[論文レビュー] A Goal Question Metric Approach for Evaluating Security in a Service Oriented Architecture Context

Meryem Kassou, Laïla Kjiri|arXiv (Cornell University)|Apr 2, 2013

Service-Oriented Architecture and Web Services参考文献 20被引用数 6

ひとこと要約

本論文は、サービス指向アーキテクチャ（SOA）におけるセキュリティを評価するためのカスタマイズされたゴール・クエスチョン・メトリクス（GQM）フレームワークを提案する。標準的なセキュリティメトリクスとSOA成熟度レベルを統合することで、セキュリティ目標を測定可能な質問とメトリクスに一致させることで、組織がSOAのセキュリティを客観的に評価・向上させることができ、サービス連携における信頼性と安全性を向上させるための構造的で明確な手法を提供する。

ABSTRACT

For interactions to be possible within the Service Oriented Architecture (SOA) ecosystem, each actor must be enough confident of other actors to engage safely in the interactions. Therefore, the establishing of objective metrics tailored to the context of SOA that show security of a system and lead to enhancements is very attractive. The purpose of our paper is to present a GQM (Goal Question Metric) approach based on Standard security metrics and on SOA maturity that can be a support for organizations to assess SOA Security and to ensure the safety of their SOA based collaborations

研究の動機と目的

• サービス指向アーキテクチャ（SOA）における客観的で文脈に特化したセキュリティ評価手法の不足に対処すること。
• 組織が、定量的指標を用いてSOAベースのシステムのセキュリティ体制を測定・向上できることを可能にすること。
• 抽象的なセキュリティ目標と測定可能で実行可能なメトリクスの間のギャップを埋めること。
• SOA成熟度レベルをセキュリティメトリクスと統合することで、SOA導入の異なる段階における進化するセキュリティ要件を反映すること。

提案手法

• SOAにおけるセキュリティ評価を構造化するため、GQM（ゴール・クエスチョン・メトリクス）パラダイムを採用すること。
• 高レベルのセキュリティ目標（例：機密性、完全性）を具体的で測定可能な質問にマッピングすること。
• 既存のセキュリティ基準およびSOA成熟度モデルから導出された明確なメトリクスを定義すること。
• SOA成熟度レベル（例：初期段階、管理段階、定義済み段階）とメトリクスを一致させ、文脈に特化したセキュリティ要件を反映すること。
• 組織のセキュリティ目標からシステムレベルのメトリクスへとつながる階層的フレームワークを構築すること。
• 代表的なSOAユースケースへの適用を通じたフレームワークの妥当性を検証し、ゴールからメトリクスへのトレーサビリティを保証すること。

実験結果

リサーチクエスチョン

• RQ1 SOAにおけるセキュリティ目標を、どのように体系的に測定可能な質問とメトリクスに変換できるか？
• RQ2 標準的なセキュリティ実践から導出されるどのようなメトリクスが、SOAの文脈で効果的に適用可能か？
• RQ3 SOA成熟度レベルは、セキュリティメトリクスの選定と解釈にどのように影響するか？
• RQ4 提案されたGQMモデルは、SOAセキュリティの客観的評価と改善をどの程度支援できるか？
• RQ5 このフレームワークを用いて、サービス間の相互作用における信頼性と安全性をどのように定量的に評価できるか？

主な発見

• 提案されたGQMフレームワークは、SOAにおける抽象的なセキュリティ目標を、測定可能で実行可能なメトリクスに成功してマッピングした。
• SOA成熟度レベルによってセキュリティメトリクスが効果的に文脈化され、段階的なセキュリティ評価と改善が可能になった。
• 標準的なセキュリティメトリクスとSOA成熟度の統合により、スケーラブルでトレーサブルなセキュリティ評価アプローチが実現した。
• フレームワークは、成熟度とリスクに基づいてセキュリティのギャップを特定し、改善の優先順位を設定するのを組織が支援する。
• この方法により、SOAベースのサービス連携において一貫性があり、繰り返し可能で監査可能なセキュリティ評価が可能になった。
• このアプローチにより、定量的指標による客観的な証拠が提供されることで、サービス参加者間の信頼が向上した。