ISO 27002の例に基づいたオントロジーに基づく情報セキュリティコンプライアンスの決定と制御選択

目的 本論文の目的は、情報セキュリティコントロールの記述を正式化し、情報セキュリティコンプライアンスチェックプロセスの自動化レベルを高める意思決定支援システムを提供することです。著者は、ISO 27002の情報セキュリティコントロールにこの手法を適用し、セマンティック意思決定支援システムを開発することで、最先端の技術を進化させました。デザイン／方法論／アプローチ 本研究は、デザインサイエンスの原則に基づいて実施されました。正式化された情報セキュリティコントロールは、実世界の環境で専門家およびエンドユーザーによって評価されたコンプライアンス／リスク管理意思決定支援システムに使用されました。結果 情報セキュリティ標準へのコンプライアンスを取得する方法はいくつかあります。たとえば、組織の保護ニーズに応じて、さまざまな品質の対策を実施することです。著者は、形式的なコントロール記述を入力として使用し、コストとリスク削減の可能性に基づいて最も適切な対策戦略を特定する意思決定者を支援する意思決定支援メカニズムを開発しました。独自性／価値 ISO 27002のコントロールをセキュリティオントロジーに正式化しマッピングすることで、著者は形式的なコントロール記述とモデル化された環境に基づいて、コンプライアンス状況と組織全体のリスクレベルを自動的に判断することが可能になりました。これには、組織構造、ITインフラ、利用可能な対策などが含まれます。さらに、コンプライアンスを確保し、リスクを許容可能なレベルに減少させるために不足している対策を自動的に特定することを可能にしました。