[论文解读] An Approach to Select Cost-Effective Risk Countermeasures Exemplified in CORAS

Le Minh Sang Tran, Bjørnar Solhaug+1 more|arXiv (Cornell University)|Jan 1, 2013

Information and Cyber Security参考文献 1被引用 6

一句话总结

本文提出了一种通用的、形式化的方法，通过将成本、风险降低效果以及相互依赖性整合到标注了控制措施数据的风险模型中，以选择具有成本效益的风险缓解措施。利用基于微积分的推理系统，生成排序的决策图，以支持管理者选择最优且成本效益高的安全控制措施，并通过在eHealth系统中应用CORAS风险分析方法进行了实例化验证。

ABSTRACT

Risk is unavoidable in business and risk management is needed amongst others to set up good security policies. Once the risks are evaluated, the next step is to decide how they should be treated. This involves managers making decisions on proper countermeasures to be implemented to mitigate the risks. The countermeasure expenditure, together with its ability to mitigate risks, is factors that affect the selection. While many approaches have been proposed to perform risk analysis, there has been less focus on delivering the prescriptive and specific information that managers require to select cost-effective countermeasures. This paper proposes a generic approach to integrate the cost assessment into risk analysis to aid such decision making. The approach makes use of a risk model which has been annotated with potential countermeasures, estimates for their cost and effect. A calculus is then employed to reason about this model in order to support decision in terms of decision diagrams. We exemplify the instantiation of the generic approach in the CORAS method for security risk analysis.

研究动机与目标

• 解决在风险管理中选择安全控制措施时缺乏明确、具有成本效益的指导建议的问题。
• 提供一种系统化的方法，以平衡控制措施的成本与风险缓解效果。
• 通过包括成本、风险降低效果和相互依赖性的多方面定量分析，支持决策制定。
• 将成本评估直接整合到风险建模中，以提升安全策略制定中的决策质量。
• 通过在真实eHealth应用中对CORAS方法的实例化，证明该方法的可行性和实用性。

提出的方法

• 在风险模型中标注潜在的控制措施、其估算成本（控制措施支出）及其风险降低效果（降低效果）。
• 使用影响依赖关系（Effect Dependency）对控制措施之间的依赖关系进行建模，以捕捉协同作用或冲突影响。
• 应用形式化微积分，将可能性和后果值在标注的风险图中进行传播，以支持定量分析。
• 利用微积分计算所有风险场景下风险降低效果与成本效益的权衡。
• 生成决策图，以可视化方式根据成本效益对控制措施备选方案进行排序。
• 在CORAS方法中实例化该通用方法，调整符号和规则以符合CORAS风险建模惯例。

实验结果

研究问题

• RQ1 如何将成本、风险降低效果以及控制措施之间的相互依赖性正式整合到风险模型中，以支持决策制定？
• RQ2 何种形式化机制能够实现基于成本效益的控制措施备选方案的系统性比较？
• RQ3 如何在风险处理决策中对多个控制措施之间的协同效应进行建模与量化？
• RQ4 该方法在现有风险分析方法（如CORAS）中可实例化的程度如何？
• RQ5 该方法能否生成可操作的、按优先级排序的控制措施建议，以实现成本与效果的平衡？

主要发现

• 该方法成功地将成本、风险降低效果和相互依赖因素整合到统一的风险模型中，实现了系统化的控制措施选择。
• 形式化微积分能够将可能性和后果值在标注的风险图中进行传播，支持对单个和组合控制措施的定量分析。
• 该方法生成的决策图以清晰的视觉方式对基于成本效益的控制措施备选方案进行排序，有助于管理决策。
• 在eHealth案例研究中，该方法识别出特定的控制措施组合（如GS6、GS7和GS8），在可接受的成本水平下实现了最优风险降低。
• 该方法展示了协同效应，即组合控制措施（如GS8）比单独措施更有效地降低风险，其中GS8以112,100的成本实现了显著的风险降低。
• 在CORAS中的实例化证明了可行性，表明该通用方法可被适配到现有风险建模框架中，对既有的流程造成最小干扰。