[論文レビュー] A Novel Method on ISO 27001 Reviews: ISMS Compliance Readiness Level Measurement

Heru Susanto, Mohammad Nabil Almunawar+1 more|arXiv (Cornell University)|Mar 28, 2012

Information and Cyber Security参考文献 6被引用数 12

ひとこと要約

本論文は、構造的で測定可能なISMSコンプライアンスリーダーシップレベル（CRL）モデルを通じて、ISO 27001コンプライアンス適合性の準備状況を評価するための新規フレームワーク、I-SolFrameworkを提案する。パラメトリック評価システムを用いることで、制御の実装状況を定量的に評価し、組織のステークホルダーにとってより正確で予測ベースのISMS成熟度の監視を可能にし、精度と効率を向上させる。

ABSTRACT

Security is a hot issue to be discussed, ranging from business activities, correspondence, banking and financial activities; it requires prudence and high precision. Since information security has a very important role in supporting activities of the organization, we need a standard or benchmark which regulates governance over information security. The main objective of this paper is to implement a novel practical approach framework to the development of information security management system (ISMS) assessment and monitoring software, called by I-SolFramework. System / software is expected to assist stakeholders in assessing the level of their ISO27001 compliance readiness, the software could help stakeholders understood security control or called by compliance parameters, being shorter, more structured, high precision and measured forecasting.

研究の動機と目的

• 実際の組織的環境において、ISO 27001コンプライアンス適合性の準備状況を評価するための標準的で実用的なツールの不足に対処すること。
• コンプライアンスパラメータに沿った、情報セキュリティ管理システム（ISMS）の成熟度を測定する体系的な方法を開発すること。
• ステークホルダーが、より高い精度と短い評価サイクルでコンプライアンス状況を予測できるようにすること。
• 構造的でパラメータ化された評価フレームワークを用いて、ISMSの継続的監視と改善を支援すること。
• 理論的なISO 27001基準と実際の実装の間のギャップを埋めるために、測定可能でソフトウェアベースの評価ツールを提供すること。

提案手法

• 制御実装の成熟度を定量化するための新規ISMSコンプライアンスリーダーシップレベル（CRL）測定モデルを提案する。
• ISO 27001の制御に基づいてコンプライアンスパラメータを定義し、各制御の実装状況を体系的に評価可能にする。
• 各コンプライアンスパラメータにスコアリング機構を適用し、結果を統合して複合的な準備状況スコアを算出する。
• 自動化された評価とリアルタイム監視を可能にするために、I-SolFrameworkと呼ばれるソフトウェアフレームワークにモデルを統合する。
• 主観性を低減し、コンプライアンス評価の一貫性を向上させるために、パラメトリックで高精度なアプローチを採用する。
• 時間経過に伴うパラメータごとの進捗を追跡することで、コンプライアンス状況の予測を可能にする。

実験結果

リサーチクエスチョン

• RQ1 実際の組織的環境において、ISO 27001コンプライアンス適合性の準備状況を、より高い精度と構造的に行うにはどうすればよいか？
• RQ2 複数の制御パラメータにわたるISMSコンプライアンス状況を継続的・リアルタイムで監視できるフレームワークは何か？
• RQ3 ソフトウェアベースのシステムは、手動手法と比較して、ISMS評価の効率性と正確性をどのように向上させるか？
• RQ4 パラメトリックモデルは、公式監査の前に対し、どの程度までコンプライアンス適合性の準備状況を予測できるか？
• RQ5 異なる制御ドメインにおけるISMS実装の成熟度を効果的に表す測定可能な指標は何か？

主な発見

• I-SolFrameworkは、ステークホルダーがISMSコンプライアンス適合性の準備状況を、より正確にかつ主観性を低減して評価できるようにする。
• CRLモデルは、各制御の実装状況を体系的かつ体系的に評価するための構造的でパラメータ化された方法を提供する。
• ソフトウェアベースのアプローチにより、評価サイクルが短縮され、コンプライアンス進捗のリアルタイム監視が可能になる。
• フレームワークは、コンプライアンスパラメータにわたる段階的な改善を追跡することで、コンプライアンス適合性の準備状況の予測を可能にする。
• 標準化された測定可能なパラメータを通じて、コンプライアンス要件の明確化と理解が向上する。
• 一貫性があり、監査可能なメトリクスを提供するため、システムは内部監査および外部コンプライアンス報告の両方を支援する。