AI-Assisted Cybersecurity Policy Assessment: Evidence Grounding, Coverage Gaps, and Implications for Security Management
Indian Institute of Technology Kanpur（印度坎普尔理工学院）；International Institute of Information Technology Hyderabad（印度海得拉巴国际信息技术学院）
本文提出PROPARAG框架，用于自主评估组织网络安全政策是否符合安全控制标准，通过检索政策证据、评估覆盖范围并生成推荐，实现自动化合规性检查。
2026-10-01 cs.CR
Supporting Cybersecurity Risk Management for Medical Devices via the SECUMAN Ontology and Shapes
Faculty of Computer Science, TU Dresden（德累斯顿工业大学计算机学院）；Else Kröner Fresenius Center for Digital Health（Else Kröner Fresenius数字健康中心）；secunet Security Networks AG（secunet安全网络股份公司）
研究针对医疗设备网络安全风险管理文档维护难的问题，提出SECUMAN本体与形状，结合OWL和SHACL实现文档初验、可追溯性及集成，对齐相关标准与本体并扩展网络安全相关概念。
2026-08-04 cs.AI cs.CR
ICAR, a categorical framework to connect vulnerability, threat and asset managements
本文提出ICAR，一个基于范畴论的统一数学框架，用于整合NIST与MITRE网络安全本体，构建知识图谱以识别信息系统攻击与弱点结构，并定义十个查询辅助风险评估与防御组织。
2023-06-21 cs.CR math.CT
How Do Organizations Seek Cyber Assurance? Investigations on the Adoption of the Common Criteria and Beyond
网络保障是在网络攻击和其他突发事件的冲击下运营的能力，对于每天面临大量安全威胁的组织至关重要。组织通常采用多种策略来进行风险管理，以实现网络保证。利用网络安全标准和认证可以为供应商设计和制造安全的信息和通信技术（ICT）产品提供指导，并为消费者提供一定程度的产品安全功能保证。因此，采用安全标准和认证是风险管理和网络保证的有效策略。在这项工作中，我们首先调查了来自不同国家和行业组织的258名参与者，调查了网络安全标准和认证的采用情况。具体而言，我们通过设计的问卷确定采用共同标准的障碍。考虑到七个确定的采用障碍，我们提出了促进网络安全标准和认证的建议。此外，除了网络安全标准和认证外，我们还介绍了参与者制定的其他风险管理策略，为加强组织网络安全保证提供了网络安全方法的方向。
2022-03-05 cs.CR
Vulnerability Management Chaining: An Integrated Framework for Efficient Cybersecurity Risk Prioritization
Kagawa University（香川大学）
本文提出漏洞管理链框架，通过整合CVSS、EPSS和KEV三种方法，提升漏洞优先级管理效率，减少95%的紧急修复工作量。
2025-07-10 cs.CR
Data Driven Approaches to Cybersecurity Governance for Board Decision-Making -- A Systematic Review
本文系统综述了支持董事会网络安全治理决策的现有风险测量工具、指标与模型，归纳出七个概念主题，指出当前缺乏董事会可理解语言形式的决策支持信息，并提出后续可深入研究的理论与模型建议。
2023-11-29 cs.CR
Generative AI in Live Operations: Evidence of Productivity Gains in Cybersecurity and Endpoint Management
Microsoft Corporation（微软公司）
该研究衡量了生成式人工智能（GAI）工具采用与网络安全及终端管理四个指标的关联，发现GAI与指标的显著改进相关，是首批用实时运营观测数据研究此关系的成果之一。
2025-04-09 cs.CR cs.LG
Managing Security Evidence in Safety-Critical Organizations
本文通过六家公司的定性访谈研究，发现安全关键型组织在安全证据管理的成熟度上不足以满足认证要求，主要原因是教育差距和流程缺失，同时探讨了AI对证据管理的影响。
2024-04-26 cs.CR cs.SE
