[논문 리뷰] Addressing Knowledge Leakage Risk caused by the use of mobile devices in Australian Organizations

Carlos Andres Agudelo Serna, Rachelle Bosua외 2명|arXiv (Cornell University)|2023. 08. 21.

Information and Cyber Security인용 수 4

한 줄 요약

이 연구는 호주 지식집약적 기업에서 모바일 기기로부터 지식 유출 위험(KLR)에 영향을 미치는 인간, 기업, 기술적 요인을 규명하는 개념적 모델을 제안한다. 보안 및 지식 관리자들과의 인터뷰를 통해 조직의 복원력을 높이기 위한 통합된 완화 전략(정책, 문화, 기술의 융합)을 도출하였으며, 이는 고위험 환경에서 경험적으로 검증된 위험 관리 프레임워크의 기초를 제공한다.

ABSTRACT

Information and knowledge leakage has become a significant security risk to Australian organizations. Each security incident in Australian business cost an average US$\$$2.8 million. Furthermore, Australian organisations spend the second most worldwide (US$\$$1.2 million each on average) on investigating and assessing information breaches. The leakage of sensitive organizational information occurs through different avenues, such as social media, cloud computing and mobile devices. In this study, we (1) analyze the knowledge leakage risk (KLR) caused by the use of mobile devices in knowledge-intensive Australian organizations, (2) present a conceptual research model to explain the determinants that influence KLR through the use of mobile devices grounded in the literature, (3) conduct interviews with security and knowledge managers to understand what strategies they use to mitigate KLR caused by the use of mobile devices and (4) use content analysis and the conceptual model to frame the preliminary findings from the interviews. Keywords: Knowledge leakage, mobile devices, mobile contexts, knowledge leakage risk

연구 동기 및 목표

• 지식집약적 호주 기업에서 모바일 기기 사용으로 인한 지식 유출 위험(KLR)에 관한 연구의 격차를 해소하기 위해.
• 문헌에 기반한 개념적 모델을 개발하여 인간, 조직, 기술적 차원을 통합함으로써 모바일 기기를 통한 KLR의 결정요인을 설명하기 위해.
• 보안 및 지식 관리자들과의 인터뷰를 통해 호주 기업들이 KLR를 완화하기 위해 실제 사용하는 전략을 규명하고 분류하기 위해.
• 호주의 다양한 부문에서 향후 경험적 검증을 위한 개념적 모델의 기초를 마련하기 위해.
• 순수 기술적 통제에서 벗어나 인간적 요소와 문화적 요소를 KLR 완화에 포함시켜 조직 행동 이론 및 IS 보안 이론과 일치시키기 위해.

제안 방법

• 지식집약적 호주 기업의 고위 보안 및 지식 관리자 19명과 반구조화된 인터뷰를 실시하였다.
• 제안된 개념적 모델에 기반해 인터뷰 데이터를 체계적으로 분류하고 해석하기 위해 내용 분석을 적용하였다.
• 인간 요인(예: 행동, 인식), 기업 요인(예: 정책, 전략), 기술적 통제(예: SIEM, SOC, 패치)를 통합한 다차원 개념적 모델을 개발하였다.
• 이 모델을 프레임워크로 활용하여 관찰된 KLR 완화 전략을 공식적, 비공식적, 기술적 통제 유형으로 분류하였다.
• 모델의 검증 및 개선을 위해 Yin(2003)의 질적 연구 방법론을 활용한 향후 단계로 포커스 그룹 및 다중 사례 연구를 계획하였다.
• 조직 내 다양한 모바일 사용 환경에서 위험이 어떻게 달라지는지 이해하기 위해 맥락 기반 접근을 채택하였다.

실험 결과

연구 질문

• RQ1 지식집약적 호주 기업들은 모바일 기기 사용으로 인한 지식 유출 위험(KLR)을 어떻게 완화하고 있는가?
• RQ2 인간, 기업, 기술적 요소가 모바일 기기 환경에서 KLR에 어떻게 영향을 미치는가?
• RQ3 지식집약적 기업에서 모바일 기기를 사용할 때 KLR의 주요 결정요인은 무엇이며, 이는 완화 전략에 어떻게 영향을 주는가?
• RQ4 조직 정책, 문화적 관행, 기술적 통제가 함께 KLR를 어떻게 줄이는가?
• RQ5 다차원 개념적 모델은 실무에서 KLR 완화 전략의 설계 및 구현을 어떻게 향상시킬 수 있는가?

주요 결과

• 조직들은 공식적, 비공식적, 기술적 통제의 조합을 통해 KLR를 완화하고 있으며, 전략적 정책과 보안 인식 프로그램이 핵심적인 역할을 한다.
• 보안 및 지식 관리자들은 기술적 통제보다도 사용자 행동과 조직 문화가 지식 유출을 방지하는 데 더 중요하다고 강조한다.
• 주요 완화 전략으로는 기업 모바일 전략 및 지식 관리 전략, 보안 운영 센터(SOC), 시스템 사고 및 이벤트 관리(SIEM)가 포함된다.
• 모바일 기기 패치, 빅데이터 및 머신러닝 기반 사용자 프로파일링, 기술 정책 이행과 같은 기술적 통제가 널리 구현되어 있다.
• 연구에서 인간 요인—특히 직원의 보안 행동—이 기술적 취약성과 동일한 정도로 지식 유출을 유발하는 주요 원인임을 규명하였다.
• 개념적 모델은 관찰된 전략을 잘 프레임워크화하였으며, 호주의 다양한 부문에서 향후 경험적 검증의 기초를 제공한다.