[论文解读] Refinement of Strategy and Technology Domains STOPE View on ISO 27001

Heru Susanto, Fahad Bin Muhaya+2 more|arXiv (Cornell University)|Apr 6, 2012

Information and Cyber Security参考文献 9被引用 10

一句话总结

本文利用 STOPE 框架（战略、技术、组织、人员、环境）将 ISO 27001 的 21 项安全控制措施细化为 246 个可操作、易理解的要素，提升了信息安全管理系统的实际实施效果。该方法增强了信息安全政策与组织各领域的清晰度与一致性，使控制措施的评估与部署更加有效。

ABSTRACT

It is imperative for organizations to us Information Security Management System (ISMS) to effectively manage their information assets. ISMS starts with a set of policies that dictate the usage computer resources. It starts with the "21 essential security controls" of ISO 27001, which give the basic standard requirements of information security management. Our research is concerned with the assessment of the application of these controls to organizations. STOPE (Strategy, Technology Organization, People and Environment) methodologies were used to integrated domains as a framework for this assessment. The controls are mapped on these domains and subsequently refined into "246 simple and easily comprehended elements".

研究动机与目标

• 解决将抽象的 ISO 27001 控制措施转化为可操作、组织特定的安全实践的挑战。
• 通过将 21 项控制措施分解为更简单、更易理解的组成部分，提升 ISO 27001 的实际可用性。
• 利用 STOPE 方法论，将战略与技术领域整合为一个连贯的评估框架。
• 支持在多样化组织背景下，信息安全管理系统的有效实施与评估。

提出的方法

• 将 ISO 27001 的 21 项核心安全控制措施映射到 STOPE 框架的五个领域：战略、技术、组织、人员与环境。
• 通过领域特定分析与情境化处理，将每项控制措施细化为更小、具有实际操作意义的要素。
• 采用结构化、迭代式流程，将高层次控制措施转化为 246 个独立、易于理解的组件。
• 应用 STOPE 方法论，确保安全政策与组织战略、技术及运营结构保持一致。
• 在真实组织环境中验证细化后要素的清晰度、完整性与实际相关性。

实验结果

研究问题

• RQ1 如何有效将 ISO 27001 的 21 项安全控制措施分解为更简单、可操作的组织适用组件？
• RQ2 STOPE 框架在不同组织领域中如何提升信息安全管理系统的实际实施效果？
• RQ3 将高层次安全标准转化为实际安全实践过程中面临的主要挑战是什么？
• RQ4 细化过程如何提升信息安全政策对利益相关者的清晰度与可用性？
• RQ5 这 246 个细化后的要素在多大程度上支持信息安全管理系统的合规性评估的一致性与有效性？

主要发现

• 本研究成功地将 ISO 27001 的 21 项核心控制措施转化为 246 个独立、易于理解的安全要素。
• STOPE 框架实现了控制措施与组织领域之间的系统性映射，显著提升了情境相关性。
• 细化后的要素在战略、技术与组织职能层面均展现出更高的清晰度与实用性，便于实施。
• 该方法支持在多样化组织环境中实现更一致、可重复的 ISMS 合规性评估。
• 细化后的模型为 ISMS 的部署与审计提供了可扩展且可适应的坚实基础。