Mitigate or Fail: How Risk Management Shapes Cybersecurity Competency
Golden Gate University（金门大学）
研究探讨了网络安全专业能力中风险管理和威胁管理的结构性矛盾，发现培训暴露直接影响风险管理能力，但专业构念压缩为单一因素，且网络安全从业者在基础风险推理上无显著优势。
2026-04-23 cs.CR cs.CY econ.GN
The Road to Compliance: Executive Federal Agencies and the NIST Risk Management Framework
本报告通过文献综述、数据分析与机构案例研究，评估联邦行政机构实施 NIST RMF 的成效、挑战及自动化持续监控的作用，并提出合规改进建议。
2024-05-11 cs.CR
VulCPE: Context-Aware Cybersecurity Vulnerability Retrieval and Management
针对NVD等数据库中CPE数据不一致导致的漏洞误识别与检索不全问题，提出VulCPE框架，通过统一模式、实体识别等技术实现精准上下文感知漏洞管理，检索精度和覆盖率优于现有工具。
2025-05-20 cs.CR cs.DB cs.IR
Data Protection and Corporate Reputation Management in the Digital Era
I'M BRAND INSTITUTE Sp. z o.o.（I'M BRAND INSTITUTE 有限责任公司）；Nowy Sącz School of Business - National Louis University（新松奇商学院 - 国家路易斯大学）；University College of Professional Education in Wroclaw（弗罗茨瓦夫职业教育学院）；WSB Merito University in Toruń（托伦 WSB Merito 大学）；Pomeranian Higher School in Starogard Gdanski, Institute of Management, Economics and Logistics（什切青波美拉尼亚高等学院（斯塔尔加德格丹斯基）管理、经济与物流研究所）；GLOBAL HYDROGEN spółka akcyjna（GLOBAL HYDROGEN 股份公司）；WSB Merito University in Gdańsk, Faculty of Computer Science and New Technologies（格但斯克 WSB Merito 大学计算机科学与新技术学院）
本文研究了数字时代企业如何通过数据保护和网络安全管理维护声誉，发现尽管大多数企业有完善措施，但75%仍遭遇安全事件，凸显了网络安全治理与声誉管理的整合重要性。
2025-12-16 cs.CR cs.CY
Managing Differentiated Secure Connectivity using Intents
针对5G/6G移动网络差异化安全需求，本文提出基于意图的安全管理框架，利用扩展TMF意图安全本体形式化功能与非功能需求，并给出标准化路径。
2025-09-29 cs.CR
Adapting cybersecurity frameworks to manage frontier AI risks: A defense-in-depth approach
针对前沿AI风险的复杂威胁格局，研究梳理功能法、生命周期法、威胁导向法三类风险管理方法，建议开发者与政策制定者先依托现有框架采用功能法，同时搭建配套的生命周期模型与威胁数据库以完善深度防御体系。
2024-08-15 cs.CR cs.CY
The Human-Machine Identity Blur: A Unified Framework for Cybersecurity Risk Management in 2025
Independent Researcher New Jersey, USA
针对人机身份数量失衡、身份交叉带来的网络安全风险与现有身份管理的治理缺口，提出基于四项核心原则的统一身份治理框架，可显著降低安全事件并提升响应效率，同时给出实施路线与研究方向。
2025-03-24 cs.AI cs.CR
Safeguarding Skies: Airport Cybersecurity in the Digital Age
Rajamangala University of Technology Tawan-ok（大城皇家理工大学）
本文系统分析了机场面临的新兴威胁，结合现实案例和文献，首次将MITRE ATT&CK矩阵应用于机场安全风险评估，提出基于网络安全框架和零信任架构的防护策略，为航空行业应对复杂网络安全挑战提供指导。
2026-04-26 cs.CR
An Exploratory Study into Vulnerability Chaining Blindness Terminology and Viability
