[論文レビュー] Convergence of Corporate and Information Security

Syed M Rahman, Shannon E. Donahue+1 more|arXiv (Cornell University)|Feb 9, 2010

Information and Cyber Security参考文献 2被引用数 37

ひとこと要約

本論文は、企業のセキュリティ機能と情報セキュリティ機能を統合することで、全体的なセキュリティ効果を高める戦略的フレームワークを提唱する。伝統的な分離型のアプローチを分析し、統合的リスクマネジメントを提唱することで、物理的およびデジタルセキュリティを統一されたガバナンスモデルの下で統合することにより、ビジネス価値と運用効率が最適化されることを示している。

ABSTRACT

As physical and information security boundaries have become increasingly blurry many organizations are experiencing challenges with how to effectively and efficiently manage security within the corporate. There is no current standard or best practice offered by the security community regarding convergence; however many organizations such as the Alliance for Enterprise Security Risk Management (AESRM) offer some excellent suggestions for integrating a converged security program. This paper reports on how organizations have traditionally managed asset protection, why that is changing and how to establish convergence to optimize security value to the business within an enterprise.

研究の動機と目的

• 物理的セキュリティと情報セキュリティの境界が曖昧化する中で、管理の分断化が深刻化する課題に対処すること。
• 現代の企業における資産保護のための伝統的な分離型アプローチの限界を特定すること。
• 企業セキュリティ機能と情報セキュリティ機能を統合する統一されたセキュリティガバナンスモデルを提言すること。
• 統合が企業全体におけるセキュリティ価値と運用効率をどのように向上させるかを示すこと。
• 業界のベストプラクティスおよびフレームワークに基づいた、実行可能な統合セキュリティプログラムの実装ガイドラインを提供すること。

提案手法

• 企業セキュリティ機能と情報セキュリティ機能の進化を分析し、それらの相互依存性の増大を検証すること。
• アライアンス・フォー・エントプライズ・セキュリティリスクマネジメント（AESRM）などの組織が提言する既存のフレームワークや勧告をレビューすること。
• 物理的セキュリティと情報セキュリティを単一のリスクガバナンス構造の下で統合する統合セキュリティモデルを提言すること。
• リーダーシップの統一、ポリシー統合、クロスファンクショナルな連携が統合を可能にする役割を強調すること。
• 事例に基づく知見と業界基準を活用して、企業における導入パスを概説すること。
• 定量的モデルではなく、定性的でフレームワークに基づくアプローチを用いて、統合の実現可能性と利点を評価すること。

実験結果

リサーチクエスチョン

• RQ1 伝統的な企業セキュリティおよび情報セキュリティのアプローチは、なぜ現代の統合的脅威に対応できていないのか？
• RQ2 企業における物理的セキュリティと情報セキュリティ機能の統合を促進する主な要因と障壁は何か？
• RQ3 統一されたセキュリティガバナンスモデルは、リスクマネジメントとビジネス価値をどのように改善できるか？
• RQ4 業界基準およびフレームワークは、効果的な統合を実現するためにどのような役割を果たすか？
• RQ5 企業が統合セキュリティプログラムを実装するために取るべき実践的ステップは何か？

主な発見

• 物理的およびデジタル脅威の重なりが増加する中で、企業セキュリティと情報セキュリティの統合は不可欠である。
• 伝統的な分離型セキュリティモデルは、非効率、重複作業、リスクカバレッジの空白を引き起こす。
• 統合セキュリティモデルを採用した組織は、インcidnet対応の向上と一貫性のあるポリシーの実行が報告されている。
• アライアンス・フォー・エントプライズ・セキュリティリスクマネジメント（AESRM）は、統合プログラムの実装に向けた貴重で実行可能なガイダンスを提供している。
• リーダーシップの統一とクロスファンクショナルな連携は、成功した統合を実現するための重要なエンablerである。
• 統一されたガバナンスモデルは、戦略的目標と整合させることで、セキュリティの全体的なビジネス価値を高めている。