[論文レビュー] Integrated Solution Modeling Software: A New Paradigm on Information Security Review and Assessment

Heru Susanto, Mohammad Nabil Almunawar+3 more|arXiv (Cornell University)|Mar 28, 2012

Information and Cyber Security参考文献 2被引用数 17

ひとこと要約

本論文では、構造的・統合的なソリューションモデリングを通じて、ISO27001適合性評価を簡素化する新しいソフトウェアフレームワーク、I-SolFrameworkを紹介する。セキュリティコントロールを適合性パrameterに自動マッピングすることにより、情報セキュリティマネジメントシステム（ISMS）のレビューにおける複雑さを軽減し、明確性を向上させ、ステークホルダーが標準化された、事例研究を裏付けたガイドラインに裏打ちされた、ISO27001適合性の測定および向上のための実用的ツールを提供する。

ABSTRACT

Actually Information security becomes a very important part for the organization's intangible assets, so level of confidence and stakeholder trusted are performance indicator as successes organization. Since information security has a very important role in supporting the activities of the organization, we need a standard or benchmark which regulates governance over information security. The main objective of this paper is to implement a novel practical approach framework to the development of information security management system (ISMS) assessment and monitoring software, called by I-SolFramework. System / software is expected to assist stakeholders in assessing the level of their ISO27001 compliance readiness, the software could help stakeholders understood security control or called by compliance parameters, being shorter and more structured. The case study illustrated provided to the reader with a set of guidelines, that aims easy understood and applicable as measuring tools for ISMS standards (ISO27001) compliance.

研究の動機と目的

• 組織におけるISO27001適合性評価の複雑さの増大に対処すること。
• 適合性パrameterを再利用可能なフレームワークに構造化することで、ISMS評価に要する時間と労力を削減すること。
• ステークホルダーが情報セキュリティガバナンスの測定および向上のための直感的で実用的なツールを提供すること。
• 事例研究による検証を通じて、理論的なISMS基準と実際の実装とのギャップを埋めること。
• 透明性があり標準化された方法により、セキュリティ準備状態の評価を提供することで、ステークホルダーの信頼を高めること。

提案手法

• I-SolFrameworkは、ISO27001のコントロール目的を特定の適合性パrameterにマッピングするソフトウェアソリューションとして開発された。
• 情報セキュリティコントロールを構造的で機械可読な形式に表現する統合モデリングアプローチを採用している。
• フレームワークは、組織の分野にわたるコントロール実装の体系的評価を可能にする、自動化された評価を支援する。
• フレームワークの使いやすさを検証するための事例研究が実施され、適合性測定のためのステップバイステップガイドラインが提供された。
• 他のISO27001以外のISMS基準にも対応できるように、拡張可能に設計されている。
• スケーラビリティと既存の組織のセキュリティマネジメントシステムへの統合を支援するモジュラー・アーキテクチャを採用している。

実験結果

リサーチクエスチョン

• RQ1 ISO27001適合性評価の複雑さを、実際の組織利用においてどのように軽減できるか？
• RQ2 一貫性があり繰り返し可能なISMSコントロール評価を可能にする構造的フレームワークは何か？
• RQ3 ソフトウェアツールは、情報セキュリティマネジメントにおける適合性パrameterの理解をどのように向上させられるか？
• RQ4 事例研究に基づくアプローチは、ISMS評価ツールの使いやすさと適用性をどの程度向上させられるか？
• RQ5 統合モデリングは、情報セキュリティのレビューおよび監視プロセスを簡素化する上で、どのような役割を果たすか？

主な発見

• I-SolFrameworkは、コントロールを構造的で評価可能なパrameterに整理することで、ISO27001適合性評価の複雑さを効果的に軽減した。
• 事例研究により、フレームワークが実世界の状況でISMS適合性を評価する明確で実行可能なガイドラインを提供することが実証された。
• ステークホルダーは、従来の手作業によるレビュー手法と比較して、コントロール実装のギャップをより効率的に特定できるようになった。
• 適合性測定の標準化により、フレームワークはセキュリティ評価の透明性と一貫性を高めた。
• 繰り返し可能で文書化され、スケーラブルな評価プロセスを通じて、ソフトウェアはステークホルダーの信頼を向上させた。
• モデリングとソフトウェア自動化の統合により、一時的な評価手法と比較して、より高速かつ正確なISMS監視が可能になった。