[論文レビュー] Defending against cybersecurity threats to the payments and banking system

Williams Haruna, Toyin Ajiboro Aremu+1 more|arXiv (Cornell University)|Dec 15, 2022

Information and Cyber Security被引用数 9

ひとこと要約

本論文は、進化するサイバー脅威に対して支払いおよびバンキングシステムを保護する包括的なディフェンスインデプスフレームワークを提案する。サイバー脅威の分類、サイバースペースにおける重要な資産の特定、および特定の脅威タイプと機能性にセキュリティ制御をマッピングすることにより、IT専門家は金融機関における財務的・データ漏洩リスクを低減するための的確で階層的なセキュリティ措置を実装できる。

ABSTRACT

Cyber security threats to the payment and banking system have become a worldwide menace. The phenomenon has forced financial institutions to take risks as part of their business model. Hence, deliberate investment in sophisticated technologies and security measures has become imperative to safeguard against heavy financial losses and information breaches that may occur due to cyber-attacks. The proliferation of cyber crimes is a huge concern for various stakeholders in the banking sector. Usually, cyber-attacks are carried out via software systems running on a computing system in cyberspace. As such, to prevent risks of cyber-attacks on software systems, entities operating within cyberspace must be identified and the threats to the application security isolated after analyzing the vulnerabilities and developing defense mechanisms. This paper will examine various approaches that identify assets in cyberspace, classify the cyber threats, provide security defenses and map security measures to control types and functionalities. Thus, adopting the right application to the security threats and defenses will aid IT professionals and users alike in making decisions for developing a strong defense-in-depth mechanism.

研究の動機と目的

• 金融機関の決済およびバンキングシステムを標的とするサイバー攻撃の増加する脅威に対処すること。
• サイバースペース内で悪用されるおそれがある、重要なデジタル資産および脆弱性を同定すること。
• サイバー脳の性質と金融システムに与える潜在的影響に基づいて脅威を分類すること。
• 特定の脅威タイプおよびシステム機能性に適切なセキュリティ制御および防御メカニズムをマッピングすること。
• IT専門家および関係者が金融システム向けに強固で階層的なセキュリティアーキテクチャを設計するのを支援すること。

提案手法

• 研究は、金融機関のサイバーエンvironments内の資産を特定および分類する体系的なアプローチを採用する。
• マルウェア、フィッシング、システムの悪用などの攻撃ベクトルに基づいて、サイバー脅威を分類する。
• ソフトウェアシステムの既存の脆弱性を分析し、リスク露出度を特定する。
• 機能分類システムを用いて脅威タイプにセキュリティ制御をマッピングし、システム要件と整合性を保つ。
• 技術的・管理的・物理的制御の複数層の保護を統合することで、ディフェンスインデプスの原則を強調する。
• 特定の脅威と対応するセキュリティメカニズムおよび制御タイプを結びつけることで意思決定を支援する。

実験結果

リサーチクエスチョン

• RQ1 バンクおよび決済のサイバー環境における重要な資産を体系的に特定および優先順位付けする方法は何か？
• RQ2 金融機関のソフトウェアシステムを標的とする主なタイプのサイバー脅威は何か？
• RQ3 セキュリティ制御を特定の脅威タイプおよびシステム機能に効果的にマッピングする方法は何か？
• RQ4 金融システムを保護するための階層的でディフェンスインデプスのアプローチを確保するメカニズムは何か？
• RQ5 IT専門家は脅威プロファイルに基づいて、最も適切なセキュリティソリューションをどのように選択できるか？

主な発見

• フレームワークは、攻撃ベクトルおよびシステムインパクトに基づいて、バンクセクターにおけるサイバー脅威を明確なカテゴリに分類できた。
• 研究は、ソフトウェアシステムの脆弱性が金融機関におけるサイバー攻撃の主な侵入経路であると特定した。
• 脅威タイプにセキュリティ制御をマッピングすることで、防御策の正確かつ効果的な展開が可能になった。
• 技術的・管理的・物理的制御を組み合わせることで、ディフェンスインデプス戦略はレジリエンスを顕著に向上させた。
• 脅威プロファイルに基づいて適切なセキュリティソリューションを選択するための意思決定支援メカニズムを提供した。
• 特定の制御タイプおよびシステム機能にセキュリティ措置を一致させることで、リスク低減が向上した。