[論文レビュー] Security Incident Recognition and Reporting (SIRR): An Industrial Perspective

George Grispos, William Bradley Glisson+3 more|arXiv (Cornell University)|Jun 21, 2017

Network Security and Intrusion Detection被引用数 10

ひとこと要約

本論文は、グローバル・フォーチュン500企業に属する金融機関において、社内電子アンケートを通じて従業員のセキュリティインシデント認識および報告の状況を調査している。インシデント認識および報告における顕著な格差が特定され、従業員の認識およびインシデント対応の向上を通じて組織のセキュリティ体制を強化するための基盤的知見と実用的なフレームワークを提示している。

ABSTRACT

Reports and press releases highlight that security incidents continue to plague organizations. While researchers and practitioners' alike endeavor to identify and implement realistic security solutions to prevent incidents from occurring, the ability to initially identify a security incident is paramount when researching a security incident lifecycle. Hence, this research investigates the ability of employees in a Global Fortune 500 financial organization, through internal electronic surveys, to recognize and report security incidents to pursue a more holistic security posture. The research contribution is an initial insight into security incident perceptions by employees in the financial sector as well as serving as an initial guide for future security incident recognition and reporting initiatives.

研究の動機と目的

• 大規模な金融機関の従業員がセキュリティインシデントを認識し、報告できるかを評価すること。
• セキュリティインシデントの定義について、従業員の認識や理解にどのような格差があるかを特定すること。
• 現在の社内報告メカニズムおよび従業員のインシデント報告への関与の有効性を評価すること。
• 産業現場におけるセキュリティインシデント認識および報告プロセスの改善に向けた実行可能な知見を提供すること。
• 人的要因に焦点を当てたセキュリティインシデント管理に関する今後の研究および取り組みの基盤を確立すること。

提案手法

• グローバル・フォーチュン500金融機関のさまざまな役割に属する従業員を対象に、社内電子アンケートを実施した。
• 現実的で妥当なセキュリティインシデントのシナリオを想定した質問を設計し、認識および報告行動をテストした。
• 従業員の回答データを収集し、認識度、報告意思、および認識された責任の有無を評価した。
• アンケート結果を分析して、インシデント認識、報告行動、報告の障壁に関するパターンを特定した。
• 定性的および定量的分析を用いて、実際の検出・報告と、それらの認識との乖離を評価した。
• 従業員の知見および組織的文脈に基づき、インシデント認識および報告のための予備的フレームワークを構築した。

実験結果

リサーチクエスチョン

• RQ1 金融機関の従業員は、現実的で妥当なシナリオが提示された場合に、どれほど正確にセキュリティインシデントを識別できるか。
• RQ2 潜在的なセキュリティインシデントの報告をしないか、するかを左右する要因は何か。
• RQ3 従業員のセキュリティインシデントに対する認識は、組織の定義や基準と比べてどう異なるか。
• RQ4 大規模な金融機関において、タイムリーかつ正確なインシデント報告を妨げる主な障壁は何か。
• RQ5 従業員の参加を促進し、インシデント検出の正確性を高めるために、社内報告システムをどのように改善できるか。

主な発見

• 実際のシナリオが提示された際、多くの従業員が一般的なセキュリティインシデントを認識できなかった。
• 多くの従業員が、その出来事がある種のセキュリティインシデントに該当するかどうかの不確実性から、インシデントを報告しなかった。
• 従業員は、潜在的なセキュリティイベントの深刻さや影響を過小評価する傾向があり、結果として報告が遅れたり、見逃されたりした。
• 報告手順や上申プロトコルについて、従業員の間で明確な理解が欠けていた。
• より高いセキュリティ訓練を受けた従業員は、より良好な認識および報告行動を示したため、訓練と認識の間には正の相関関係があると示唆された。
• 本研究では、組織のインシデント定義と従業員の認識との間には深刻な格差があることが判明し、改善されたコミュニケーションおよび訓練の必要性が浮き彫りになった。