[論文レビュー] The Ethics of Hacking: Should It Be Taught?

Nicole Radziwill, Jessica Romano+2 more|arXiv (Cornell University)|Dec 9, 2015

Information and Cyber Security参考文献 10被引用数 3

ひとこと要約

本論文は、ソフトウェアの品質とサイバーセキュリティを向上させるために、コンピュータサイエンスおよびソフトウェア工学教育におけるハッキングの教育を提唱している。悪意あるハッカーと熟練したペネトレーションテスターを区別することで、教育カリキュラムにハッキングスキルを統合することを主張し、事前に脆弱性を特定することで、最終的にシステムのセキュリティとソフトウェア開発における倫理的責任を高めることを目的としている。

ABSTRACT

Poor software quality can adversely affect application security by increasing the potential for a malicious breach of a system. Because computer security and cybersecurity are becoming such relevant topics for practicing software engineers, the need for educational opportunities in this area is steadily increasing. Universities and colleges have recognized this, and have started to offer programs in cybersecurity. At face value, these new programs may not appear controversial, but developing their curriculum requires answering a complex ethical question: Should programs teach hacking to their students? Even though there are different types of hackers, media reports of cybersecurity incidents tend to reserve the "hacker" label for cyber criminals, which overlooks the value in hacking (and, by extension, teaching students to hack). This article examines the full spectrum of hacking behavior, as well as arguments for and against including hacking in education programs, and recommends that hacking skills be considered an essential component of an education and practice in software quality assurance.

研究の動機と目的

• ソフトウェア工学プログラムにおけるサイバーセキュリティ教育の増大するニーズに対応すること。
• 教育現場におけるハッキングスキル教育の倫理的含意を検討すること。
• メディアがハッカーを悪意ある犯罪者として描く傾向を是正し、エスケートハッキングの価値を浮き彫りにすること。
• ハッキングをソフトウェア品質保証教育の正当で不可欠な構成要素として位置づけること。
• 公式なコンピュータサイエンスおよびソフトウェア工学カリキュラムにエスケートハッキングを統合するためのフレームワークを提供すること。

提案手法

• 悪意あるハッキングからエスケート（ホワイトハット）ハッキングに至るハッキング行動のスペクトルを分析すること。
• 既存のサイバーセキュリティ教育プログラムとそのカリキュラム上のギャップをレビューすること。
• ソフトウェアの脆弱性や侵害事例の事例を活用し、能動的セキュリティテストの必要性を説明すること。
• エスケートハッキングをソフトウェア品質保証教育に統合する教育的モデルを提言すること。
• 倫理的枠組みを用いて、ハッキングを責任ある専門的実践として教育することの正当性を裏付けること。
• 教育プログラムにおけるラボ実習、シミュレーション、資格取得ルートを通じたカリキュラム統合を提言すること。

実験結果

リサーチクエスチョン

• RQ1 異なる種類のハッキングにおける倫理的差異は何か？ そしてそれらは教育政策にどのように影響を及えるか？
• RQ2 なぜエスケートハッキングの教育が、ソフトウェアの品質とシステムセキュリティを向上させるために不可欠なのか？
• RQ3 悪意ある行動の助長を防ぐために、学術機関がどのようにしてハッキングスキルをカリキュラムに責任を持って統合できるか？
• RQ4 ペネトレーションテストや脆弱性発見の訓練には、どのようなリスクと利益があるのか？
• RQ5 ソフトウェア工学教育において、エスケートハッキングをどのようにして専門的かつ責任ある実践として位置づけられるか？

主な発見

• 適切に教育され、規制されたエスケートハッキングは、事前にセキュリティ上の欠陥を特定することで、ソフトウェアの品質を顕著に向上させる。
• メディアがすべてのハッカーをサイバー犯罪者と同一視することは、一般世論を歪め、熟練したペネトレーションテスタリングの価値を損なっている。
• 教育現場でハッキングを教えれば、悪用される前に脆弱性を検出できるようになるため、システム侵害のリスクを低減できる。
• エスケートハッキング教育を含むカリキュラムは、実践的かつ現実世界のスキルを持つ、よりセキュリティ意識の高いソフトウェアエンジニアを生み出す。
• ハッキングをソフトウェア品質保証教育の根幹的要素として位置づけるには、強い倫理的・専門的根拠がある。
• 学術プログラムにエスケートハッキングを統合することは、技術的熟練度とソフトウェア開発における倫理的意思決定能力の両方を高める。