[논문 리뷰] A Novel Method on ISO 27001 Reviews: ISMS Compliance Readiness Level Measurement

Heru Susanto, Mohammad Nabil Almunawar외 1명|arXiv (Cornell University)|2012. 03. 28.

Information and Cyber Security참고 문헌 6인용 수 12

한 줄 요약

이 논문은 구조적이고 측정 가능한 ISMS 준수 준비도 수준(CRL) 모델을 통해 ISO 27001 준수 준비도를 평가하기 위한 새로운 프레임워크인 I-SolFramework를 제안한다. 이 프레임워크는 제어 구현 상태를 수량화하는 파라미터 기반 평가 시스템을 사용하여 조직의 이해관계자들이 보다 정밀하고 예측 기반으로 ISMS 성숙도를 모니터링할 수 있도록 한다.

ABSTRACT

Security is a hot issue to be discussed, ranging from business activities, correspondence, banking and financial activities; it requires prudence and high precision. Since information security has a very important role in supporting activities of the organization, we need a standard or benchmark which regulates governance over information security. The main objective of this paper is to implement a novel practical approach framework to the development of information security management system (ISMS) assessment and monitoring software, called by I-SolFramework. System / software is expected to assist stakeholders in assessing the level of their ISO27001 compliance readiness, the software could help stakeholders understood security control or called by compliance parameters, being shorter, more structured, high precision and measured forecasting.

연구 동기 및 목표

• 실제 조직 환경에서 ISO 27001 준수 준비도를 평가하기 위한 표준화되고 실용적인 도구의 부족을 해결하기 위해.
• 정보보안관리체계(ISMS)의 성숙도를 준수 파rameter에 따라 체계적으로 측정하는 방법을 개발하기 위해.
• 스테이크홀더가 더 정밀하고 짧은 평가 주기로 준수 상태를 예측할 수 있도록 하기 위해.
• 구조적이고 파라미터화된 평가 프레임워크를 통해 ISMS의 지속적인 모니터링과 개선을 지원하기 위해.
• 이론적인 ISO 27001 기준과 실제 구현 사이의 격차를 메우기 위해 측정 가능하고 소프트웨어 기반의 평가 도구를 제공하기 위해.

제안 방법

• 제어 구현의 성숙도를 수량화하기 위한 새로운 ISMS 준수 준비도 수준(CRL) 측정 모델을 제안한다.
• ISO 27001 제어 기반의 준수 파라미터를 정의하여 각 제어의 구현 상태를 체계적으로 평가할 수 있도록 한다.
• 각 준수 파라미터에 점수 기반 평가 메커니즘을 적용하고, 결과를 종합적으로 준비도 점수로 통합한다.
• 자동화된 평가와 실시간 모니터링을 위해 I-SolFramework라는 소프트웨어 프레임워크에 모델을 통합한다.
• 주관성을 줄이고 평가 일관성을 향상시키기 위해 파라미터 기반의 고정밀 접근 방식을 사용한다.
• 시간에 따라 파라미터별 진행 상황을 추적하여 준수 준비도의 예측을 가능하게 한다.

실험 결과

연구 질문

• RQ1 실제 조직 환경에서 ISO 27001 준수 준비도를 더 정밀하고 체계적으로 측정하는 방법은 무엇인가?
• RQ2 다중 제어 파라미터를 통해 ISMS 준수 상태를 지속적이고 실시간으로 모니터링할 수 있는 프레임워크는 무엇인가?
• RQ3 소프트웨어 기반 시스템은 수동 방법에 비해 ISMS 평가의 효율성과 정확도를 어떻게 향상시킬 수 있는가?
• RQ4 파라미터 기반 모델은 공식 감사 이전에 준수 준비도를 얼마나 정확히 예측할 수 있는가?
• RQ5 다양한 제어 영역에서 ISMS 구현의 성숙도 수준을 효과적으로 나타내는 측정 가능한 지표는 무엇인가?

주요 결과

• I-SolFramework는 이해관계자가 ISMS 준수 준비도를 더 정밀하고 주관성이 적게 드러나게 평가할 수 있도록 한다.
• CRL 모델은 각 제어의 구현 상태를 체계적으로 평가할 수 있는 구조적이고 파라미터화된 방법을 제공한다.
• 소프트웨어 기반 접근 방식은 평가 주기를 단축시키고 준수 진행 상황의 실시간 모니터링을 지원한다.
• 프레임워크는 준수 파라미터를 통해 점진적인 개선을 추적함으로써 준수 준비도의 예측을 가능하게 한다.
• 표준화되고 측정 가능한 파라미터를 통해 준수 요구사항의 명확성과 이해도를 향상시킨다.
• 일관되고 감사 가능한 지표를 제공하여 내부 감사와 외부 준수 보고 모두를 지원한다.