[論文レビュー] Information Security Management of Web Portals Based on Joomla CMS

Samir Lemeš|arXiv (Cornell University)|Apr 14, 2014

Advanced Malware Detection Techniques参考文献 7被引用数 4

ひとこと要約

この論文は、JoomlaベースのWebポータルにおける情報セキュリティを強化するためのフレームワークを提案する。ISO/IEC 27000シリーズの基準を適用することで、情報セキュリティ管理体系（ISMS）を体系的に構築・実装・維持するアプローチを提示し、標準化された制御措置と継続的モニタリングを通じて、セキュリティ体制の向上を実現する。

ABSTRACT

Information is the key asset of all organizations and can exist in many forms. It can be printed or written on paper, stored electronically, transmitted by mail or by electronic means, shown in films, or spoken in conversation. In today's competitive business environment, such information is constantly under threat from many sources, which can be internal, external, accidental, or malicious. Joomla is a very popular Content Management System (CMS) used for web page maintenance. This highly versatile software has found itself in both large corporate web portals, and simple web pages such as blogs. Such popularity increases its vulnerability to potential attacks and therefore needs an appropriate security management. ISO (the International Organization for Standardization) and IEC (the International Electrotechnical Commission) created the series of standards aimed at providing a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). This paper shows how principles set in ISO/IEC 27000 series of standards can be used to improve security of Joomla based web portals.

研究の動機と目的

• 広く使用されていることと露出状態にあることから、JoomlaベースのWebポータルが直面するセキュリティリスクの増大に対処するため。
• その人気と設定の複雑さに起因するJoomla CMSにおける脆弱性を特定するため。
• Joomla環境に特化した、構造的で標準に基づいた情報セキュリティ管理アプローチを開発するため。
• ISMSの制御措置の監視・レビュー・保守を通じて、継続的なセキュリティ向上を確保するため。

提案手法

• ISMS設計および実装の基盤として、ISO/IEC 27000シリーズを採用する。
• 特にアクセス制御、構成管理、インcidnet対応に焦点を当て、Joomla固有のセキュリティ制御をISO/IEC 27001要件にマッピングする。
• Joomlaポータルにおける情報セキュリティリスクの特定・評価・低減のための体系的プロセスを実装する。
• セキュリティ制御の継続的モニタリング、レビュー、改善のための手順を確立する。
• ポリシー策定、リスク評価、監査メカニズムなどの標準ISMS要素をJoomla環境に統合する。
• 継続的コンプライアンスと適応性を確保するため、計画・実行・点検・改善（PDCA）サイクルを適用する。

実験結果

リサーチクエスチョン

• RQ1 ISO/IEC 27000シリーズ基準を、JoomlaベースのWebポータルに効果的に適用する方法は何か？
• RQ2 ISO/IEC 27001基準から、Joomla CMSの展開に最も関連性の高い具体的なセキュリティ制御は何か？
• RQ3 Joomla環境にISMSをどのように実装し、継続的モニタリングと改善を確保できるか？
• RQ4 標準化されたISMS運用によって緩和可能な、Joomlaポータルの主な脆弱性は何か？
• RQ5 Joomlaのセキュリティを国際基準に適合させることで、全体的なシステムのレジリエンスはどのように向上するか？

主な発見

• ISO/IEC 27000基準の適用により、JoomlaベースのWebポータルを保護する包括的で体系的なアプローチが可能になる。
• 標準化されたリスク評価と制御措置の実装により、一般的なWebベースの脅威への露出が顕著に低減される。
• ISMSフレームワークのおかげで継続的モニタリングと改善が可能となり、長期的なセキュリティ体制が強化される。
• ISO/IEC 27001の制御措置をJoomla固有の設定にマッピングすることで、実務的で実行可能なセキュリティ対策が実現する。
• ISMSの原則をJoomlaポータルに統合することで、コンプライアンス対応、監査対応性、組織のレジリエンスが向上する。
• 提案されたモデルは、Joomlaのような広く使われているオープンソースプラットフォームでさえも、構造的で標準に基づいた管理により高いセキュリティ水準を達成可能であることを示している。