[논문 리뷰] Information Security Strategy in Organisations: Review, Discussion and Future Research Directions

Craig A. Horne, Atif Ahmad외 1명|arXiv (Cornell University)|2016. 06. 11.

Information and Cyber Security참고 문헌 38인용 수 4

한 줄 요약

이 논문은 조직 내부의 정보보안 보호에서 조직 간 협력 전략 프레임워크로의 전략적 전환을 제안한다. 컴퓨터 및 사회(cy.CY)와 암호화 및 보안(cs.CR) 분야의 학술 문헌을 주제별로 검토함으로써, 정보보안 전략의 정의, 도입의 동력 및 이점, 향후 연구 방향을 규명하며, 조직 간 경계를 넘는 체계적이고 협력적인 보안 접근 방식을 강조한다.

ABSTRACT

Dependence on information, including for some of the world's largest organisations such as governments and multi-national corporations, has grown rapidly in recent years. However, reports of information security breaches and their associated consequences continue to indicate that attacks are still escalating on organisations when conducting these information-based activities. Clearly, more research is needed to better understand how organisations should formulate strategy to secure their information. Through a thematic review of academic security literature, we (1) analyse the antecedent conditions that motivate the potential adoption of a comprehensive information security strategy, (2) the current perspectives of strategy and (3) the yields and benefits that could be enjoyed post-adoption. Our contributions include a definition of information security strategy. We argue for a paradigm shift to extend from internally-focussed protection of organisation-wide information towards a strategic view that considers the inter-organisational level. Our findings are then used to suggest future research directions.

연구 동기 및 목표

• 현대 조직에서 종합적인 정보보안 전략이 필요해지는 전제 조건을 검토하기 위해.
• 학술 문헌에서 정보보안 전략에 대한 현재의 관점을 분석하기 위해.
• 공식적인 정보보안 전략을 도입함으로써 조직이 얻는 실질적 수익과 이점들을 특정하기 위해.
• 내부 통제를 넘어서 조직 간 협력 전략으로의 패러다임 전환을 제안하기 위해.
• 조직 정보보안 전략 분야의 발전을 위한 실천 가능한 향후 연구 방향을 제시하기 위해.

제안 방법

• 컴퓨터 및 사회(cy.CY)와 암호화 및 보안(cs.CR) 분야의 학술 자료를 대상으로 주제별 문헌 리뷰를 수행하였다.
• 동료 심사된 연구의 결과를 통합하여 전략 수립, 이행 및 결과에 관한 반복되는 주제를 파악하였다.
• 통합된 문헌 기반으로 '정보보안 전략'을 정의하였으며, 전략적 의도와 조직의 일치성을 강조하였다.
• 반응형 기술적 통제에서 능동적 전략 계획으로의 보안 전략의 진화를 평가하였다.
• 체계적이고 협력적인 원칙을 바탕으로 조직 간 보안 전략에 대한 개념적 프레임워크를 제안하였다.
• 결과를 바탕으로 전략적 통합과 조직 간 협력에 중점을 둔 향후 연구 방향을 도출하였다.

실험 결과

연구 질문

• RQ1 조직이 종합적인 정보보안 전략을 도입하도록 이끄는 주요 동력과 조건은 무엇인가?
• RQ2 학술 및 조직 문헌에서 정보보안 전략은 어떻게 개념화되고 있으며, 어떻게 구현되고 있는가?
• RQ3 공식적인 정보보안 전략을 도입함으로써 얻는 측정 가능한 이점과 전략적 수익은 무엇인가?
• RQ4 정보보안 전략은 어떻게 조직 내부 경계를 넘어서 조직 간 협력으로 확장될 수 있는가?
• RQ5 조직 내 정보보안의 전략적 역할을 발전시키기 위해 가장 중요한 향후 연구 방향은 무엇인가?

주요 결과

• 공식적인 정보보안 전략는 보안 목표를 비즈니스 목표와 일치시키는 체계적이고 조직 전반적인 접근 방식으로 정의된다.
• 정보보안 전략의 도입은 디지털 의존도 증가, 증가하는 사이버 위협, 규제 압박 등의 영향으로 이뤄진다.
• 전략적 보안 프레임워크를 구현한 조직들은 위험 관리, 준수, 운영 내성 향상의 효과를 보고한다.
• 현재 문헌은 전략적 사고의 격차를 보이며, 대부분의 접근 방식이 종합적 기업 전반의 계획이 아닌 기술적 통제 중심에 머물러 있다.
• 공급망 및 파트너십을 아우르는 체계적 위험을 해결하기 위해 조직 간 보안 전략으로의 패러다임 전환이 필요하다.
• 향후 연구는 조직 간 협력 모델, 거버넌스 프레임워크, 성과 측정 지표에 대해 탐색해야 한다.