[論文レビュー] On the Cost of Security Compliance in Information Systems

David Hofbauer, Igor Ivkić+3 more|arXiv (Cornell University)|May 15, 2019

Digital Transformation in Industry参考文献 11被引用数 7

ひとこと要約

本稿では、インダストリー4.0のサイバーフィジカル生産システムにおけるセキュリティコントロールの実装コストを評価・推定するための、シックスシグマにインspiredされたフレームワークを提案する。セキュリティ要件を確立された基準にマッピングし、それらをコスト推定手法と結びつけることで、セキュリティ基準への体系的対応が可能になるとともに、産業用途における実装コストの定量的評価が可能となる。

ABSTRACT

The onward development of information and communication technology has led to a new industrial revolution called Industry 4.0. This revolution involves Cyber-Physical Production Systems (CPPS), which consist of intelligent Cyber-Physical Systems that may be able to adapt themselves autonomously in a production environment. At the moment, machines in industrial environments are often not connected to the internet, which thus needs a point-to-point connection to access the device if necessary. Through Industry 4.0, these devices should enable remote access for smart maintenance through a connection to the outside world. However, this connection opens the gate for possible cyber-attacks and thus raises the question about providing security for these environments. Therefore, this paper used an adapted approach based on SixSigma to solve this security problem by investigating security standards. Security requirements were gathered and mapped to controls from well known security standards, formed into a catalog. This catalog includes assessment information to check how secure a solution for a use case is and also includes a link to an estimation method for implementation cost. Thus this papers outcome shows how to make Industry 4.0 use cases secure by fulfilling security standard controls and how to estimate the resulting implementation costs.

研究の動機と目的

• 産業システムの接続性が高まるに伴い増大するインダストリー4.0環境におけるセキュリティリスクに対応する。
• リモートアクセスおよびスマートメンテナンスを含む産業用途におけるセキュリティ要件を特定・形式化する。
• これらの要件を確立されたセキュリティ基準にマッピングし、コンプライアンスを確保する。
• 実用的実装を可能にするために、評価基準およびコスト推定とのリンクを備えたセキュリティコントロールのカタログを開発する。
• 産業現場におけるセキュリティコンプライアンスと経済的妥当性の両立を図る構造的アプローチを提供する。

提案手法

• セキュリティ要件の定義・測定・分析・改善・制御に焦点を当てた、セキュリティコンプライアンスプロセスを構造化するためのシックスシグマ手法を適応する。
• リモートメンテナンスおよび接続性を含む実世界の産業用途からセキュリティ要件を収集・分析する。
• ISO/IEC 27001 や NIST SP 800-53 などの広く認識されたセキュリティ基準のコントロール目的に、特定されたセキュリティ要件をマッピングする。
• 各コントロールの成熟度および有効性を評価するための明確な評価基準を備えたセキュリティコントロールカタログを構築する。
• 各コントロールにコスト推定技術を統合し、実装の作業量および財務的影響を定量的に測定可能にする。
• セキュリティコントロールをコンプライアンスの検証およびコストモデリングに結びつける、構造的かつ繰り返し可能なプロセスを用いる。

実験結果

リサーチクエスチョン

• RQ1 インダストリー4.0用途におけるセキュリティ要件は、どのように体系的に特定され、認知されたセキュリティ基準にマッピングされるか？
• RQ2 コンプライアンス評価とコスト推定の両方を支援するセキュリティコントロールカタログを構造化する最良の方法は何か？
• RQ3 産業システム向けに、スケーラブルかつ繰り返し可能な方法でセキュリティコントロールの実装コストを推定するにはどうすればよいか？
• RQ4 シックスシグマに基づくアプローチは、産業環境におけるセキュリティコンプライアンスの効率性と透明性をどの程度向上できるか？
• RQ5 実際の産業応用において、セキュリティコントロールの実装とそれによるコストの関係はいかなるものか？

主な発見

• 提案されたフレームワークは、ISO/IEC 27001 や NIST SP 800-53 からの標準化されたコントロールに産業セキュリティ要件を効果的にマッピングできた。
• セキュリティコントロールカタログにより、定義された評価基準を用いてコントロールの有効性を一貫して評価できるようになった。
• カタログに含まれる各コントロールは、コスト推定手法とリンクされており、設計段階や計画段階での財務的影響を評価可能となった。
• シックスシグマの原則をセキュリティコンプライアンスプロセスに統合することで、プロセスの明確さ、再現性、コストの透明性が向上した。
• 本アプローチは、インダストリー4.0環境におけるセキュリティコンプライアンスと経済的制約の両立を実現する実用的でスケーラブルな方法を提供する。
• フレームワークにより、各コントロールについてセキュリティ成熟度と実装コストの両方を定量的に評価できるようになり、意思決定を支援する。