[論文レビュー] Towards a Security Lifecycle Model against Social Engineering Attacks: SLM-SEA

Tolga Mataracioglu, Sevgi Özkan+1 more|arXiv (Cornell University)|Jul 9, 2015

Spam and Phishing Detection参考文献 12被引用数 4

ひとこと要約

本論文では、ユーザーの意識と行動分析を組織のセキュリティ実践に統合することで、社会的エンジニアリング攻撃に対抗するためのセキュリティライフサイクルモデル、SLM-SEAを提案する。トルコ公共部門機関におけるインタビュー調査と実世界のシミュレーションを通じて、従業員のセキュリティ意識と手順遵守の面で顕著な格差が明らかになった。これは、人間中心のセキュリティ教育とライフサイクル管理を体系的に行うことで、組織のレジリエンスを強化するという、極めて重要な必要性を浮き彫りにしている。

ABSTRACT

This research considers the impact of social engineering security attacks which are noted as taking opportunities for critically exploiting user awareness and behavior. The research proposes in this respect a managerial method in an attempt to enhance or even ensure protection. The aim of this study is to construct a security lifecycle model against these eventualities and to analyze the test results that have been carried out within the context of the Turkish public sector. The main objective of the study is to determine why employees shared sensitive information by stating fallacies and related amendments through interviews and thus to understand user actions when they are face to face with a real social engineering attack. The research findings demonstrate that employees in Turkish public organizations are not sufficiently aware of information security and they generally ignore critically important security procedures. This represents an important illustration of the increasing need for further generalized user awareness and responsibilities where individuals and not simply software form a critical element of the security protection portfolio.

研究の動機と目的

• 組織的環境において人間の行動や認知バイアスを悪用する社会的エンジニアリング攻撃の増加する脅威に対処すること。
• トルコ公共部門機関の従業員がなぜ社会的エンジニアリングの圧力下で機密情報を共有してしまうのかを特定すること。
• 人間要因を組織のセキュリティフレームワークに統合する、構造的でライフサイクルベースのセキュリティモデルを構築すること。
• 管理的および意識向上型の対策が、社会的エンジニアリングへの感受性を低下させる効果を評価すること。
• 技術的セキュリティ制御に限定するのではなく、ユーザーの責任と行動訓練を含む包括的アプローチへのシフトを促すこと。

提案手法

• トルコ公共部門機関の従業員を対象とした構造的インタビューを実施し、模擬的な社会的エンジニアリング攻撃への反応を分析する。
• 意識、検出、対応、改善の段階を統合したセキュリティライフサイクルモデル（SLM-SEA）の設計および実装。
• 実世界の社会的エンジニアリングシナリオを用いて、従業員の行動を評価し、情報取り扱いにおける脆弱性を特定する。
• インタビューのデータを分析し、情報開示に至らしめる一般的な誤解や誤った考え方を同定する。
• 繰り返し可能な管理フレームワークに統合し、人間中心のポリシーを通じて継続的なセキュリティ向上を支援する。
• 制御された環境でモデルを適用し、その実用性と組織のセキュリティポジションに与える影響をテストする。

実験結果

リサーチクエスチョン

• RQ1 公共部門機関の従業員が社会的エンジニアリング攻撃中に機密情報を開示する行動的および認知的要因は何か？
• RQ2 トルコの公共機関において、現在の意識向上およびセキュリティ手順は、社会的エンジニアリングの事象を防ぐのにどの程度効果的か？
• RQ3 情報セキュリティポリシーへの従業員の理解不足と遵守の欠如に関する主な格差は何か？
• RQ4 人間の脆弱性に体系的に対処できる、構造的でセキュリティライフサイクルベースのモデルをどのように設計できるか？
• RQ5 管理的監視および継続的な訓練は、社会的エンジニアリング攻撃への感受性を低下させる上で果たす役割は何か？

主な発見

• トルコ公共部門機関の従業員は、特に社会的エンジニアリングのリスクに関して、低い情報セキュリティ意識を示した。
• 実際の社会的エンジニアリングシナリオを認識したり、適切に対応したりする能力に欠ける従業員が多数存在し、手順遵守の欠如が顕著に表れた。
• 権威への信頼や緊急性の操作といった一般的な誤謬が、セキュリティポリシーが存在する状況でも、情報開示を引き起こした。
• 本研究では、技術的セキュリティ対策が整っていても、人間の行動を無視するセキュリティ実践が、深刻な脆弱性を生じさせていることが明らかになった。
• 継続的なユーザー教育と行動監視を含む、構造的でライフサイクルベースのアプローチへの強い需要が生じている。
• 提案されたSLM-SEAモデルは、人間要因をセキュリティ管理に統合するフレームワークを提供し、社会的エンジニアリングの成功確率を低下させる道筋を示している。