[论文解读] Convergence of Corporate and Information Security

Syed M Rahman, Shannon E. Donahue+1 more|arXiv (Cornell University)|Feb 9, 2010

Information and Cyber Security参考文献 2被引用 37

一句话总结

本文提出了一套战略框架，旨在整合企业中的企业安全与信息安全职能，以提升整体安全效能。通过分析传统的孤立化方法，并倡导整合风险管理，作者展示了如何在统一的治理模式下整合物理安全与数字安全，从而优化业务价值和运营效率。

ABSTRACT

As physical and information security boundaries have become increasingly blurry many organizations are experiencing challenges with how to effectively and efficiently manage security within the corporate. There is no current standard or best practice offered by the security community regarding convergence; however many organizations such as the Alliance for Enterprise Security Risk Management (AESRM) offer some excellent suggestions for integrating a converged security program. This paper reports on how organizations have traditionally managed asset protection, why that is changing and how to establish convergence to optimize security value to the business within an enterprise.

研究动机与目标

• 解决由于物理安全与信息安全边界模糊化而带来的安全管理体系碎片化问题。
• 识别现代企业中传统孤立化资产保护方法的局限性。
• 提出一个统一的安全治理模型，整合企业安全与信息安全职能。
• 展示融合如何提升企业范围内的安全价值与运营效率。
• 基于行业最佳实践与框架，提供可操作的实施指导。

提出的方法

• 分析企业安全与信息安全职能的演变及其日益增强的相互依赖性。
• 回顾联盟企业安全风险管理体系（AESRM）等组织的现有框架与建议。
• 提出一种融合的安全模型，将物理安全与信息安全统一于单一风险治理结构之下。
• 强调领导力、政策整合与跨职能协作在推动融合中的作用。
• 结合案例洞察与行业标准，概述企业采纳的实施路径。
• 采用定性、基于框架的方法，而非定量建模，以评估融合的可行性与效益。

实验结果

研究问题

• RQ1 传统的企业安全与信息安全方法为何未能有效应对现代集成威胁？
• RQ2 推动企业中物理安全与信息安全职能融合的关键驱动力与障碍是什么？
• RQ3 统一的安全治理模型如何改善风险管理与业务价值？
• RQ4 行业标准与框架在实现有效融合中发挥何种作用？
• RQ5 企业可采取哪些实际步骤来实施融合的安全计划？

主要发现

• 由于物理威胁与数字威胁之间的重叠日益增加，企业安全与信息安全的融合至关重要。
• 传统的孤立化安全模式导致效率低下、工作重复以及风险覆盖的漏洞。
• 采用融合安全模式的企业报告了更优的事件响应能力与更一致的政策执行。
• 企业安全风险管理体系联盟（AESRM）为实施融合计划提供了宝贵且可操作的指导。
• 领导力对齐与跨职能协作是实现成功融合的关键推动因素。
• 统一的治理模式通过将安全与战略目标对齐，显著提升了安全对企业整体价值的贡献。