[논문 리뷰] Automating the Communication of Cybersecurity Knowledge: Multi-Case Study

Alireza Shojaifar, Samuel A. Fricker외 1명|arXiv (Cornell University)|2020. 07. 15.

Information and Cyber Security참고 문헌 28인용 수 8

한 줄 요약

이 논문은 소규모 및 중소기업(SMB)을 대상으로 한 DIY 사이버보안 평가 및 개선 도구인 CYSEC을 제안한다. 이 도구는 자아결정이론(SDT)을 활용해 전문가 수준의 상담을 자동화함으로써 동기 부여와 도입을 증진시킨다. 다례 사례 연구 결과, 효과적인 자동화된 사이버보안 커뮤니케이션은 맞춤형 평가 질문, 적응형 권고, 실습 기반 기술, 도구의 유연성, 기밀 정보 기록에 대한 사용자의 의지에 달려 있으며, 성공 여부는 능력감, 자율성, 유대감과 같은 심리적 욕구가 충족되었는지에 따라 좌우된다.

ABSTRACT

Cybersecurity is essential for the protection of companies against cyber threats. Traditionally, cybersecurity experts assess and improve a company's capabilities. However, many small and medium-sized businesses (SMBs) consider such services not to be affordable. We explore an alternative do-it-yourself (DIY) approach to bringing cybersecurity to SMBs. Our method and tool, CYSEC, implements the Self-Determination Theory (SDT) to guide and motivate SMBs to adopt good cybersecurity practices. CYSEC uses assessment questions and recommendations to communicate cybersecurity knowledge to the end-user SMBs and encourage self-motivated change. In this paper, the operationalisation of SDT in CYSEC is presented and the results of a multi-case study shown that offer insight into how SMBs adopted cybersecurity practices with CYSEC. Effective automated cybersecurity communication depended on the SMB's hands-on skills, tools adaptedness, and the users' willingness to documenting confidential information. The SMBs wanted to learn in simple, incremental steps, allowing them to understand what they do. An SMB's motivation to improve security depended on the fitness of assessment questions and recommendations with the SMB's business model and IT infrastructure. The results of this study indicate that automated counselling can help many SMBs in security adoption. The final publication is available at Springer via https://link.springer.com/chapter/10.1007%2F978-3-030-59291-2_8

연구 동기 및 목표

• 제한된 자원과 전문 지식이 있는 SMB가 사이버보안 관행을 도입하도록 동기 부여하는 데 있어 발생하는 격차를 해소하기 위해.
• 자동화된 DIY 사이버보안 커뮤니케이션이 SMB의 역량 평가 및 향상에 효과적으로 기여할 수 있는지 탐색하기 위해.
• 자아결정이론(SDT)의 시각에서 심리적 동기—특히 능력감, 자율성, 유대감—이 사용자 참여를 이끄는 데 수행하는 역할을 평가하기 위해.

제안 방법

• CYSEC은 자율 주도형, 도구 기반의 방법으로, 보안 전문가와 SMB 직원 간의 상담 대화를 자동화한다.
• 자아결정이론(SDT)을 구현하기 위해 능력감, 자율성, 유대감 등의 구성요소를 평가 질문과 권고에 통합한다.
• 도구는 각 SMB의 사업 모델과 IT 인프라에 맞춰 개인화된 평가 질문과 개선 권고를 생성한다.
• 실제 SMB 환경에서의 실사용을 연구하기 위해 생각을 말하는 프로토콜과 관찰 기반 데이터 수집 기법을 사용했다.
• 패턴 매칭과 설명 구축을 활용한 질적 분석을 실시하였으며, 타당성을 확보하기 위해 구성원 검증을 수행했다.
• 사용자 참여를 향상시키기 위해 진행 상황 요약, 유대감을 위한 액션 코크핏, 역량 영역 매핑 기능이 포함되어 있다.

실험 결과

연구 질문

• RQ1 CYSEC의 자동화된 커뮤니케이션은 SMB의 사이버보안 관행 도입에 대한 동기에 어떤 영향을 미치는가?
• RQ2 맞춤형 평가 질문과 권고가 사용자 참여도 및 행동 변화에 얼마나 기여하는가?
• RQ3 심리적 욕구(능력감, 자율성, 유대감)는 자동화된 사이버보안 커뮤니케이션의 효과성에서 어떤 역할을 하는가?
• RQ4 기밀성에 대한 우려와 신뢰는 SMB에서 사이버보안 권고의 도입에 어떻게 영향을 미치는가?
• RQ5 실제 SMB 환경에서 DIY 사이버보안 개선을 성공적으로 구현하는 데에 어떤 요소들이 유리하거나 방해가 되는가?

주요 결과

• 효과적인 자동화된 사이버보안 커뮤니케이션은 SMB의 실습 기술, 도구의 적응 가능성, 기밀 정보 기록에 대한 사용자의 의지에 달려 있었다.
• SMB는 단순하고 점진적인 단계로 학습하는 것을 선호했으며, 이는 자신들의 보안 개선을 이해하고 통제할 수 있도록 했다.
• 보안 개선에 대한 동기는 평가 질문과 권고가 SMB의 사업 모델과 IT 인프라와 얼마나 잘 부합하는지에 따라 크게 영향을 받았다.
• 충족되지 않은 심리적 욕구—특히 능력감과 자율성—은 사이버보안 행동의 도입을 심각하게 저해했다.
• 기밀성에 대한 우려가 주요 장벽으로 나타났으며, 사용자들은 조차도 조직 내에서 보안 관련 데이터를 기록하거나 공유하는 것에 대해 주저했다.
• 본 연구에서는 SDT 구성요소가 적절히 구현될 경우, 자동화된 사이버보안 커뮤니케이션의 효과성을 설명하고 향상시킬 수 있음을 발견했다.