Supporting Cybersecurity Risk Management for Medical Devices via the SECUMAN Ontology and Shapes
Faculty of Computer Science, TU Dresden（德累斯顿工业大学计算机学院）；Else Kröner Fresenius Center for Digital Health（Else Kröner Fresenius数字健康中心）；secunet Security Networks AG（secunet安全网络股份公司）
研究针对医疗设备网络安全风险管理文档维护难的问题，提出SECUMAN本体与形状，结合OWL和SHACL实现文档初验、可追溯性及集成，对齐相关标准与本体并扩展网络安全相关概念。
2026-08-04 cs.AI cs.CR
An Integrated Conceptual Model for Information System Security Risk Management and Enterprise Architecture Management based on TOGAF, ArchiMate, IAF and DoDAF
风险管理是当今任何希望处理信息系统（IS）安全的组织的主要指导工具。然而，信息系统安全风险管理（ISSRM）仍然很难建立和维护，主要是在复杂和相互关联的信息系统的多法规的背景下。我们声称，与企业架构管理（EAM）的连接有助于处理这些问题。更好地集成这两个领域的第一步是定义一个集成的EAM-ISSRM概念模型。在定义这样一个集成的EAM-ISSRM概念所遵循的研究方法的步骤中，本技术报告提出了用于建模EA（基于ArchiMate，TOGAF，IAF和Docker）的概念与ISSRM领域模型的概念之间的概念对齐的整个输出（通过对齐表）。
2017-01-06 cs.CR
From Cyber Security Incident Management to Cyber Security Crisis Management in the European Union
本文分析欧盟新网络安全法及政策文件，明确欧盟对网络安全危机的定义、强化的事件强制报告要求，指出欧盟层面危机管理运作仍不明确，拓展了网络安全事件管理研究领域并为后续研究铺路。
2025-10-06 cs.CR cs.CY
Poster: Rethinking Security in LLM Code Generation through Real-World Risk Scenarios
Zhejiang University（浙江大学）；University College London（伦敦大学学院）；MetaX Integrated Circuit Co., Ltd.（元芯集成电路有限公司）；Artificial Intelligence Institute, CAICT（中国信息通信研究院人工智能研究所）
研究LLM代码生成的安全行为，识别出三种风险场景，构建含2700个测试用例的基准评估安全性，发现先进LLMs平均漏洞率超56%，证明安全感知提示可大幅降低风险。
2026-07-28 cs.AI cs.CR
Design and Implementation of A Network Security Management System
近年来出现的网络蠕虫和攻击具有分布性，可以在很短的时间内在全球范围内传播。迫切需要跨网络的安全管理，共同防御网络范围内的攻击，提高安全管理效率。提出了一种分层分布式网络安全管理系统（HD-NSMS），它可以集中管理跨网络的安全。首先从宏观和微观两个方面对系统进行了描述;然后讨论了构建HD-NSMS时的三个关键问题：设备模型、告警机制和应急响应机制;最后描述了HD-NSMS的实现。本文的工作来源于一个实际的网络安全管理系统，对网络安全管理系统的实现具有一定的参考价值。
2016-09-03 cs.CR cs.NI
Computer Application Research based on Chinese Human Resources and Network Information Security Technology Management and Analysis In Chinese Universities
该研究聚焦中国高校计算机网络安全与人力资源管理现状，通过访谈两家头部网安公司管理人员并分析定性数据，挖掘关键结论，凸显数字基础设施防护的重要性。
2024-11-01 cs.CR
The Identity Crisis. Security, Privacy and Usability Issues in Identity Management
