[論文レビュー] User-Centric IT Security - How to Design Usable Security Mechanisms

Hans‐Joachim Hof|arXiv (Cornell University)|Jun 23, 2015

User Authentication and Security Systems参考文献 3被引用数 8

ひとこと要約

本論文は、ユーザ中心の設計原則をITセキュリティメカニズムに適用することで、使いやすさを向上させ、ユーザのミスを削減することを提案する。開発プロセスに使いやすさのガイドラインを統合することで、著者は、セキュリティシステムが効果的でありながらもユーザフレンドリーであることを示しており、エンドユーザの採用率の向上と運用ミスの削減により、全体のシステムセキュリティが著しく向上することを示している。

ABSTRACT

Nowadays, advanced security mechanisms exist to protect data, systems, and networks. Most of these mechanisms are effective, and security experts can handle them to achieve a sufficient level of security for any given system. However, most of these systems have not been designed with focus on good usability for the average end user. Today, the average end user often struggles with understanding and using security mechanisms. Other security mechanisms are simply annoying for end users. As the overall security of any system is only as strong as the weakest link in this system, bad usability of IT security mechanisms may result in operating errors, resulting in insecure systems. Buying decisions of end users may be affected by the usability of security mechanisms. Hence software providers may decide to better have no security mechanism then one with a bad usability. Usability of IT security mechanisms is one of the most underestimated properties of applications and systems. Even IT security itself is often only an afterthought. Hence, usability of security mechanisms is often the afterthought of an afterthought. Software developers are missing guidelines on how to build security mechanisms with good usability for end users. This paper presents some guidelines that should help software developers to improve end user usability of security-related mechanisms, and analyzes common applications based on these guidelines.

研究の動機と目的

• ユーザのミスやシステムの脆弱性を引き起こす、ITセキュリティメカニズムにおける使いにくさの広範な問題に対処すること。
• 使いやすさがセキュリティ設計の後回しにされがちなこと、それが強固な技術的対策の効果を損なうことを特定すること。
• エンドユーザにとって直感的で実用的なセキュリティメカニズムを構築できるように、ソフトウェア開発者に実行可能なガイドラインを提供すること。
• これらの使いやすさガイドラインの視点から一般的なアプリケーションを分析し、実世界への適用可能性を示すこと。
• 使いやすさがエンドユーザの採用とシステムセキュリティにおいて重要な要因であることを強調すること。技術的複雑性の優先により、この要因はしばしば軽視されている。

提案手法

• ユーザ体験と認知的負荷に焦点を当てた、セキュリティメカニズムに特化した使いやすさガイドラインの開発。
• 既存のセキュリティメカニズムを一般的なアプリケーションに適用して、使いやすさの欠陥を特定する。
• 反復的設計とユーザテストの強調により、セキュリティ機能が安全かつ使いやすいことを検証すること。
• ヒューマンコンピュータインタラクション（HCI）および認知心理学の原則を、セキュリティ工学の実践に統合すること。
• 実世界のアプリケーションの事例研究を通じて、使いやすさの向上がどのようにより良いセキュリティ成果をもたらすかを示すこと。
• 使いやすさの検討を、後から追加するのではなく、ソフトウェア開発ライフサイクルの初期段階に組み込むべきだと提言すること。

実験結果

リサーチクエスチョン

• RQ1 セキュリティ効果に compromise をきたさずに、使いやすさを向上させるために、どのようにセキュリティメカニズムを再設計できるか？
• RQ2 既存のITセキュリティメカニズムにおける主な使いやすさの落とし穴は何か？ それがユーザのミスを引き起こす要因となっている。
• RQ3 強固な技術的対策が整っていても、使いやすさが悪いと、どれほどシステムのセキュリティが損なわれるのか？
• RQ4 開発者が、セキュリティ機能の設計段階から使いやすさを統合できるように、どのように支援できるか？
• RQ5 セキュリティメカニズムにおける使いやすさを無視した場合、エンドユーザの行動とシステムセキュリティにどのような実際の影響が生じるか？

主な発見

• セキュリティメカニズムにおける使いにくさは、ユーザのミスを引き起こし、それがシステム全体の脆弱性をもたらすため、使いやすさは重要なセキュリティ要因である。
• 多くのセキュリティメカニズムは、複雑さ、曖昧さ、あるいは干渉的なワークフローのため、エンドユーザによって拒否されたり誤用されたりしている。
• 使いやすさに欠けるセキュリティメカニズムは、ユーザーがそれらを完全に無効化したり回避したりする結果となり、全体のシステムセキュリティを低下させる。
• 使いやすさは、セキュリティそのものよりも後回しにされがちで、結果としてユーザインタラクションが poorly designed になりがちである。
• ユーザ中心のセキュリティ設計ガイドラインは、実際の現場でセキュリティ機能の採用率と正しい使用率を著しく向上させることができる。
• 使いやすさを最優先にすると、ユーザーはセキュリティメカニズムを正しく活用する可能性が高まり、システム全体のレジリエンスが向上する。