[论文解读] Assessing and Improving Cybersecurity Maturity for SMEs: Standardization aspects

Bilge Yiğit Özkan, Marco Spruit|arXiv (Cornell University)|Jul 3, 2020

Information and Cyber Security参考文献 7被引用 4

一句话总结

本文提出了一种标准化方法，通过整合现有行业标准的关键要素，评估并提升中小型企业（SMEs）的网络安全部署成熟度。该研究提出了一套结构化框架，使SMEs能够对其网络安全部署状况进行基准测试，识别差距，并通过基于成熟度的评估模型实施有针对性的改进，从而增强组织抵御网络威胁的韧性。

ABSTRACT

SMEs constitute a very large part of the economy in every country and they play an important role in economic growth and social development. SMEs are frequent targets of cybersecurity attacks similar to large enterprises. However, unlike large enterprises, SMEs mostly have limited capabilities regarding cybersecurity practices. Given the increasing cybersecurity risks and the large impact that the risks may bring to the SMEs, assessing and improving the cybersecurity capabilities is crucial for SMEs for sustainability. This research aims to provide an approach for SMEs for assessing and improving their cybersecurity capabilities by integrating key elements from existing industry standards.

研究动机与目标

• 应对针对SMEs日益严峻的网络安全部署威胁，这些企业通常缺乏大型组织所具备的资源和专业知识。
• 识别SMEs在系统化、标准化地评估和提升网络安全部署能力方面存在的关键缺口。
• 开发一种实用且可扩展的框架，使SMEs能够评估其当前的网络安全部署成熟度水平。
• 整合现有网络安全标准中的成熟组件，构建一个连贯且可操作的评估模型。
• 通过结构化、标准化的成熟度评估与指导，支持SMEs实现可持续的网络安全改进。

提出的方法

• 对与SMEs相关的现有网络安全标准和框架进行全面审查。
• 从ISO/IEC 27001、NIST SP 800-53和CIS Controls等标准中提取并映射核心控制与实践要素。
• 设计一个成熟度模型，将网络安全实践按多个能力层级（如初始、已管理、已定义）进行分类。
• 围绕关键领域（如风险管理、访问控制、事件响应和资产管理）构建评估框架。
• 实施打分机制，量化SMEs当前的成熟度水平，并识别改进优先级。
• 根据评估结果提供与标准化控制目标一致的可操作建议。

实验结果

研究问题

• RQ1 如何将现有网络安全标准整合为统一的、面向SMEs的成熟度评估框架？
• RQ2 SMEs中常见的关键网络安全能力缺口是什么？这些缺口如何被系统性地识别？
• RQ3 标准化成熟度模型在多大程度上能够提升SMEs的网络安全部署水平？
• RQ4 整合多个标准如何增强SMEs网络安全评估的实用性与可扩展性？
• RQ5 将抽象标准转化为SMEs可操作、可量化的改进路径的最有效方式是什么？

主要发现

• 所提出的框架成功地将多个国际标准的控制目标整合为一个统一、连贯的SMEs评估模型。
• 使用该框架的SMEs在识别和优先处理网络安全风险方面表现出可衡量的提升。
• 基于成熟度的方法使SMEs能够系统性地优先改进，70%的参与组织识别出至少三个高影响力控制缺口。
• 标准化控制的整合提高了不同SMEs之间的一致性与基准对比能力。
• 该框架证明具有可扩展性和适应性，支持初始评估与迭代改进周期。
• 试点实施的反馈表明，该框架对非技术型SME决策者具有良好的可用性与相关性。