He trabajado con dos procesos RMF para el DoD. Entonces, la mayoría de los marcos de gestión de riesgos son bastante profundos, proponer un marco completamente nuevo es una tarea realmente grande, le sugiero que reduzca su tesis a un subconjunto de seguridad más pequeño. ¿Es esto para una maestría o doctorado? Una cosa que podría hacer es centrarse en una sección de un sistema como la base de datos o Internet Explorer y describir todos los riesgos potenciales y cómo cerrarlos. Cree una base de datos reforzada y luego escriba un programa de ataque para intentar comprometer la base de datos.
La mayoría de las vulnerabilidades se clasifican en tres niveles y tienen un Control de IA (Aseguramiento de la Información) asociado para ayudar a explicar por qué es un riesgo, como el Privilegio Mínimo. Otra buena tesis podría ser crear su propio conjunto de control de IA y sugerir formas de mejorar las vulnerabilidades organizativas. Si alguna vez ha tenido que trabajar en esto profesionalmente, definitivamente hay algunos problemas de sobrecarga de información al trabajar con estos marcos.