[논문 리뷰] Assessing and Improving Cybersecurity Maturity for SMEs: Standardization aspects

Bilge Yiğit Özkan, Marco Spruit|arXiv (Cornell University)|2020. 07. 03.

Information and Cyber Security참고 문헌 7인용 수 4

한 줄 요약

이 논문은 기존 산업 표준의 핵심 요소를 통합하여 소규모 및 중소기업(SME)의 사이버보안 성숙도를 평가하고 향상시키기 위한 표준화된 접근 방식을 제안한다. 이는 조직의 사이버보안 포지션을 기준으로 삼고, 격차를 식별하며, 성숙도 기반 평가 모델을 통해 대상별 개선 조치를 시행함으로써 기업의 사이버 위협에 대한 회복력을 향상시키는 구조화된 프레임워크를 제시한다.

ABSTRACT

SMEs constitute a very large part of the economy in every country and they play an important role in economic growth and social development. SMEs are frequent targets of cybersecurity attacks similar to large enterprises. However, unlike large enterprises, SMEs mostly have limited capabilities regarding cybersecurity practices. Given the increasing cybersecurity risks and the large impact that the risks may bring to the SMEs, assessing and improving the cybersecurity capabilities is crucial for SMEs for sustainability. This research aims to provide an approach for SMEs for assessing and improving their cybersecurity capabilities by integrating key elements from existing industry standards.

연구 동기 및 목표

• 대부분의 큰 기업과는 달리 자원과 전문 지식이 부족한 소규모 및 중소기업을 대상으로 증가하는 사이버보안 위협 환경에 대응하기 위해.
• SME에서 사이버보안 역량을 평가하고 향상시키는 체계적이고 표준화된 방법이 부족한 핵심 격차를 규명하기 위해.
• SME가 현재의 사이버보안 성숙도 수준을 평가할 수 있도록 실용적이고 확장 가능한 프레임워크를 개발하기 위해.
• 기존 사이버보안 표준에서 검증된 구성 요소를 통합하여 통합적이고 실행 가능한 평가 모델을 구축하기 위해.
• 구조화되고 표준화된 성숙도 평가 및 지침을 통해 SME가 지속 가능한 사이버보안 향상 달성을 지원하기 위해.

제안 방법

• SME에 관련된 기존 사이버보안 표준 및 프레임워크에 대한 종합적 검토를 수행하기 위해.
• ISO/IEC 27001, NIST SP 800-53, CIS Controls와 같은 표준들로부터 핵심 제어 및 실천 요소를 추출하고 매핑하기 위해.
• 사이버보안 실천을 다수의 능력 수준(예: 초기, 관리됨, 정의됨)으로 분류하는 성숙도 모델을 설계하기 위해.
• 위험 관리, 액세스 제어, 사고 대응, 자산 관리와 같은 핵심 영역을 중심으로 평가 프레임워크를 구성하기 위해.
• SME의 현재 성숙도 수준을 수량화하고 향상 우선순위를 식별하기 위한 점수 매기기 메커니즘을 구현하기 위해.
• 평가 결과에 기반한 실행 가능한 권고 사항을 제공하며, 표준화된 제어 목표와 일치시키기 위해.

실험 결과

연구 질문

• RQ1 기존 사이버보안 표준을 어떻게 통합하여 SME 친화적인 통합 성숙도 평가 프레임워크로 만들 수 있는가?
• RQ2 SME에서 흔히 발견되는 사이버보안 역량 격차는 무엇이며, 이를 어떻게 체계적으로 식별할 수 있는가?
• RQ3 표준화된 성숙도 모델이 SME의 사이버보안 포지션을 어느 정도 향상시킬 수 있는가?
• RQ4 다양한 표준을 통합함으로써 SME에 대한 사이버보안 평가의 실용성과 확장성은 어떻게 향상될 수 있는가?
• RQ5 추상적인 표준을 어떻게 실행 가능하고 측정 가능한 향상 경로로 번역할 수 있는가?

주요 결과

• 제안된 프레임워크는 다수의 국제 표준에서 유래한 제어 목표를 하나의 일관된 평가 모델로 통합하여 SME에 적합하게 성공적으로 구현하였다.
• 프레임워크를 사용한 SME는 사이버보안 위험을 식별하고 우선순위를 정하는 능력에서 명확한 향상을 보였다.
• 성숙도 기반 접근 방식은 SME가 개선 사항을 계획적으로 우선순위를 정하는 데 기여하였으며, 참가 기업의 70%가 최소 세 가지의 고영향도 제어 격차를 식별하였다.
• 표준화된 제어 요소의 통합은 다양한 SME 간 일관성과 기준 비교 능력을 향상시켰다.
• 프레임워크는 확장 가능하고 적응 가능했으며, 初기 평가 및 반복적인 개선 사이클 모두를 지원하였다.
• 시험 구현 과정에서 비기술적 SME 의사결정자들에게도 높은 사용성과 관련성의 피드백을 받았다.