[論文レビュー] Human Behaviour as an aspect of Cyber Security Assurance

Mark Evans, Λέανδρος Μαγλαράς+2 more|arXiv (Cornell University)|Jan 15, 2016

Information and Cyber Security参考文献 11被引用数 4

ひとこと要約

本論文は、人間の信頼性評価と統計的品質管理をセキュリティプロセスに統合することで、人間中心のサイバー・セキュリティアサuranceフレームワークを提案する。人間の行動がセキュリティポジションに顕著に影響することを主張し、とりわけ人為的脆弱性を構造的な評価手法で軽減するにあたり、再現可能で定量的なメトリクスの導入を提唱する。

ABSTRACT

There continue to be numerous breaches publicised pertaining to cyber security despite security practices being applied within industry for many years. This article is intended to be the first in a number of articles as research into cyber security assurance processes. This article is compiled based on current research related to cyber security assurance and the impact of the human element on it. The objective of this work is to identify elements of cyber security that would benefit from further research and development based on the literature review findings. The results outlined in this article present a need for the cyber security field to look in to established industry areas to benefit from effective practices such as human reliability assessment, along with improved methods of validation such as statistical quality control in order to obtain true assurance. The article proposes the development of a framework that will be based upon defined and repeatable quantification, specifically relating to the range of human aspect tasks that provide, or are intended not to negatively affect cyber security posture.

研究の動機と目的

• 人間行動に関連する現在のサイバー・セキュリティアサurance実務におけるギャップを特定すること。
• 確立されたセキュリティ対策が講じられているにもかかわらず、継続的に発生するセキュリティ侵害問題に取り組むこと。
• 人間の信頼性評価と統計的品質管理をサイバー・セキュリティアサuranceフレームワークに統合することを提唱すること。
• 人間要因に関する再現可能で定量的な評価手法を構築すること。

提案手法

• サイバー・セキュリティアサuranceと人間要因に関する文献レビューの実施。
• 原子力や航空業界などの産業分野で確立された人間の信頼性評価手法の活用。
• セキュリティに影響を与える人間のタスクを明確に定義し、再現可能で定量的な評価を実施するフレームワークの提案。
• 統計的品質管理技術を活用してセキュリティプロセスの妥当性を検証すること。
• 人間の行動がサイバー・セキュリティポジションに好転または悪転の影響を及ぼすタスクに焦点を当てる。
• 実証的知見を基に、測定可能なアサuranceモデルの設計を支援すること。

実験結果

リサーチクエスチョン

• RQ1 人間の行動は、サイバー・セキュリティアサuranceプロセスの効果にどのように影響するか？
• RQ2 人間関連のセキュリティアサuranceを改善するために、既存の産業実務からどの程度の手法を適合可能か？
• RQ3 サイバー・セキュリティフレームワーク内での人間の信頼性をどのように定量化・検証できるか？
• RQ4 人間要因に関する評価を再現可能で測定可能にするためにどのような手法が有効か？
• RQ5 統計的品質管理は、サイバー・セキュリティアサuranceの向上にどのような役割を果たすか？

主な発見

• 確立されたセキュリティ対策があるにもかかわらず、人間の行動はサイバー・セキュリティ侵害において重要な要因であり、しばしば無視されている。
• 現在のアサurance手法は人間要因の体系的評価を欠いており、その結果、一貫性の欠如した結果が生じている。
• 高リスク分野で実証済みの人間の信頼性評価手法は、サイバー・セキュリティアサuranceの向上に適合可能である。
• 統計的品質管理は、セキュリティプロセスの妥当性を検証し、一貫性を確保するための実用的手段を提供する。
• 人間がセキュリティポジションに貢献する要因を再現可能で定量的なメトリクスで評価する明確なニーズが存在する。
• 人間中心の評価をアサuranceフレームワークに統合することで、全体的なセキュリティ効果が顕著に向上する。