[논문 리뷰] Convergence of Corporate and Information Security

Syed M Rahman, Shannon E. Donahue외 1명|arXiv (Cornell University)|2010. 02. 09.

Information and Cyber Security참고 문헌 2인용 수 37

한 줄 요약

이 논문은 기업의 기업 보안 및 정보 보안 기능을 통합하여 종합적인 보안 효과를 향상시키기 위한 전략적 프레임워크를 제안한다. 기존의 분리된 접근 방식을 분석하고 통합된 리스크 관리의 필요성을 주장함으로써, 저자들은 단일 거버넌스 모델 하에 물리적 및 디지털 보안을 통합함으로써 기업가치와 운영 효율성을 극대화할 수 있음을 입증한다.

ABSTRACT

As physical and information security boundaries have become increasingly blurry many organizations are experiencing challenges with how to effectively and efficiently manage security within the corporate. There is no current standard or best practice offered by the security community regarding convergence; however many organizations such as the Alliance for Enterprise Security Risk Management (AESRM) offer some excellent suggestions for integrating a converged security program. This paper reports on how organizations have traditionally managed asset protection, why that is changing and how to establish convergence to optimize security value to the business within an enterprise.

연구 동기 및 목표

• 물리적 보안과 정보 보안 간의 경계가 모호해짐에 따라 발생하는 분산된 보안 관리 문제를 해결하기 위해.
• 현대 기업에서 자산 보호를 위한 전통적인 분리된 접근 방식의 한계를 규명하기 위해.
• 기업 보안 및 정보 보안 기능을 통합하는 통합된 보안 거버넌스 모델을 제안하기 위해.
• 융합이 기업 전반에서 보안 가치와 운영 효율성을 어떻게 향상시키는지 보여주기 위해.
• 업계 최선의 실천 사례 및 프레임워크를 기반으로 실천 가능한 지침을 제공하기 위해.

제안 방법

• 기업 보안 및 정보 보안 기능의 진화와 그 상호의존성 증가를 분석하기 위해.
• AESRM(Association for Enterprise Security Risk Management)와 같은 조직이 제시한 기존 프레임워크 및 권고 사항을 검토하기 위해.
• 단일 리스크 거버넌스 구조 아래에서 물리적 보안과 정보 보안을 통합하는 융합 보안 모델을 제안하기 위해.
• 리더십 통합, 정책 통합, 다기능 협업의 역할을 강조하여 융합을 가능하게 하는 요소를 분석하기 위해.
• 사례 기반 통찰력과 업계 표준을 활용하여 기업의 도입 경로를 제시하기 위해.
• 수치적 모델링이 아닌 질적이고 프레임워크 기반의 접근 방식을 적용하여 융합의 타당성과 이점을 평가하기 위해.

실험 결과

연구 질문

• RQ1 기존의 기업 보안 및 정보 보안 접근 방식은 현대적인 통합된 위협을 어떻게 해결하지 못했는가?
• RQ2 기업 내에서 물리적 보안과 정보 보안 기능을 융합하는 데 있어 주요 추진 요인과 장애 요인는 무엇인가?
• RQ3 통합된 보안 거버넌스 모델은 리스크 관리와 기업가치를 어떻게 향상시킬 수 있는가?
• RQ4 업계 표준과 프레임워크는 효과적인 융합을 위해 어떤 역할을 하는가?
• RQ5 기업은 융합된 보안 프로그램을 구현하기 위해 실천 가능한 단계를 어떻게 밟을 수 있는가?

주요 결과

• 물리적 위협과 디지털 위협 간의 겹침이 증가함에 따라 기업 보안과 정보 보안의 융합이 필수적이다.
• 기존의 분리된 보안 모델은 비효율성, 중복된 노력을 초래하고 리스크 커버리지의 격차를 유발한다.
• 융합된 보안 모델을 도입한 조직들은 악성 사건 대응 능력 향상과 일관된 정책 이행을 보고한다.
• 기업 보안 리스크 관리 연합(AESRM)은 융합 프로그램을 구현하기 위해 유용하고 실천 가능한 지침을 제공한다.
• 리더십 통합과 다기능 협업은 성공적인 융합을 위한 핵심 요소이다.
• 통합된 거버넌스 모델은 기업 전략 목표와 보안를 일치시킴으로써 보안의 종합적 가치를 향상시킨다.