本文研究了当前的“身份危机”所造成的实质性的安全性，隐私性和可用性的缺陷，在现有的系统中遇到的身份管理。其中一些问题是众所周知的，而另一些问题则不太为人所知。本文将它们集中在一个单一的，全面的研究，并提出建议，以解决或减轻问题。如果不进行大量的研究和开发工作，其中一些问题是无法解决的。
2011-01-02 cs.CR
Proposed platform for improving grid security by trust management system
随着网格系统应用的不断增加，网格系统的安全风险也在不断增加.近年来，信任管理系统被认为是提高网格系统安全性的一个重要途径。为了提高网格的安全性，本文提出了一种新的两级信任管理系统。该平台的优点是在网格系统中增加新的域，选择一个与用户请求最匹配的服务提供者，并将域的安全属性作为计算信任值的重要因素。
2009-11-03 cs.CR
Information Security Policy: A Management Practice Perspective
在信息安全管理（ISM）领域中，对策略的研究已经投入了大量的研究工作。然而，我们对ISM文献的回顾发现了四个关键的缺陷，这些缺陷降低了指导组织实施政策管理实践的实用性。本文全面概述了信息安全策略的管理实践，并开发了一个基于实践的模型，以解决上述四个缺陷。该模型就安全管理人员必须为安全政策制定开展的活动向从业人员提供了全面指导，并允许从业人员将其当前做法与模型建议的最佳做法进行基准测试。该模型有助于理论映射现有的信息安全政策研究的定义管理实践。
2016-05-28 cs.CR cs.CY
Effective Measurement Requirements for Network Security Management
技术安全度量提供了确保用于保护信息系统的技术安全控制或技术设备/对象的有效性的度量。然而，缺乏理解和方法来开发技术安全度量可能会导致无法实现的安全控制目标和实施的不称职。本文提出了一种技术安全度量模型来衡量网络安全管理的有效性。衡量标准是基于（1）防火墙、入侵检测防御系统（IDPS）、交换机、无线接入点、无线控制器和网络架构等网络安全控制;以及（2）安全超文本传输协议（HTTPS）和虚拟专用网络（VPN）等网络服务的安全性能的有效性。我们使用Goal-Question-Metric（GQM）范式[1]，它将度量目标与度量问题联系起来，并生成可以根据需求轻松解释的度量。这种研究方法的结果是引入网络安全管理度量作为技术安全度量（TSM）模型的属性。显然，建议的TSM模型可以为组织提供指导，以遵守ISO/IEC 27001信息安全管理体系（ISMS）标准的有效测量要求。建议的模型将提供全面的测量和指导，以支持ISO/IEC 27004 ISMS测量模板的使用。
2014-05-21 cs.CR
A Standardized Ontology for Intent-Based Security Management in Autonomous Networks
Ericsson（爱立信）
针对5G-Advanced和6G云原生电信架构的复杂性，提出基于TM Forum TR292I安全本体v4.0.0的声明式自保护框架，利用描述逻辑和自动图推理在闭环执行管道中动态中和实时威胁，并通过分布式拒绝服务攻击缓解案例验证了模型驱动架构的有效性。
2026-06-16 cs.CR
Teaching Information Security Management Using an Incident of Intellectual Property Leakage
基于案例的学习是一种在理论与实践之间建立对话的强有力的教学方法。CBL特别适合执行学习，因为它激发了批判性的讨论，并得出了相关的经验。在本文中，我们使用一个真实的案例来教信息安全管理的学生在管理信息系统。真实世界的案例在一份法律起诉书中描述，T-mobile USA Inc诉Huawei Device USA Inc。和华为技术有限公司，指控其窃取知识产权，违反保密和披露敏感信息的合同。该事件场景很有趣，因为它涉及到一项具有数字和物理组件的业务资产，该资产已通过内部人员促成的非常规网络物理攻击而受到损害。这一情景引发了学生们关于安全事件的范围和定义、安全部门的作用和结构、基于合规性的安全方法的效用以及现代安全战略中威胁情报使用不足的有趣辩论。
2021-03-27 cs.CR
Blockchain-based Application Security Risks: A Systematic Literature Review
尽管由于分布式账本的性质，基于区块链的应用程序被认为不太容易受到攻击，但它们并没有成为保护信息免受不同安全风险的银弹。在本文中，我们对引入区块链技术可以减轻的安全风险以及在基于区块链的应用程序中识别的安全风险进行了文献综述。此外，我们强调了观察到这些安全风险的应用程序和技术领域。这项研究的结果可以被视为实施基于区块链的应用程序时安全风险的初步清单。
