[论文解读] Integrated Solution Modeling Software: A New Paradigm on Information Security Review and Assessment

Heru Susanto, Mohammad Nabil Almunawar+3 more|arXiv (Cornell University)|Mar 28, 2012

Information and Cyber Security参考文献 2被引用 17

一句话总结

本文提出 I-SolFramework，一种新型软件框架，通过结构化、集成化的解决方案建模，简化 ISO27001 合规性评估。通过自动化将安全控制映射到合规参数，降低复杂性并提高信息安全管理体系（ISMS）审查的清晰度，为利益相关者提供实用工具，基于标准化且有案例研究支持的指南，衡量并提升 ISO27001 准备就绪程度。

ABSTRACT

Actually Information security becomes a very important part for the organization's intangible assets, so level of confidence and stakeholder trusted are performance indicator as successes organization. Since information security has a very important role in supporting the activities of the organization, we need a standard or benchmark which regulates governance over information security. The main objective of this paper is to implement a novel practical approach framework to the development of information security management system (ISMS) assessment and monitoring software, called by I-SolFramework. System / software is expected to assist stakeholders in assessing the level of their ISO27001 compliance readiness, the software could help stakeholders understood security control or called by compliance parameters, being shorter and more structured. The case study illustrated provided to the reader with a set of guidelines, that aims easy understood and applicable as measuring tools for ISMS standards (ISO27001) compliance.

研究动机与目标

• 解决在组织中评估 ISO27001 合规性的日益复杂性问题。
• 通过将合规参数结构化为可重用框架，减少 ISMS 评估所需的时间和精力。
• 为利益相关者提供直观、实用的工具，用于衡量和改进信息安全管理。
• 通过案例研究验证，弥合理论性 ISMS 标准与实际实施之间的差距。
• 通过提供透明、标准化的安全准备就绪评估方法，增强利益相关者的信心。

提出的方法

• I-SolFramework 作为软件解决方案开发，将 ISO27001 控制目标映射到特定的合规参数。
• 采用集成化建模方法，以结构化、机器可读的格式表示信息安全控制。
• 通过支持对组织各领域中控制实施的系统性评估，实现自动化评估。
• 通过实施案例研究验证框架的可用性，提供合规性测量的分步指南。
• 软件设计具有可扩展性，可适应除 ISO27001 之外的其他 ISMS 标准。
• 采用模块化架构，支持可扩展性，并与现有组织安全管理系统集成。

实验结果

研究问题

• RQ1 如何降低 ISO27001 合规性评估在实际组织应用中的复杂性？
• RQ2 何种结构化框架可实现 ISMS 控制的一致性和可重复评估？
• RQ3 软件工具如何提升利益相关者对信息安全管理中合规参数的理解？
• RQ4 基于案例研究的方法在多大程度上可增强 ISMS 评估工具的可用性和适用性？
• RQ5 集成化建模在简化信息安全管理审查与监控流程中发挥何种作用？

主要发现

• I-SolFramework 通过将控制组织为结构化、可评估的参数，成功降低了 ISO27001 合规性评估的复杂性。
• 案例研究证明，该框架为在实际环境中评估 ISMS 准备就绪程度提供了清晰、可操作的指南。
• 利益相关者可利用该软件更高效地识别控制实施中的差距，优于传统手动审查方法。
• 通过标准化合规性测量，该框架增强了安全评估的透明度和一致性。
• 该软件通过可重复、有文档记录且可扩展的评估流程，提升了利益相关者的信心。
• 建模与软件自动化相结合，使 ISMS 监测速度更快、更准确，优于临时性评估方法。