[论文解读] A Business Goal Driven Approach for Understanding and Specifying Information Security Requirements

Xiaomeng Su, Damiano Bolzoni+1 more|University of Twente Research Information|Mar 31, 2006

Information and Cyber Security参考文献 10被引用 13

一句话总结

本文提出了一种以业务目标为导向的框架，将信息安全需求与组织独特的业务愿景、关键影响因素（CIFs）及有价值资产相联系。通过基于其对业务目标的影响来优先排序安全需求，该方法为安全优先排序提供了系统性的合理依据，增强了安全工作与组织目标的一致性。

ABSTRACT

In this paper we present an approach for specifying and prioritizing information security requirements in organizations. It is important to prioritize security requirements since hundred per cent security is not achievable and the limited resources available should be directed to satisfy the most important ones. We propose to link explicitly security requirements with the organization's business vision, i.e. to provide business rationale for security requirements. The rationale is then used as a basis for comparing the importance of different security requirements. A conceptual framework is presented, where the relationships between business vision, critical impact factors and valuable assets (together with their security requirements) are shown.

研究动机与目标

• 解决由于隐性业务驱动因素导致的安全需求优先级不明确的问题。
• 提供一种系统化的方法，阐明为何某些安全需求比其他需求更为关键。
• 通过显式建模业务愿景和影响因素，实现信息安全与核心业务目标的一致性。
• 通过结构化方法支持首席安全官（CSOs）回答关键安全治理问题，辅助决策。
• 在协作或网络化业务环境中，促进利益相关方在安全范围、必要性和成功指标上达成共识。

提出的方法

• 将组织的业务愿景定义为指导安全优先级的高层次战略目标。
• 识别关键影响因素（CIFs），代表若安全需求被违反将带来的业务后果。
• 盘点有价值资产及其相关安全需求（如机密性、完整性、可用性）。
• 建立双向关系：安全需求影响CIFs，CIFs也影响业务愿景的实现。
• 利用业务愿景来优先排序CIFs，利用CIFs来优先排序安全需求。
• 将该框架与现有的威胁建模和风险评估方法整合，以增强验证和规划能力。

实验结果

研究问题

• RQ1 如何系统性地将安全需求与组织的核心业务目标相联系？
• RQ2 可采用何种标准，基于业务影响而非技术控制基线，对安全需求进行优先排序？
• RQ3 组织如何一致地定义并评估安全违规的业务影响？
• RQ4 将安全与业务愿景对齐，如何改善CSO和利益相关方的决策？
• RQ5 该框架如何与现有的风险评估或威胁建模技术相结合？

主要发现

• 该框架能够基于其对业务愿景和关键影响因素（CIFs）的影响，明确优先排序安全需求。
• 安全需求不再被视为孤立的技术控制措施，而是基于组织的业务驱动因素。
• 该方法为回答CSO的关键问题（如“需要保护什么以及为什么？”）提供了理性依据。
• 通过将安全与业务愿景相联系，该方法支持利益相关方在范围、必要性和成功指标上达成共识。
• 该框架通过将影响严重性锚定在业务背景中，而非主观判断，增强了传统风险评估的科学性。
• 该方法与现有威胁建模和风险评估技术具有互补性，为优先排序提供了战略基础。