2019-12-19 cs.CR
Securing Big Data systems, A cybersecurity management discussion
本文探讨了大数据系统网络安全管理的基本领域。大数据平台的复杂性源于它是一个相互关联的非标准化系统的集合，这些系统相互交互以处理大型数据集。这种复杂性增加了忽视关键网络安全管理实践的可能性。本文讨论了大数据系统各个部分的各种安全管理。这包括安全措施、标准和方法。主要目标是突出安全管理的基本部分，这些部分预计将在大数据系统中顺利实施。
2019-12-17 cs.CR
Identity Management on Blockchain -- Privacy and Security Aspects
在过去的几年里，区块链上的身份管理解决方案被提出来作为数字身份管理问题的可能解决方案。然而，它们仍处于早期阶段，需要进行进一步的研究，以确定身份系统是否可以从区块链的使用中受益。出于这一动机，我们调查了区块链上的身份管理解决方案，旨在让读者概述当前状况，并更好地了解使用此类解决方案的利弊。我们对十个最知名的实现进行了分析，重点关注隐私和安全方面。最后，我们确定了现有的挑战，并提出了新的研究方向。
2020-04-27 cs.CR
A Comparative Analysis of Vulnerability Management Tools: Evaluating Nessus, Acunetix, and Nikto for Risk Based Security Solutions
针对网络安全威胁态势演变下组织选择漏洞管理工具的挑战，本文全面比较分析Nessus、Acunetix和Nikto的检测准确率、CVSS风险评分等多维度指标，为基于风险的安全解决方案提供工具选择参考。
2024-11-28 cs.CR
The Internet of Things: New Interoperability, Management and Security Challenges
物联网（IoT）为物理空间中的每一个物体带来了连接。它将连接扩展到日常物品。从联网的冰箱、汽车和城市，物联网在许多领域创造了机会。然而，这种连通性的增加带来了许多突出的挑战。本文对影响物联网广泛采用的一些主要问题进行了调查。特别是，它专注于物联网中的互操作性，管理，安全和隐私问题。得出的结论是，有必要开发一种多方面的技术方法来实现物联网的安全、管理和隐私。
2016-04-17 cs.CR cs.NI
Proactive Software Supply Chain Risk Management Framework (P-SSCRM)
提出 P SSCRM 框架，基于九项行业实践与十份政府及行业资料，为组织评估、量化和建设软件供应链风险管理能力提供统一模型。
2025-05-15 cs.CR
Enhancing Strategic Information Security Management in Organizations through Information Warfare Practices
在这篇简短的论文中，我们认为，为了打击APT，组织需要从传统的以预防为中心的方法转向以响应为中心的方法。本研究以军事研究中的信息战争范式为基础，运用动态能力理论，探讨信息战争能力在企业领域的适用性。我们提出了一个研究框架，认为传统的预防为中心的响应能力，如事件响应能力和IW为中心的安全能力，可以集成到IW启用动态响应能力，提高企业的安全性能。
2021-04-14 cs.CR
Performance Comparison of Security Credential Management Systems for V2X: North American Standard IEEE 1609.2.1 and European Standard ETSI TS 102 941
本文对比北美IEEE 1609.2.1与欧洲ETSI TS 102 941两种V2X SCMS标准的PKI架构、证书流程和消息格式，并通过理论分析与实际实现评估其性能，为后续发展提供建议。
2024-12-17 cs.CR
Android Multi-Level System Permission Management Approach
随着Android平台所占市场份额的扩大，安全问题（尤其是应用安全）成为研究者关注的焦点。事实上，现有的方法缺乏在没有root权限的情况下管理应用程序权限的能力。提出了一种基于安全策略的Android应用权限动态管理机制。首先通过安全策略对权限进行描述，然后在Android框架层实现权限检查代码和请求评估算法。实验结果表明，该方法成功地实现了Android应用的权限管理，系统开销小，是一种有效的Android应用权限管理方法。
2017-12-06 cs.CR
