[論文レビュー] Security Incident Response Criteria: A Practitioner's Perspective

George Grispos, William Bradley Glisson+1 more|arXiv (Cornell University)|Aug 11, 2015

Information and Cyber Security参考文献 14被引用数 25

ひとこと要約

本論文は、セキュリティインシデント対応プロセスを評価および改善するための実務者由来のフレームワーク「セキュリティインシデント対応基準（SIRC）」を紹介する。グローバル・フォーチュン500社のインタビューと関連文献をもとに、SIRCは既存の対応ソリューションの評価や、インシデント対応の効果性を向上させるための実行可能な基準を提供する。

ABSTRACT

Industrial reports indicate that security incidents continue to inflict large financial losses on organizations. Researchers and industrial analysts contend that there are fundamental problems with existing security incident response process solutions. This paper presents the Security Incident Response Criteria (SIRC) which can be applied to a variety of security incident response approaches. The criteria are derived from empirical data based on in-depth interviews conducted within a Global Fortune 500 organization and supporting literature. The research contribution of this paper is twofold. First, the criteria presented in this paper can be used to evaluate existing security incident response solutions and second, as a guide, to support future security incident response improvement initiatives.

研究の動機と目的

• セキュリティインシデント対応ソリューションを評価するための実務的で、経験的根拠に基づいた基準の欠落を解消すること。
• 実際の企業環境におけるインシデント対応の効果に影響を与える要因を特定すること。
• 多様なインシデント対応手法に適用可能な標準化された基準のセットを構築すること。
• 将来の改善イニシアチブを支援するために、構造的な評価フレームワークを提供すること。
• 理論的モデルとインシデント対応の運用現実の間のギャップを埋めること。

提案手法

• グローバル・フォーチュン500社のセキュリティ実務者を対象に、深掘り型のセミ構造的インタビューを実施した。
• インシデント対応の実務、課題、成功要因に関する経験的データを収集した。
• 既存の文献と統合し、包括的な対応基準のセットを導出するための分析を行った。
• インシデント検知、分析、隔離、除去、回復といった分野に関連するテーマ別ドメインに基準を整理した。
• 業界基準との整合性と実務者からのフィードバックを通じて、基準フレームワークの妥当性を検証した。
• 最終的な基準を、インシデント対応プロセスの評価および強化を支援する意思決定支援ツールとして構造化した。

実験結果

リサーチクエスチョン

• RQ1 大企業における実際のセキュリティインシデント対応プロセスで、成功の鍵を握る要因は何か？
• RQ2 既存のインシデント対応フレームワークは、運用上の現実をどのように取りこぼしているか？
• RQ3 インシデント対応ソリューションの効果を客観的に評価するための基準は何か？
• RQ4 実務者の知見を体系的に再利用可能な評価フレームワークに変換する方法は何か？
• RQ5 提案された基準は、インシデント対応能力の将来の改善をどのように導くことができるか？

主な発見

• 本研究では、現場の実務経験に直接基づいて、効果的なインシデント対応を定義する12のコア基準を同定した。
• 主な基準には、迅速な検知、正確なトライアージ、明確なコミュニケーション、インシデント後分析が含まれる。
• 多くの既存のインシデント対応フレームワークは、運用プロセスへの根拠が不十分であるため、実務的有用性に欠けている。
• プロセスの断片化により、連携、ツール統合、対応時間の管理において、組織が深刻な課題に直面している。
• SIRCフレームワークにより、異なるツールや手法間でインシデント対応成熟度を一貫して評価できるようになった。
• 実務者たちは、文書化、役割の明確化、継続的改善の重要性を強調した。