[論文レビュー] Refinement of Strategy and Technology Domains STOPE View on ISO 27001

Heru Susanto, Fahad Bin Muhaya+2 more|arXiv (Cornell University)|Apr 6, 2012

Information and Cyber Security参考文献 9被引用数 10

ひとこと要約

この論文は、STOPEフレームワーク（戦略、技術、組織、人、環境）を用いて、ISO 27001の21のセキュリティコントロールを246の実行可能で理解しやすい要素に洗練し、ISMSの実装を向上させています。このアプローチにより、情報セキュリティポリシーの明確化と組織分野との整合性が向上し、コントロールの評価および展開がより効果的に行えるようになります。

ABSTRACT

It is imperative for organizations to us Information Security Management System (ISMS) to effectively manage their information assets. ISMS starts with a set of policies that dictate the usage computer resources. It starts with the "21 essential security controls" of ISO 27001, which give the basic standard requirements of information security management. Our research is concerned with the assessment of the application of these controls to organizations. STOPE (Strategy, Technology Organization, People and Environment) methodologies were used to integrated domains as a framework for this assessment. The controls are mapped on these domains and subsequently refined into "246 simple and easily comprehended elements".

研究の動機と目的

• 抽象的であるISO 27001のコントロールを、組織固有の実行可能なセキュリティ慣行に翻訳する課題に対処すること。
• ISO 27001の21のコントロールを、より簡単で理解しやすいコンponentsに分解することで、実用性を向上させること。
• STOPE手法を用いて、戦略と技術の分野を統合的かつ一貫性のある評価フレームワークに統合すること。
• 多様な組織的文脈における情報セキュリティ管理システム（ISMS）の効果的な実装と評価を支援すること。

提案手法

• ISO 27001の21の必須セキュリティコントロールを、STOPEフレームワークの5つのドメイン（戦略、技術、組織、人、環境）にマッピングすること。
• ドメイン固有の分析と文脈化を通じて、各コントロールをより小さな、運用上意味のある要素に洗練すること。
• 構造的で反復的なプロセスを用いて、高レベルのコントロールを246の離散的で理解しやすいコンponentsに変換すること。
• STOPE手法を適用して、セキュリティポリシーと組織戦略、技術、運用構造との整合性を確保すること。
• 実際の組織的環境において、明確性、包括性、実用的関連性について、洗練された要素を検証すること。

実験結果

リサーチクエスチョン

• RQ1 ISO 27001の21のセキュリティコントロールを、組織的利用に適したより単純で実行可能なコンponentsに効果的に分解する方法は何か？
• RQ2 STOPEフレームワークは、異なる組織的ドメインにおけるISMSの実装をどのように向上させるか？
• RQ3 高レベルのセキュリティ基準を運用上のセキュリティ慣行に翻訳する際の主な課題は何か？
• RQ4 洗練プロセスは、ステークホルダーにとって情報セキュリティポリシーの明確さと使いやすさをどの程度向上させるか？
• RQ5 246の洗練済み要素は、ISMSコンプライアンスの一貫性ある評価をどの程度支援するか？

主な発見

• 本研究では、ISO 27001の21のコアコントロールを、246の明確で理解しやすいセキュリティ要素に成功して変換した。
• STOPEフレームワークにより、コントロールを組織的ドメインに体系的にマッピングでき、文脈的関連性が向上した。
• 洗練された要素は、戦略、技術、組織的機能の分野において、明確さと実用性が向上した。
• このアプローチにより、多様な組織的環境におけるISMSコンプライアンスのより一貫性があり再現可能な評価が可能になった。
• 洗練されたモデルは、ISMSの展開と監査のためのスケーラブルで適応可能な基盤を提供する。