A Recursive PLS (Partial Least Squares) based Approach for Enterprise Threat Management
企业威胁管理的大多数现有解决方案都是预防性方法，规定了防止违反策略的方法，并取得了不同程度的成功。在本文中，我们考虑的补充情况下，一些安全违规行为已经发生，或安全威胁，或漏洞已被报告，安全管理员需要生成这些安全事件的最佳响应。我们提出了一个原则性的方法来研究和模拟人类的专业知识，在应对由于这些安全事件的紧急威胁。一个递归的偏最小二乘自适应学习模型定义使用的安全事件的因子分析，连同用于估计的安全管理员使用的全局上下文相关的语义信息的效果的方法。该模型在理论上是最优的，在本质上是递归的，以处理不断生成的安全事件集。我们讨论了潜在的挑战和方式，该模型可以在集中式与分散式，实时与批处理模式下操作。
2018-06-23 cs.AI cs.CR cs.LG
SecFlow: Adaptive Security-Aware Workflow Management System in Multi-Cloud Environments
针对云工作流执行阶段安全保障不足的问题，提出 SecFlow 架构，覆盖全生命周期并集成安全建模、服务选择、违规检测与自适应响应。
2023-07-11 cs.CR cs.SE
Integrated Safety and Security Risk Assessment Methods: A Survey of Key Characteristics and Applications
在过去的几年里，我们已经看到了几起危及系统安全的安全事件，其中一些对人们造成了身体伤害。与此同时，各种风险评估方法已被开发出来，这些方法将安全和安保相结合，可以通过实施适当的风险处理计划来帮助应对相应的威胁。然而，缺乏对这些方法的总体概述，系统化这些方法的特征。本文通过系统的文献综述，确定了7种安全性和安全性综合风险评估方法。我们根据5个不同的标准分析这些方法，并确定关键特征和应用。一个关键成果是区分了安全和安保的顺序整合和非顺序整合，这与评估安全和安保风险的顺序有关。本研究为今后开发更有效的综合安全保障风险评估方法提供了基础。
2017-07-07 cs.CR
Information Security Management of Web Portals Based on Joomla CMS
信息是所有组织的关键资产，可以以多种形式存在。它可以打印或写在纸上，以电子方式存储，通过邮件或电子方式传输，在电影中显示，或在对话中说出。在当今竞争激烈的商业环境中，这些信息不断受到来自许多来源的威胁，这些来源可以是内部的、外部的、意外的或恶意的。Joomla是一个非常流行的内容管理系统（CMS），用于网页维护。这个高度通用的软件已经在大型企业门户网站和简单的网页（如博客）中找到了自己。这种流行增加了其对潜在攻击的脆弱性，因此需要适当的安全管理。ISO（国际标准化组织）和IEC（国际电工委员会）创建了一系列标准，旨在为建立、实施、运行、监控、审查、维护和改进信息安全管理体系（ISMS）提供一个模型。本文展示了如何在ISO/IEC 27000系列标准中设置的原则可以用来提高基于Joomla的门户网站的安全性。
2014-04-14 cs.CR
Survey on security issues in file management in cloud computing environment
本文综述了云计算环境中文件管理面临的安全问题，重点分析可用于云内部及跨云安全文件传输的多种协议，并探讨各协议的实际影响。
2015-06-20 cs.CR
Hagenberg Risk Management Process (Part 1): Multidimensional Polar Heatmaps for Context-Sensitive Risk Analysis
University of Applied Sciences Upper Austria（奥地利上奥地利应用科学大学）
本文提出多维极坐标热图用于复杂基础设施的情境敏感风险分析，以提升风险评估的系统性和准确性。
2026-01-12 cs.CR
A Framework for Cloud Security Risk Management Based on the Business Objectives of Organizations
由于将敏感数据外包给第三方，安全性被认为是云计算（CC）的首要风险之一。此外，云模型的复杂性导致必须一致地管理大量异构的安全控制。因此，无论云模型的安全性有多强，企业仍然会因对CC缺乏信任而遭受损失，并且仍然不确定其安全风险后果。传统的风险管理框架不考虑CC安全风险对组织业务目标的影响。在本文中，我们提出了一个新的云安全风险管理框架（CSRMF），帮助采用CC的组织识别，分析，评估和减轻其云平台中的安全风险。与传统的风险管理框架不同，CSRMF由组织的业务目标驱动。它允许任何采用CC的组织了解云安全风险，并根据高级业务目标调整其低级管理决策。本质上，它旨在解决特定于云的安全风险对给定组织中业务目标的影响。因此，组织能够对采用CC技术进行成本价值分析，并对云技术获得足够的信心。另一方面，云服务提供商（CSP）能够通过管理与云相关的风险来提高生产力和盈利能力。已通过用例场景验证和评估了拟议的框架。
