[论文解读] Security Incident Recognition and Reporting (SIRR): An Industrial Perspective

George Grispos, William Bradley Glisson+3 more|arXiv (Cornell University)|Jun 21, 2017

Network Security and Intrusion Detection被引用 10

一句话总结

本文通过针对全球财富500强金融企业内部的电子调查，研究了员工对安全事件的认知与报告情况。研究发现，员工在事件识别与报告方面存在显著差距，为提升组织安全态势提供了基础性洞见及实用框架，重点在于改善员工对安全事件的认知与响应能力。

ABSTRACT

Reports and press releases highlight that security incidents continue to plague organizations. While researchers and practitioners' alike endeavor to identify and implement realistic security solutions to prevent incidents from occurring, the ability to initially identify a security incident is paramount when researching a security incident lifecycle. Hence, this research investigates the ability of employees in a Global Fortune 500 financial organization, through internal electronic surveys, to recognize and report security incidents to pursue a more holistic security posture. The research contribution is an initial insight into security incident perceptions by employees in the financial sector as well as serving as an initial guide for future security incident recognition and reporting initiatives.

研究动机与目标

• 评估大型金融组织中员工识别和报告安全事件的能力。
• 识别员工对何为安全事件的认知与理解方面的差距。
• 评估现有内部报告机制及员工参与事件报告的有效性。
• 为改进工业环境中安全事件的识别与报告流程提供可操作的洞见。
• 为未来聚焦于安全事件管理中人为因素的研究与举措奠定基础。

提出的方法

• 针对全球财富500强金融企业中不同岗位的员工开展内部电子调查。
• 设计调查问题以模拟真实的安全事件情景，测试员工的识别与报告行为。
• 收集员工对事件响应的认知水平、报告意愿及责任感知的数据。
• 分析调查结果，识别员工在事件识别、报告行为及报告障碍方面的模式。
• 结合定性与定量分析，评估实际检测与报告能力和感知能力之间的差距。
• 基于员工洞察与组织背景，制定初步的事件识别与报告框架。

实验结果

研究问题

• RQ1 在呈现真实情景时，金融组织中的员工在多大程度上能正确识别安全事件？
• RQ2 哪些因素影响员工决定报告或不报告潜在安全事件？
• RQ3 员工对安全事件的认知与组织的定义及阈值相比如何？
• RQ4 在大型金融机构中，导致及时准确报告的主要障碍是什么？
• RQ5 如何改进内部报告系统以提升员工参与度与事件检测准确性？

主要发现

• 相当大比例的员工在面对真实情景时未能识别出常见的安全事件。
• 许多员工因不确定事件是否构成安全事件而未报告。
• 员工常常低估潜在安全事件的严重性或影响，导致报告延迟或遗漏。
• 员工在报告程序与升级流程方面普遍存在认知模糊。
• 接受过更高水平安全培训的员工表现出更好的识别与报告行为，表明培训与意识之间存在正相关关系。
• 研究揭示了组织对事件的定义与员工感知之间存在关键差距，凸显了改进沟通与培训的必要性。