为了将链接盲视的概念和无法在漏洞管理计划（VMP）中将漏洞链接在一起的概念联系在一起，研究人员假设了新的术语。提出漏洞链盲目性术语是为了了解漏洞管理和可组合使用的漏洞背后的潜在问题。一般的问题是，由于漏洞优先级排序和补救的复杂性，IT和网络安全专业人员很难识别连锁漏洞（Abomhara & Køien，2015; Felmetsger等人，2010年）。具体的问题是，基于有限的专业知识和对漏洞链接的认识，无法链接和查看组合中的多个漏洞（Tang等人，2017年）。本研究的人群仅限于美国IT和安全领域内的一个焦点组。样本量包括一个由8-10名IT和网络安全专业人员组成的焦点小组。研究问题的重点是参与者是否意识到链接盲视或脆弱性链，以及脆弱性链盲视是否适用于描述这种现象。通过顶级、折衷和二级编码数据分析，出现了几个主题。这些主题包括网络安全计划的复杂性，漏洞管理的新概念，以及对未知的恐惧和安全与技术的结合。关键词：链接盲视，漏洞链接，漏洞链接盲视，漏洞管理
2022-03-19 cs.CR
Preparing for the Post Quantum Era: Quantum Ready Architecture for Security and Risk Management (QUASAR) -- A Strategic Framework for Cybersecurity
针对量子计算对传统密码系统的威胁，本文提出QUASAR框架，通过结构化过渡、分阶段实施和量化评估，帮助组织实现抗量子安全转型并保护敏感数据。
2025-05-07 cs.CR quant-ph
Integrative Approaches in Cybersecurity and AI
Illinois Institute of Technology（伊利诺伊理工学院）
本文综述网络安全、AI与数据管理的整合路径，分析协同趋势、挑战与未来方向，指出融合AI自动化、实时威胁检测和高级数据分析可构建更具韧性的安全架构。
2024-08-12 cs.AI cs.CR
Investigating Cybersecurity Issues In Active Traffic Management Systems
交通机构已经引入了主动交通管理（ATM）系统来管理经常性和非经常性的拥堵。ATM系统依赖于通过有线和/或无线网络实现的组件的互连性。不幸的是，这种支持ATM系统的连接性也提供了潜在的系统接入点，导致易受网络攻击。随着ATM系统开始集成物联网（IoT）设备，这一点变得更加明显。因此，需要严格评估ATM系统的网络攻击漏洞，并探索在网络攻击面前提供稳定性和优雅降级的设计概念。在这项研究中，为弗吉尼亚州北部I-66的1.5英里路段开发了一个原型ATM系统和一个实时网络攻击监控系统。监控系统通过将ATM系统产生的车道控制状态与监控系统认为最可能的车道控制状态进行比较来检测与ATM系统的预期操作的偏差。在两组状态之间存在任何偏差的情况下，监控系统显示由备用数据源生成的车道控制状态。在模拟实验中，原型ATM系统和网络攻击监测系统受到模拟的网络攻击。评估结果表明，当受到网络攻击时，与ATM系统相比，平均速度降低了15%，与基线情况相似。这表明ATM系统的有效性被网络攻击所否定。然而，监控系统使ATM系统恢复到预期的安全状态，并减少了网络攻击的负面影响。这些结果表明，有必要重新审视ATM系统的设计概念，作为一种手段，以防止网络攻击，除了传统的系统入侵预防方法。
2018-04-16 cs.CR
Pathwords: a user-friendly schema for common passwords management
许多基于计算机的认证模式是基于口令的。登录计算机、阅读电子邮件、访问Web服务器上的内容都是应用程序的示例，其中通常通过将用户提供的数据与应用程序已知的数据进行匹配来完成用户的识别。这种广泛的方法依赖于一些假设，这些假设的满足对于保证解决方案的鲁棒性至关重要。其中的一些假设，如有一个“安全”的通道来传输数据，或有健全的算法来检查数据的正确性，没有在本文中讨论。我们将集中讨论两个简单的问题：使用适当密码的问题和管理密码的问题。建议的解决方案，路径字，是一种方法，保证：1，在路径字的帮助下生成的密码是足够的（即，他们不容易猜测），2，管理路径字是更用户友好的管理密码和路径字是不太容易受到密码的典型问题。
2005-11-16 cs.CR
Gamification of IT for training in information systems management
本研究将CTF等IT竞赛融入信息系统管理课程以填补网络安全技能缺口，通过组建教学团队、开展适配性活动验证了软技能的重要作用，将持续优化培训的可及性与效果。
2024-05-21 cs.CR cs.CY
Attention-GAN for Anomaly Detection: A Cutting-Edge Approach to Cybersecurity Threat Management
Grand Canyon University（大峡谷大学）
