[論文レビュー] An Ontological Approach to Compliance Verification of the NIS 2 Directive

Gianpietro Castiglione, Daniele Francesco Santamaria+1 more|arXiv (Cornell University)|Jun 30, 2023

Information and Cyber Security被引用数 4

ひとこと要約

本論文は、NIS 2指令のセキュリティ対策を機械処理可能な知識ベースに形式化することで、NIS 2指令への準拠検証の自動化を目的としたオントロジー的手法を提案する。意味的モデリングと記述論理推論を用いて、著者らはオントロジーが、第7条および第10条からのエンティティおよび関係を正確に表現できることを示し、自動推論およびSPARQLベースのクエリを可能にすることで、準拠の検証および不足要件の特定が可能であることを明らかにした。

ABSTRACT

Cybersecurity, which notoriously concerns both human and technological aspects, is becoming more and more regulated by a number of textual documents spanning several pages, such as the European GDPR Regulation and the NIS Directive. This paper introduces an approach that leverages techniques of semantic representation and reasoning, hence an ontological approach, towards the compliance check with the security measures that textual documents prescribe. We choose the ontology instrument to achieve two fundamental objectives: domain modelling and resource interrogation. The formalisation of entities and relations from the directive, and the consequent improved structuring with respect to sheer prose is dramatically helpful for any organisation through the hard task of compliance verification. The semantic approach is demonstrated with two articles of the new European NIS 2 directive.

研究の動機と目的

• NIS 2指令のような複雑で曖昧で言語的に濃密なセキュリティ指令の解釈という課題に対処すること。
• 自然言語指令からエンティティおよび関係を機械的に解釈し、構造化された準拠分析を支援すること。
• 論理的推論を用いて、特定のセキュリティ対策への準拠を形式的・数学的根拠に基づき検証する方法を開発すること。
• 再利用可能でオープンソースのオントロジーを構築し、NIS 2指令の重要な側面をモデル化して自動準拠チェックを可能とすること。
• オントロジーを用いることで監査の複雑さを軽減し、準拠検証の一貫性を向上させるという実現可能性を示すこと。

提案手法

• Gangemiらに基づくオントロジー設計原則を用いて、NIS 2指令の第7条および第10条からのエンティティおよび関係を形式化する。
• OWL 2 DLを用いて、セキュリティ対策をクラスおよび制約としてモデル化し、データ型制限（例：提出期限は最大3か月）を含む。
• 標準のオントロジー言語（OWL）および記述論理推論エンジンを用いて、プロトタイプ知識ベースを実装し、推論を実行する。
• 差分チェックおよび特定の当事者に対する不足要件の特定を目的として、SPARQLクエリを用いる。
• 将来の拡張性を考慮し、OASISおよびENISAのインcidント管理オントロジーなどの既存の基準と統合する。
• 論理的導出を適用して、特定の個人（例：加盟国）が指令で定義された準拠条件を満たしているかどうかを検証する。

実験結果

リサーチクエスチョン

• RQ1 大規模な文書として提示されたセキュリティ指令から、関連するエンティティおよび関係を機械的に解釈することは可能か？
• RQ2 セキュリティ指令から解釈された関係が、特定の当事者に対して成立することを数学的に証明することは可能か？
• RQ3 オントロジー的モデリングは、複雑な規制文書への準拠検証の正確性と効率性をどのように向上させるか？
• RQ4 自動推論およびクエリ処理は、実世界のシナリオにおいて非準拠および不足要件をどの程度検出できるか？
• RQ5 NIS 2指令の準拠要件は、意味的技術を用いて形式的に表現・検証可能か？

主な発見

• NIS オントロジーは、形式的オントロジー技術を用いて、NIS 2指令の第7条および第10条からのコアなエンティティおよび関係を成功裏にモデル化した。
• 推論エンジンは、すべてのセキュリティ対策を満たす個人が MemberState のインスタンスであることを正しく推論した。これは、準拠モデルの妥当性を裏付けた。
• システムは、第10条から2つのルールを欠落させた個人が、第7条にのみ準拠していることを検出しており、部分的準拠の検出を確認した。
• SPARQLクエリは、部分的準拠の個人に対して、2つの欠落した対策（CSIRTの指定およびCSIRTへの報告の確保）を正確に特定した。
• プロトタイプは、自動準拠検証が実現可能であり、人的監査作業の負担と一貫性の欠如を顕著に軽減できることを示した。
• NIS オントロジーのオープンソース公開により、より広範な規制準拠アプリケーションへの再利用および拡張が可能となった。