2020-01-13 cs.CR cs.NI
AI security and cyber risk in IoT systems
University of Oxford（牛津大学）；Huddersfield University（哈德斯菲尔德大学）；University of Warwick（华威大学）；University of Kent（肯特大学）；University College London（伦敦大学学院）；Keele University（基尔大学）
本文提出了一种针对当前数据策略挑战量身定制的依赖模型，为网络安全社区提供网络风险估计、评估及通用风险影响评估的建议。
2024-10-11 cs.AI cs.CR cs.SE
Layered Security Guidance for Data Asset Management in Additive Manufacturing
本文提出基于NIST CSF的分层风险方法，结合OSCAL将AM专属数据资产管理安全指南与现有IT/OT指南整合，弥补增材制造安全规范不足。
2023-09-28 cs.CR
Security Risk Analysis Methodologies for Automotive Systems
本文总结 ISO/SAE 21434 标准中的风险分析原则，并通过具体用例比较不同安全分析方法，以帮助 OEM 实现标准合规。
2023-07-05 cs.CR
AI Risk-Management Standards Profile for General-Purpose AI (GPAI) and Foundation Models
本文针对GPAI与基础模型提供风险管理实践与控制措施，基于NIST和ISO/IEC标准，帮助开发者识别、分析和缓解风险。
2025-06-30 cs.AI cs.CR cs.CY
Co-simulation for Cyber Security Analysis: Data Attacks against Energy Management System
从整体角度评估网络物理电力系统对数据攻击的脆弱性具有挑战性。为了支持除解析分析之外的漏洞评估，需要开发合适的安全测试平台。在本文中，我们分析了能源管理系统（EMS）对数据攻击的网络安全。首先，我们扩展了我们的分析框架，其特征在于数据攻击的优化问题的目标指定为安全指标和相应的通信网络属性的约束。其次，我们建立了一个联合仿真的形式-耦合电力系统仿真器DIgSILENT PowerFactory与通信网络仿真器OMNeT++和Matlab的EMS应用程序（状态估计，最优潮流）的平台。最后，利用该框架在基于协同仿真的平台上对一个电网测试案例进行了攻击仿真。研究结果表明，如何脆弱的EMS数据攻击，以及如何协同仿真可以帮助评估脆弱性。
2017-08-28 cs.CR
Dynamic Information Security Management Capability: Strategising for Organisational Performance
网络安全攻击的频率、影响、后果和复杂性日益增加，正成为企业董事会和执行管理层的战略关注点。因此，除了关注生产力和性能外，组织还优先考虑信息安全管理（ISM）。然而，研究表明，很少或根本没有概念化的动态ISM能力及其与组织绩效的联系。在这项研究中，我们着手1）定义和描述一个组织层面的动态ISM能力，2）开发一个战略模型，链接资源与这种动态能力，然后3）实证证明如何动态ISM能力有助于企业绩效。通过借鉴资源基础理论（RBT）和动态能力观（DCV），我们已经开发了动态ISM能力模型，以解决所发现的差距。在我们开展这项研究时，我们将实证检验这个模型，以证明ISM能力和组织绩效之间的因果关系。
2021-04-14 cs.CR
A Security Risk Assessment Framework for AI-Powered Development Tools
College of Computer and Information Sciences, Imam Mohammad Ibn Saud Islamic University (IMSIU)（伊玛目穆罕默德·本·沙特伊斯兰大学计算机与信息科学学院）
本文提出安全风险评估框架SRF，结合威胁建模与定量分析，评估AI生成代码风险，发现风险因任务类型而异，实现可重复评估。
2026-09-17 cs.CR