本文提出融合注意力机制与GAN的Attention-GAN框架，通过生成多样逼真攻击数据增强异常检测，在KDD Cup和CICIDS2017上取得高准确率。
2024-02-27 cs.AI cs.CR
Cyber Risk Assessment for Capital Management
本文提出融合保险频率—严重程度模型与网络安全级联模型的双支柱框架，用于网络风险评估与资本配置，并通过案例和敏感性分析揭示预算约束下最优策略的关键影响因素。
2025-01-09 cs.CR math.OC q-fin.RM
Artificial Intelligence in Cybersecurity: Building Resilient Cyber Diplomacy Frameworks
本文研究如何将自动化与人工智能战略性地整合进美国网络外交，以提升决策效率、预测分析和实时响应能力，同时强调人类监督与治理框架以应对伦理和安全风险。
2024-11-17 cs.AI cs.CR cs.CY
Towards Principled Risk Scores for Space Cyber Risk Management
本文通过真实卫星攻击场景分析NRS的优劣，提出期望属性并给出形式化基线，以指导未来空间网络风险评分设计。
2024-02-04 cs.CR
Comparative Analysis of Cryptographic Key Management Systems
管理加密密钥对于企业来说可能是一项复杂的任务，并且在需要管理越来越多的用户和应用程序时特别难以扩展。为了解决可扩展性问题，典型的IT基础设施采用能够处理大量加密密钥并将其与授权请求相关联的密钥管理系统。鉴于其必要性，近年来出现了各种密钥管理系统，这些系统与特定组织的功能，质量，价格和安全需求保持一致。虽然这些解决方案的范围是受欢迎的，并表明了市场的不断扩大的性质，但它也使IT经理花费时间来确定适合其各自公司需求的系统。本文提供了一个密钥管理工具的列表，其中包括一组最低限度的功能，如安全数据库管理密钥的可用性，身份验证，授权和访问控制模型，限制和管理访问密钥，有效的日志操作与密钥，并存在一个API直接从应用程序代码访问功能。五个系统进行了全面比较，通过评估的属性有关的复杂性的实施，其普及性，相关的漏洞和技术性能的响应时间和网络使用。它们是Pinterest Knox、Hashicorp Vault、Square Keywhiz、OpenStack Barbican和Cyberark Conjur。在这五个系统中，Hachicorp Vault被确定为最适合小型企业的系统。
2021-09-21 cs.CR
Cyber Sentinel: Exploring Conversational Agents in Streamlining Security Tasks with GPT-4
本文提出 Cyber Sentinel 对话系统，通过链式 GPT-4 与提示工程解释网络威胁并执行安全响应，提升透明度与决策效率。
2023-09-28 cs.CR
RCVaR: an Economic Approach to Estimate Cyberattacks Costs using Data from Industry Reports
Communication Systems Group CSG, Department of Informatics IfI, University of Zurich UZH（苏黎世大学信息学系通信系统小组）
本文提出RCVaR方法，通过整合行业报告数据，量化企业网络攻击风险及成本，改进传统概率模拟方法，提升网络安全规划与风险管理效率。
2023-07-20 cs.CR cs.CY cs.IR
A Comparative Analysis of Vulnerability Management Tools: Evaluating Nessus, Acunetix, and Nikto for Risk Based Security Solutions
针对网络安全威胁态势演变下组织选择漏洞管理工具的挑战，本文全面比较分析Nessus、Acunetix和Nikto的检测准确率、CVSS风险评分等多维度指标，为基于风险的安全解决方案提供工具选择参考。
2024-11-28 cs.CR
Managing Cyber Risk, a Science in the Making
没有一天没有关于网络攻击的消息。恐惧蔓延开来，许多错误的想法流传开来。这项调查旨在展示如何将所有这些关于网络的不确定性转化为可管理的风险。在回顾了网络风险的主要特征之后，我们考虑了网络空间的三个层面：硬件层、软件层和心理认知层。我们问自己，这种风险与其他风险有何不同，建模如何解决和需要发展，以及网络风险管理的多方面是什么。这一广泛的探索描绘了一门正在形成的科学，并指出了建立一个有弹性的社会需要解决的问题。
2023-02-05 cs.CR
