n^2)$	$O(n^2)$	$O(n \log n)$
공간 복잡도	$O(1)$	$O(1)$	$O(\log n)$ (재귀 스택)
안정성 (Stable)	Stable	Stable	Unstable
장단점	구현 단순, 속도 느림	정렬된 상태에서 최적	가장 빠름, 편향 시 저하

4. 알고리즘 선택 및 최적화 전략에 대한 제언

• 데이터 특성 기반 선택: 데이터 양이 적고 이미 어느 정도 정렬되어 있다면 삽입 정렬이 유리하며, 대용량 데이터 일반 정렬 시에는 퀵 정렬이 표준임.

• 최악의 상황 방지: 퀵 정렬의 $O(n^2)$ 저하를 방지하기 위해 피벗을 무작위로 선택하거나(Randomized Quick Sort), 중앙값(Median of Three)을 사용하는 최적화 기법 적용 권장.

• 결언: 정렬은 단순한 순서 변경이 아니라 시스템 전체의 **인덱싱 및 검색 성능(Throughput)**을 결정짓는 핵심 알고리즘임. 기술사는 데이터의 규모와 분포를 고려하여 하이브리드 방식(예: Tim Sort) 등 최적의 정렬 전략을 제안할 수 있어야 함.

합리적 대가 산정과 프로젝트 통제를 위한 소프트웨어 규모 산정 기법 분석

 

1. 소프트웨어 프로젝트 관리의 출발점, 규모 산정의 개요

• 정의: 소프트웨어 개발에 소요되는 노력(Effort), 기간(Time), 비용(Cost)을 예측하기 위해 소프트웨어의 크기를 정량적으로 측정하는 활동.

• 핵심 가치: 객관적 지표를 바탕으로 발주자와 수주자 간의 신뢰를 형성하고, 자원 배분의 최적화를 통해 프로젝트 성공률 제고.

2. 규모 산정의 필요성 및 산정 방법

가. 규모 산정의 필요성

1. 합리적 예산 수립: 근거 없는 산정으로 인한 저가 수주 또는 예산 낭비 방지.

2. 일정 및 자원 계획: 투입 인력(Man-Month)과 개발 기간의 적정성을 판단하는 기준 제공.

3. 생산성 측정: 개발 완료 후 투입 비용 대비 성과를 분석하는 벤치마크 지표로 활용.

4. 변경 관리 기준: 요구사항 변경 시 추가 비용 및 일정 조정의 객관적 근거.

나. 규모 산정 방법의 분류

• 하향식 (Top-Down): 전문가의 경험과 과거 유사 사례를 바탕으로 전체 비용을 먼저 결정 후 세부 배분. (델파이 기법 등)

• 상향식 (Bottom-Up): 세부 기능이나 작업 단위(WBS)별로 산정한 후 전체 규모를 합산. (LOC, FP 등)

• 수학적 산정 모델: 소프트웨어의 특성 변수를 공식에 대입하여 산정. (COCOMO, Putnam 등)

3. 규모 산정 방식의 종류별 특징

구분	주요 특징	장점	단점
LOC (Line of Code)	원시 코드 라인 수를 기준으로 산정	계산이 쉽고 이해가 직관적임	언어와 기술에 의존적, 설계 단계 예측 어려움
FP (Function Point)	사용자 관점의 기능을 수치화 (입력, 출력, 질의 등)	국가 표준, 논리적 설계 단계에서 산정 가능	산정 절차가 복잡하고 전문 교육 필요
COCOMO	Boehm이 제안, 프로그램 규모에 따른 가중치 적용	산업계 표준 모델로 널리 활용 (Organic, Semi, Embedded)	과거 데이터 기반으로 신규 기술 적용 시 오차 발생
Putnam (SLIM)	노력(Effort)과 기간의 관계를 Rayleigh-Norden 곡선으로 분석	시간에 따른 인력 투입 최적화 가능	소규모 프로젝트 적용 시 정확도 저하

4. 정확한 규모 산정을 위한 기술사적 제언

• FP(기능점수) 중심의 고도화: 현재 공공사업 표준인 FP 방식을 준수하되, 초기 단계에서는 **간이법(Average Complexity)**을 사용하고 상세 설계 후 정점법으로 보정하는 단계적 접근 필요.

• 데이터 기반의 사후 검증: 산정된 수치와 실제 투입된 자원을 비교 분석하여 조직 내부의 **역량 성숙도(CMMI)**에 맞는 보정 계수를 지속적으로 업데이트해야 함.

• 결언: 소프트웨어 규모 산정은 단순한 '수치 계산'이 아닌 **'리스크 관리'**의 일환임. 기술사는 불확실성이 높은 Agile 환경 등에서도 유연하게 적용 가능한 스토리 포인트(Story Point) 등의 현대적 기법도 병행 검토해야 함.