Got Ya! -- Sensors for Identity Management Specific Security Situational Awareness
针对身份管理系统中难以区分合法与恶意操作的安全威胁，提出了一种专门针对身份管理的安全态势感知方法，关注协议特定特征与身份相关来源，并以OAuth协议为例进行了概念验证实现。
2025-03-06 cs.CR
UAV Traffic Management : A Survey On Communication Security
无人机系统（UAS）有着广泛的应用，其能力的发展也在不断发展。无人机（UAV）执行的许多任务需要在公共空域飞行。这需要非常高的安全标准，类似于商业民用航空的强制性标准。安全的无人机交通管理（UTM）需要在飞机、飞行员和UTM系统之间建立多条通信链路。这些通信链路的完整性对行动的安全至关重要。在这些链路中的每一个上还必须满足若干安全要求。不幸的是，目前在互联网上使用的加密标准通常不适合UAS，因为它们的资源有限和动态特性。本调查讨论了每个通信链路所需的安全性，以实现安全的流量管理。研究工作侧重于使用密码原语的通信链路的安全性，然后介绍和讨论。为无人机或其他受限系统开发的认证协议进行了比较和评估，作为UAS安全的解决方案。对称替代AES算法也提出。工作，以确保当前的UTM协议，如ADS-B和RemoteID进行了讨论。分析表明，需要开发一个完整的安全架构，能够提供外部系统（其他飞机，UTM系统.）的认证和完整性。
2022-11-10 cs.CR
Detecting and Characterizing Propagation of Security Weaknesses in Puppet-based Infrastructure Management
尽管对于自动管理计算基础设施是有益的，但Puppet清单容易受到安全弱点的影响，例如，硬编码的秘密和使用弱密码算法。因此，需要充分缓解Puppet清单中的安全漏洞，以保护使用Puppet清单管理的计算基础设施。对安全漏洞如何传播和影响基于Puppet的基础设施管理进行表征，可以告知从业人员检测到的安全漏洞的相关性，并帮助他们采取必要的缓解措施。为此，我们对从336个开源存储库中挖掘的17，629个Puppet清单进行了实证研究。我们构造了用于木偶表现形式的污点跟踪器（TaintPup），与最先进的安全静态分析工具相比，我们观察到的精度高出2.4倍。TaintPup利用特定于Puppet的信息流分析来描述安全漏洞的传播。从我们的实证研究中，我们观察到安全漏洞传播到4，457个资源中，即用于管理基础设施的Puppet特定代码元素。安全漏洞的单个实例可以传播到多达35个不同的资源。我们观察到安全漏洞传播到7类资源中，其中包括用于管理持续集成服务器和网络控制器的资源。根据我们对24名从业人员的调查，安全漏洞传播到数据存储相关资源中被评为对基于Puppet的基础设施管理产生最严重影响。
2022-08-02 cs.CR cs.SE
Why 2 times 2 ain't necessarily 4 - at least not in IT security risk assessment
最近，IEC 62443-3-2草案提出了一种半定量IT安全风险评估的新方法。从嵌入整体标准系列、语义和方法论等角度对这一方法进行了分析。结果，暴露出该方法的几个系统性缺陷。作为前进的方向，提出了一种替代方法，将半定量风险评估以及威胁和风险分析结合在一起。
2016-03-11 cs.CR
Teaching Information Security Management in Postgraduate Tertiary Education: The Case of Horizon Automotive Industries
基于真实组织故事的教学案例是讲故事的有力手段。这些案例与现实世界的情况非常相似，可以实现教学目标，因为作家可以使用他们的创造性许可证来制作一个故事情节，更好地关注他们想要在教学中解决的具体原则，概念和挑战。该方法鼓励批判性讨论，从学生中汲取相关经验，鼓励对公认的实践提出质疑，并在理论与实践之间建立对话。我们提出的地平线，一个公司的案例研究，遭受了灾难性的知识产权（IP）盗窃事件。该案例研究的目的是向澳大利亚墨尔本大学的信息系统和信息技术专业的研究生教授战略、风险、政策和培训等关键领域的信息安全管理（ISM）原则。
2021-03-27 cs.CR
Adaptive Security and Trust Management for Autonomous Messaging Systems