Substation Bill of Materials: A Novel Approach to Managing Supply Chain Cyber-risks on IEC 61850 Digital Substations
提出基于CycloneDX的变电站物料清单（Subs-BOM）模式，利用IEC 61850 SCD文件建模数字变电站的IED及其关系，以管理供应链网络风险，并验证其与Dependency-Track工具的兼容性及漏洞跟踪能力。
2025-03-25 cs.CR
The Data Protection Officer, an ubiquitous role nobody really knows
在所有网络安全和隐私工作者中，数据保护官（DPO）介于审计公司合规性的人员和担任管理顾问的人员之间。一个必须精通法律，管理和网络安全技术技能的人。我们描述了这个角色如何处理日常场景中的社会技术风险。
2022-12-15 cs.CR cs.CY
SCRM: An Actionable Framework for Space Cyber Risk Management
University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）；The Laboratory for Cybersecurity Dynamics（网络安全动力学实验室）
提出首个空间网络风险管理框架，系统建模基础设施、任务与攻击，提供风险分析与加固算法，经真实SATCOM攻击案例验证，可有效缓解级联效应与网络风险。
2026-10-06 cs.CR
Safeguarding the Future of Mobility: Cybersecurity Issues and Solutions for Infrastructure Associated with Electric Vehicle Charging
本文针对电动汽车充电站生态系统的网络安全问题，提出一种基于机器学习的入侵检测系统，旨在以低误报率和高准确率保护充电基础设施的安全。
2025-01-24 cs.CR
Towards Security Enhancement of Blockchain-based Supply Chain Management
现代系统的网络安全已经大大增加了工业和学术界的关注。在最近的时代，基于区块链的系统的流行传统上是在各个工业部门中出现的，特别是在供应链管理中，由于其精简的性质。这从供应链管理的角度揭示了质量方面的重要性。许多行业认识到质量体系对供应链管理和物流的重要性。区块链技术的出现在处理和跟踪供应链流程中的业务活动方面创造了一些潜在的创新。本文介绍了区块链，特别是用于处理供应链管理过程中创建，验证和检查数据的智能合约技术。然后，在供应链背景下触及区块链网络安全领域。由于智能合约处理不同位置的数据传输，因此安全保护应该足够强大，以保护数据和资产免受任何攻击。最后，论文考察了影响区块链上数据的主要安全攻击，并提出了解决方案
2022-09-11 cs.CR cs.CY
A Cybersecurity Risk Analysis Framework for Systems with Artificial Intelligence Components
Inst. Mathematical Sciences, ICMAT-CSIC（数学科学研究所（ICMAT-CSIC））；University of Vigo（维戈大学）；Inst. Information Technology, ITEFI-CSIC（信息技术研究所（ITEFI-CSIC））
针对欧盟AI法案等规范对评估含AI组件系统的要求，本文提出一个网络安全风险分析框架，并以自动驾驶系统为例进行说明。
2024-01-03 cs.AI cs.CR stat.AP
Decision-Making Frameworks for Network Resilience -- Managing and Mitigating Systemic (Cyber) Risk
Institute of Actuarial and Financial Mathematics & House of Insurance, Leibniz University Hannover, Germany（汉诺威莱布尼茨大学精算与金融数学研究所及保险之家）
本文提出了一种用于管理网络系统性风险的决策框架，通过可接受的网络配置、风险缓解干预措施和成本函数来实现系统性风险的管理与缓解。
2024-10-25 cs.CR cs.DM cs.NI
The Opportunity to Regulate Cybersecurity in the EU (and the World): Recommendations for the Cybersecurity Resilience Act
