[论文解读] An Ontological Approach to Compliance Verification of the NIS 2 Directive

Gianpietro Castiglione, Daniele Francesco Santamaria+1 more|arXiv (Cornell University)|Jun 30, 2023

Information and Cyber Security被引用 4

一句话总结

本文提出一种本体论方法，通过将NIS 2指令的安全措施形式化为机器可处理的知识库，实现合规性验证的自动化。利用语义建模和描述逻辑推理，作者证明本体能够准确表示第7条和第10条中的实体与关系，从而支持自动推理和基于SPARQL的查询，以验证合规性并检测缺失的要求。

ABSTRACT

Cybersecurity, which notoriously concerns both human and technological aspects, is becoming more and more regulated by a number of textual documents spanning several pages, such as the European GDPR Regulation and the NIS Directive. This paper introduces an approach that leverages techniques of semantic representation and reasoning, hence an ontological approach, towards the compliance check with the security measures that textual documents prescribe. We choose the ontology instrument to achieve two fundamental objectives: domain modelling and resource interrogation. The formalisation of entities and relations from the directive, and the consequent improved structuring with respect to sheer prose is dramatically helpful for any organisation through the hard task of compliance verification. The semantic approach is demonstrated with two articles of the new European NIS 2 directive.

研究动机与目标

• 解决解释复杂、模糊且语言密集的安全指令（如NIS 2指令）的挑战。
• 实现对自然语言指令中实体与关系的机械式解析，以支持结构化的合规性分析。
• 开发一种形式化、基于数学基础的方法，通过逻辑推理验证特定安全措施的合规性。
• 创建一个可重用、开源的本体，用于建模NIS 2指令的关键方面，以支持自动化合规检查。
• 证明使用本体可降低审计复杂性，并在合规性验证中提高一致性。

提出的方法

• 基于Gangemi等人提出的原则，使用本体设计原则形式化NIS 2指令第7条和第10条中的实体与关系。
• 使用OWL 2 DL将安全措施建模为类和约束，包括数据类型限制（例如，提交截止时间最长为3个月）。
• 使用标准本体语言（OWL）和描述逻辑推理器实现一个原型知识库，以支持推理。
• 使用SPARQL查询执行差异性检查，并识别特定参与方缺失的合规要求。
• 将本体与现有标准（如OASIS和ENISA的事件管理本体）集成，以实现未来可扩展性。
• 应用逻辑推导，验证特定个体（例如，成员国）是否满足指令中定义的合规条件。

实验结果

研究问题

• RQ1 我们能否机械地解析作为大文档给出的安全指令中的相关实体与关系？
• RQ2 我们能否数学证明从安全指令中解析出的关系对特定参与方成立？
• RQ3 本体建模在多大程度上能提高复杂监管文本合规性验证的准确性和效率？
• RQ4 自动化推理和查询在现实场景中能在多大程度上检测出非合规性和缺失要求？
• RQ5 如何使用语义技术正式表示并验证NIS 2指令的合规性要求？

主要发现

• NIS本体成功地使用正式本体技术，对NIS 2指令第7条和第10条中的核心实体与关系进行了建模。
• 推理器正确推断出满足所有安全措施的个体是MemberState的实例，验证了合规模型的正确性。
• 系统检测出某名个体缺少第10条中的两条规则，仅符合第7条，证实了部分合规性检测能力。
• SPARQL查询准确识别出该部分合规个体缺失的两条措施（指定CSIRT和确保向CSIRT报告）。
• 原型证明了自动化合规性验证的可行性，并显著减少了人工审计工作量和不一致性。
• NIS本体的开源发布使得其可被重用和扩展，适用于更广泛的监管合规应用场景。