[论文解读] On the Cost of Security Compliance in Information Systems

David Hofbauer, Igor Ivkić+3 more|arXiv (Cornell University)|May 15, 2019

Digital Transformation in Industry参考文献 11被引用 7

一句话总结

本文提出了一种受六西格玛启发的框架，用于评估和估算在工业4.0网络物理生产系统中实施安全控制的成本。通过将安全需求映射到既定标准，并将其与成本估算方法关联，该方法能够在系统性地满足安全标准的同时，量化工业用例中的实施成本。

ABSTRACT

The onward development of information and communication technology has led to a new industrial revolution called Industry 4.0. This revolution involves Cyber-Physical Production Systems (CPPS), which consist of intelligent Cyber-Physical Systems that may be able to adapt themselves autonomously in a production environment. At the moment, machines in industrial environments are often not connected to the internet, which thus needs a point-to-point connection to access the device if necessary. Through Industry 4.0, these devices should enable remote access for smart maintenance through a connection to the outside world. However, this connection opens the gate for possible cyber-attacks and thus raises the question about providing security for these environments. Therefore, this paper used an adapted approach based on SixSigma to solve this security problem by investigating security standards. Security requirements were gathered and mapped to controls from well known security standards, formed into a catalog. This catalog includes assessment information to check how secure a solution for a use case is and also includes a link to an estimation method for implementation cost. Thus this papers outcome shows how to make Industry 4.0 use cases secure by fulfilling security standard controls and how to estimate the resulting implementation costs.

研究动机与目标

• 应对由于工业系统互联性增强而带来的日益增长的工业4.0环境中的安全风险。
• 识别并形式化涉及远程访问和智能维护的工业用例的安全需求。
• 将这些需求映射到既定的安全标准，以确保合规性。
• 开发一个安全控制目录，包含评估标准和成本估算关联，以支持实际实施。
• 提供一种结构化方法，以在工业环境中平衡安全合规性与经济可行性。

提出的方法

• 将六西格玛方法论适配于安全合规流程，重点聚焦于定义、测量、分析、改进和控制安全需求。
• 从涉及远程维护和连接性的实际工业用例中收集并分析安全需求。
• 将识别出的安全需求映射到广泛认可的安全标准（如ISO/IEC 27001和NIST SP 800-53）中的控制目标。
• 构建一个安全控制目录，其中包含用于评估每项控制成熟度和有效性的评估标准。
• 将成本估算技术与每项控制相结合，以提供实施工作量和财务影响的量化度量。
• 采用结构化、可重复的流程，将安全控制与合规性验证及成本建模关联，以支持工业部署。

实验结果

研究问题

• RQ1 如何系统性地识别工业4.0用例中的安全需求，并将其映射到公认的安全标准？
• RQ2 如何构建一个既能支持合规性评估又能支持成本估算的安全控制目录？
• RQ3 如何以可扩展且可重复的方式估算工业系统中实施安全控制的成本？
• RQ4 基于六西格玛的方法在多大程度上能提升工业环境中安全合规的效率和透明度？
• RQ5 在实际工业应用中，安全控制实施与所产生的成本之间存在何种关系？

主要发现

• 所提出的框架成功地将工业安全需求映射到ISO/IEC 27001和NIST SP 800-53等标准中的标准化控制。
• 安全控制目录通过定义的评估标准，实现了对控制有效性的一致评估。
• 目录中的每一项控制均与一种成本估算方法关联，使利益相关者能够在设计和规划阶段评估财务影响。
• 将六西格玛原则整合到安全合规流程中，提升了流程的清晰度、可重复性以及成本透明度。
• 该方法为在工业4.0环境中平衡安全合规性与经济约束提供了实用且可扩展的解决方案。
• 该框架通过量化每项控制的安全成熟度和实施成本，支持决策制定。