在大多数情况下，安全正在成为网络安全。这一点应在欧洲联盟提出并商定的《网络安全复原力法案》中得到体现。在本文中，我们定义了一系列的原则，这个未来的法案应该建立在一个结构，并认为为什么它应该尽可能广泛。它基于网络安全研究界长期以来的要求，以及构成明确的硬法律规则而不是软法律规则的内容。像网络安全这样的重要领域应该得到认真对待，以我们看待其他类型的关键基础设施和物理结构的方式对其进行监管，并且不妥协和合乎逻辑，以涵盖其无处不在的性质所带来的风险和混乱的可能性。我们发现，需要详细规范网络安全系统生命周期的原则，因为根据Kirkhoffs原则，需要明确说明正在使用什么技术，并摒弃技术解决主义的想法。此外，仔细分析风险总是必要的，但了解系统制造商何时以及如何可能失败或几乎失败也是必要的。我们通过以下原则做到这一点：事前和事后评估，安全和安全设计，拒绝模糊，消除不可靠性，系统确认，完全透明，向零信任安全模型的转变，网络安全弹性，强制循环风险管理，可靠性，危险分析和缓解或限制，责任，明确的报告制度，认证和标准的执行，安全和持续服务的授权验证。为此，我们建议该法案采用与GDPR类似的机构和机制，并建立强有力的国家机构来协调每个成员国的检查和执法，ENISA是最高协调机构。
2022-05-26 cs.CR cs.CY
An Agentic Multi-Agent Architecture for Cybersecurity Risk Management
Lead Software Engineer, BigCommerce（BigCommerce 首席软件工程师）；University at Buffalo, The State University of New York, Buffalo, NY, USA（纽约州立大学布法罗分校）；Software Engineer, Microsoft（微软软件工程师）；Senior Software Engineer, Amazon（亚马逊高级软件工程师）
本文提出一种六代理AI系统，通过共享持久上下文提升评估效率，实验证明其在风险评估中的有效性与效率。
2026-03-24 cs.AI cs.CR cs.SY
Organizational Adaptation to Generative AI in Cybersecurity
Independent Researcher, United States（美国独立研究者）
本研究通过分析2022至2025年的25项研究，采用定性方法探讨组织如何通过修改框架和混合操作流程适应生成式AI，发现成熟基础设施、监管压力和人力资本投资是成功的关键，同时指出攻防能力不平衡等挑战。
2026-05-29 cs.AI cs.CR cs.CY
An AI-Driven VM Threat Prediction Model for Multi-Risks Analysis-Based Cloud Cybersecurity
针对云虚拟化中VM面临的多类安全风险，本文提出MR-TPM，通过量化配置、管理及用户行为风险并利用机器学习分类器预测威胁，实验表明其可将安全威胁降低88.9%。
2023-08-18 cs.CR cs.DC
On managing vulnerabilities in AI/ML systems
Carnegie Mellon University（卡内基梅隆大学）；Software Engineering Institute（软件工程研究所）；CERT® Coordination Center（CERT®协调中心）
本文通过一个思想实验探讨了当前的漏洞管理范式如何适应包括机器学习系统：如果机器学习（ML）中的缺陷被分配了通用漏洞和暴露（CVE）标识符（CVE-ID）会怎么样？我们考虑ML算法和模型对象。假设场景的结构围绕着探索漏洞管理的六个领域的变化：发现，报告接收，分析，协调，披露和响应。虽然算法缺陷在学术研究社区中是众所周知的，但在这个研究社区和部署和管理使用ML的系统的操作社区之间没有明显的明确沟通。思想实验确定了CVE-ID可以在这两个社区之间建立一些有用的通信线路的一些方法。特别是，它将开始向研究界介绍业务安全概念，这似乎是现有努力留下的一个空白。
2021-01-22 cs.AI cs.CR cs.LG
Dashboard Task Monitor for Managing ATLAS User Analysis on the Grid
在全球大型强子对撞机计算网格（WLCG）基础设施上组织分布式用户分析是大型强子对撞机计算活动中最具挑战性的任务之一。实验仪表板提供了一种解决方案，不仅可以监控，还可以通过Web界面管理（删除、重新提交）用户任务和作业。ATLAS仪表板任务监视器为分析用户提供了一个独立于操作系统和网格环境的工具。本文描述了应用程序的功能及其实施细节，特别是认证，授权和审计的管理操作。
2019-05-30 cs.CR physics.data-an
To Patch or Not to Patch: Motivations, Challenges, and Implications for Cybersecurity
School of Computing, University of Kent（肯特大学计算机学院）
本文综合研究文献，分析组织及IT/安全团队选择打补丁或不打补丁的动机与抑制因素，揭示日常平衡挑战，并讨论其对网络安全的启示与未来方向。
2025-02-24 cs.AI cs.CR cs.CY
