[논문 리뷰] Integrated Solution Modeling Software: A New Paradigm on Information Security Review and Assessment

Heru Susanto, Mohammad Nabil Almunawar외 3명|arXiv (Cornell University)|2012. 03. 28.

Information and Cyber Security참고 문헌 2인용 수 17

한 줄 요약

이 논문은 구조적이고 통합된 솔루션 모델링을 통해 ISO27001 준수 평가를 간소화하는 새로운 소프트웨어 프레임워크인 I-SolFramework를 소개한다. 보안 통제를 준수 파rameter에 자동으로 매핑함으로써 정보 보안 관리 체계(ISMS) 검토의 복잡성과 명확성 향상을 높여, 표준화되고 사례 연구를 바탕으로 한 지침을 통해 이해관계자들이 ISO27001 준수 수준을 측정하고 향상시킬 수 있는 실용적인 도구를 제공한다.

ABSTRACT

Actually Information security becomes a very important part for the organization's intangible assets, so level of confidence and stakeholder trusted are performance indicator as successes organization. Since information security has a very important role in supporting the activities of the organization, we need a standard or benchmark which regulates governance over information security. The main objective of this paper is to implement a novel practical approach framework to the development of information security management system (ISMS) assessment and monitoring software, called by I-SolFramework. System / software is expected to assist stakeholders in assessing the level of their ISO27001 compliance readiness, the software could help stakeholders understood security control or called by compliance parameters, being shorter and more structured. The case study illustrated provided to the reader with a set of guidelines, that aims easy understood and applicable as measuring tools for ISMS standards (ISO27001) compliance.

연구 동기 및 목표

• 조직 전반에서 ISO27001 준수 평가의 복잡성이 증가하는 문제를 해결하기 위해.
• 준수 파rameter를 재사용 가능한 프레임워크로 구조화함으로써 ISMS 평가에 소요되는 시간과 노력을 줄이기 위해.
• 정보 보안 거버넌스 측정 및 향상에 실용적이고 직관적인 도구를 이해관계자에게 제공하기 위해.
• 사례 연구 검증을 통해 이론적 ISMS 표준과 실제 구현 간 격차를 메우기 위해.
• 투명하고 표준화된 방법을 제공함으로써 이해관계자의 신뢰를 높이기 위해.

제안 방법

• I-SolFramework는 ISO27001 통제 목표를 특정 준수 파rameter에 매핑하는 소프트웨어 솔루션으로 개발된다.
• 정보 보안 통제를 구조적이고 기계로 읽을 수 있는 형식으로 표현하기 위해 통합 모델링 접근법을 사용한다.
• 조직 영역 전반에서 통제 이행 상태를 체계적으로 평가할 수 있도록 지원함으로써 자동화된 평가를 가능하게 한다.
• 프레임워크의 사용성 검증을 위해 사례 연구를 구현하여 준수 측정을 위한 단계별 지침을 제공한다.
• 확장 가능하도록 설계되어 ISO27001 이외의 다른 ISMS 표준에도 적용 가능하도록 한다.
• 모듈러 아키텍처를 사용하여 확장성과 기존 조직 보안 관리 시스템과의 통합을 지원한다.

실험 결과

연구 질문

• RQ1 ISO27001 준수 평가의 복잡성을 실질적인 조직 적용을 위해 어떻게 줄일 수 있는가?
• RQ2 일致하고 반복 가능한 ISMS 통제 평가를 가능하게 하는 구조적 프레임워크는 무엇인가?
• RQ3 소프트웨어 도구는 정보 보안 관리에서 준수 파rameter 이해관계자의 이해를 어떻게 향상시킬 수 있는가?
• RQ4 사례 연구 기반 접근법이 ISMS 평가 도구의 사용성과 적용 가능성에 어느 정도 기여하는가?
• RQ5 통합 모델링은 정보 보안 검토 및 모니터링 프로세스를 어떻게 단순화하는가?

주요 결과

• I-SolFramework는 통제를 구조적이고 평가 가능한 파rameter로 정리함으로써 ISO27001 준수 평가의 복잡성을 성공적으로 감소시켰다.
• 사례 연구는 프레임워크가 실제 환경에서 ISMS 준수 수준 평가를 위한 명확하고 실행 가능한 지침을 제공한다는 것을 입증한다.
• 이해관계자들은 전통적인 수동 검토 방법보다 이 프레임워크 소프트웨어를 통해 통제 이행의 격차를 더 효율적으로 파악할 수 있다.
• 준수 측정을 표준화함으로써 프레임워크는 보안 평가의 투명성과 일관성을 향상시킨다.
• 반복 가능하고 문서화되며 확장 가능한 평가 프로세스를 통해 소프트웨어는 이해관계자의 신뢰를 제고한다.
• 모델링과 소프트웨어 자동화의 통합은 수작업 평가 기법보다 더 빠르고 정확한 ISMS 모니터링을 가능하게 한다.