随着社会对信息通信系统的依赖性越来越高，对可靠、可信、健壮和安全的自适应系统的需求变得越来越迫切。现代自主的面向消息的中间件平台有严格的要求，自愈，适应，进化，容错，安全性和主动漏洞评估，特别是当系统的内部工作模型和环境的影响，系统在运行时是不确定的。在本文中，我们提出了一个自适应的和不断发展的安全方法，自适应的信任管理方法，自治消息中间件系统。这种方法在运行时面对不断变化的威胁时学习、预测、发展和适应不断变化的环境。该方法结合了自适应的基于风险的安全性，基于信任的安全性和基于安全的信任：由此产生的超加性协同作用，提高和增加安全的强度和系统的信任度。该方法还集成了不同的度量、评估工具和观察工具，以改进和增加系统可信度的可评估性和可验证性。通过工业案例研究和最终用户评估来验证结果。
2022-03-04 cs.CR cs.DC
Information Security Management in High Quality IS Journals: A Review and Research Agenda
在数字时代，保护信息资源对组织的生存至关重要。信息安全管理（ISM）是一种保护功能，可在复杂且不断变化的安全威胁环境中维护组织中信息资源的机密性、完整性和可用性。本文分析了30年来（截至2017年底）高质量IS期刊中的ISM研究主题、方法和理论。虽然我们的审查发现，只有不到1%的论文是在ISM领域，有一个在ISM出版物的数量急剧增加，以及在过去十年中新出现的主题。此外，过去主观论证论文的趋势已经逆转，转而支持经过经验验证的研究。我们对研究方法和途径的分析发现，ISM研究以一次性调查为主，而不是案例研究和行动研究。研究结果表明，尽管ISM研究多年来已经改善了其实证支持，但它仍然相对脱离组织实践。
2022-08-27 cs.CR
Possibilistic Information Flow Control for Workflow Management Systems
在工作流程和业务流程中，往往对数据（即保密性和完整性）和流程（如职责分离）都有安全要求。存在用于指定工作流和相关安全要求的图形符号。我们提出了一种方法，正式验证工作流满足这样的安全要求。为了这个目的，我们定义的语义工作流作为一个状态事件系统和正式的安全属性在一个基于跟踪的方式，即在一个抽象的层次上，而不依赖于细节的执行机制，如基于角色的访问控制（RBAC）。这个正式的模型，然后让我们建立在众所周知的验证技术的信息流控制。我们描述了如何组成的可能性信息流的验证方法，可以适应验证一个规范的分布式工作流管理系统满足安全要求的数据和过程。
2014-04-08 cs.CR
Security Analysis and Threat Modeling of Research Management Applications [Extended Version]
本文以 REDCap 为例，结合架构与数据流分析及 MITRE ATT&CK、STRIDE 方法评估科研管理应用的安全威胁，并提出兼顾安全性与可用性的加固建议。
2025-10-03 cs.CR
Cybersecurity Cost of Quality: Managing the Costs of Cybersecurity Risk Management
目前还没有标准来衡量和控制与实施网络安全计划相关的成本。为了推进这方面的研究和实践，我们使用众所周知的质量成本概念和美国国家标准与技术研究院（NIST）为响应2014年《网络安全增强法案》而制定的网络安全框架内的框架核心开发了一个映射。已经使用NIST CSF进行网络安全风险管理的组织可以轻松采用此映射来规划、管理和持续改进网络安全操作。如果一个组织没有使用NIST CSF，这种映射仍然可以用于将与网络安全运营和风险管理相关的会计系统中的元素与质量成本模型联系起来。
2017-07-09 cs.CR
Cyber Risk Assessment for Capital Management
本文提出融合保险频率—严重程度模型与网络安全级联模型的双支柱框架，用于网络风险评估与资本配置，并通过案例和敏感性分析揭示预算约束下最优策略的关键影响因素。
2025-01-09 cs.CR math.OC q-fin.RM
Enhancing Software Supply Chain Resilience: Strategy For Mitigating Software Supply Chain Security Risks And Ensuring Security Continuity In Development Lifecycle
本文提出缓解软件供应链安全风险并确保开发生命周期安全连续性的策略，通过分析供应链韧性现状，增强数字基础设施的透明度与信任，以强化整体安全态势。
2024-07-08 cs.CR
Physical Layer Security based Key Management for LoRaWAN
在此基础上，提出了基于物理层安全（PHYSEC）的远程广域网（LoRaWAN）密钥管理的工作适用性，并利用实验测试平台进行了评估。由于物联网（IoT）技术在过去几年中已经兴起，因此它们也非常关注可能的网络攻击。虽然LoRaWAN已经提供了许多所需的功能，以确保安全目标，如数据的机密性和完整性，但它缺乏安全密钥管理和分发方案等措施。由于传统的解决方案在这里是不可行的，例如，由于有效载荷大小和功耗的限制，我们提出了使用基于PHYSEC的会话密钥管理，它可以提供相应的措施，在一个更轻量级。从我们的测试平台得出的结果表明，它可以是一个有前途的替代方法。
2021-01-08 cs.CR eess.SP
Towards Security Enhancement of Blockchain-based Supply Chain Management
现代系统的网络安全已经大大增加了工业和学术界的关注。在最近的时代，基于区块链的系统的流行传统上是在各个工业部门中出现的，特别是在供应链管理中，由于其精简的性质。这从供应链管理的角度揭示了质量方面的重要性。许多行业认识到质量体系对供应链管理和物流的重要性。区块链技术的出现在处理和跟踪供应链流程中的业务活动方面创造了一些潜在的创新。本文介绍了区块链，特别是用于处理供应链管理过程中创建，验证和检查数据的智能合约技术。然后，在供应链背景下触及区块链网络安全领域。由于智能合约处理不同位置的数据传输，因此安全保护应该足够强大，以保护数据和资产免受任何攻击。最后，论文考察了影响区块链上数据的主要安全攻击，并提出了解决方案
2022-09-11 cs.CR cs.CY
SCRM: An Actionable Framework for Space Cyber Risk Management
University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）；The Laboratory for Cybersecurity Dynamics（网络安全动力学实验室）
提出首个空间网络风险管理框架，系统建模基础设施、任务与攻击，提供风险分析与加固算法，经真实SATCOM攻击案例验证，可有效缓解级联效应与网络风险。
2026-10-06 cs.CR
Managing Differentiated Secure Connectivity using Intents
针对5G/6G移动网络差异化安全需求，本文提出基于意图的安全管理框架，利用扩展TMF意图安全本体形式化功能与非功能需求，并给出标准化路径。
2025-09-29 cs.CR
Baseline functionality for security and control of commodity IoT devices and domain-controlled device lifecycle management
新兴的物联网（IoT）大大增加了家庭、工作场所和智能城市基础设施中的连接设备数量。这不仅需要确保设备相关通信的机密性，还需要确保设备配置和管理的手段--确保只有合法设备才被授予本地域的特权，只有授权代理才能访问设备及其保存的数据，并且软件更新是真实的。支持设备加载、持续设备管理和控制以及安全停用的需求要求提供一套密钥管理服务，用于设备访问控制以及设备对无线基础设施和网络资源的访问。我们确定了这一核心功能，并主张承认有效和可靠的密钥管理支持--在物联网设备内，并通过统一的外部管理平台--作为物联网世界的基线要求。我们提出了一个框架架构，以促进商品物联网场景中安全，灵活和方便的设备管理，并提供了一组说明性的协议作为基础解决方案--不是为了推广特定的解决方案细节，而是为了突出基线功能，以帮助域所有者监督大量独立多供应商物联网设备的部署。
2018-08-09 cs.CR
A Mixed-Methods Study of Open-Source Software Maintainers On Vulnerability Management and Platform Security Features
本文通过清单调查和半结构化访谈研究OSS维护者对漏洞管理和平台安全的视角，发现供应链不信任和缺乏自动化是主要挑战，并探讨了如何更好地支持漏洞管理。
2025-02-03 cs.CR cs.SE
Towards an IT Security Risk Assessment Framework for Railway Automation
最近的一些事件表明，铁路自动化中IT系统的脆弱性可能被低估了。幸运的是，到目前为止，几乎只有拒绝服务攻击成功，但由于一些趋势，如使用商业信息技术和通信系统或私有化，威胁潜力可能在不久的将来增加。然而，到目前为止，没有统一的IT安全风险评估框架的铁路自动化存在。本文定义了一个IT安全风险评估框架，旨在尽可能将IT安全和安全要求以及认证过程分开。它建立在IEC 62425的众所周知的安全和批准流程的基础上，并集成了基于ISA 99/IEC 62443标准系列的IT安全要求。虽然详细结果与铁路自动化有关，但一般概念也适用于其他安全关键应用领域。
2017-04-04 cs.CR
