[논문 리뷰] Cyber Security Awareness Campaigns: Why do they fail to change behaviour?

Maria Bada, Angela Sasse외 1명|arXiv (Cornell University)|2019. 01. 09.

Behavioral Health and Interventions참고 문헌 25인용 수 197

한 줄 요약

이 논문은 사이버 보안 인식 캠페인이 종종 사용자 행동을 변화시키지 않는 이유를 분석하고, 위험 인식, 동기 부여, 조언의 적용에 영향을 미치는 요인을 식별하기 위해 심리학을 활용한다.

ABSTRACT

The present paper focuses on Cyber Security Awareness Campaigns, and aims to identify key factors regarding security which may lead them to failing to appropriately change people's behaviour. Past and current efforts to improve information-security practices and promote a sustainable society have not had the desired impact. It is important therefore to critically reflect on the challenges involved in improving information-security behaviours for citizens, consumers and employees. In particular, our work considers these challenges from a Psychology perspective, as we believe that understanding how people perceive risks is critical to creating effective awareness campaigns. Changing behaviour requires more than providing information about risks and reactive behaviours - firstly, people must be able to understand and apply the advice, and secondly, they must be motivated and willing to do so - and the latter requires changes to attitudes and intentions. These antecedents of behaviour change are identified in several psychological models of behaviour. We review the suitability of persuasion techniques, including the widely used 'fear appeals'. From this range of literature, we extract essential components for an awareness campaign as well as factors which can lead to a campaign's success or failure. Finally, we present examples of existing awareness campaigns in different cultures (the UK and Africa) and reflect on these.

연구 동기 및 목표

• 정보 보안 행동 변화에 영향을 미치는 주요 심리적 요인을 식별한다.
• 인식 캠페인이 위험 인식, 동기 부여, 조언의 적용 능력을 다루는 방식을 비판적으로 검토한다.
• 효과적인 캠페인을 위한 필수 구성 요소와 잠재적 실패 요인을 추출한다.
• 서로 다른 문화적 맥락(영국 및 아프리카)의 캠페인 사례와 시사점을 논의한다.

제안 방법

• 보안 캠페인과 관련된 심리 기반 행동 모델에 관한 기존 문헌의 검토.
• 캠페인의 설득 기법과 공포 호소의 활용에 대한 평가.
• 문헌에서 효과적인 인식 향상 캠페인을 위한 필수 구성 요소를 추출한다.
• 도전과 기회를 설명하기 위한 문화 간 캠페인 사례에 대한 토론.

실험 결과

연구 질문

• RQ1 사람들이 사이버 위험을 정확하게 인식하고 행동 변화를 위한 동기를 부여하는 요인을 결정하는 심리적 요인은 무엇인가?
• RQ2 인식 캠페인의 어떤 요소가 성공적인 행동 변화와 관련이 있으며, 어떤 요소가 실패로 이어지는가?
• RQ3 설득 기법을 포함한 공포 호소가 사이버 보안 캠페인의 효과에 어떤 영향을 미치는가?
• RQ4 더 나은 캠페인 설계를 위한 영국과 아프리카 등 서로 다른 문화 맥락의 캠페인에서 어떤 교훈을 얻을 수 있는가?

주요 결과

• 캠페인의 성공은 위험에 대한 정보를 제공하는 것뿐 아니라 조언을 이해하고 적용하는 데 달려 있다.
• 태도와 의도는 행동 변화의 선행 요인으로, 행동의 심리학적 모델에 의해 좌우된다.
• 설득 기법과 공포 호소는 효과가 혼재하며 맥락과 대상에 맞게 조정되어야 한다.
• 효과적인 캠페인을 위한 필수 구성 요소에는 위험 소통, 관련성, 동기 부여, 지침 적용 지원이 포함된다.
• 문화적 맥 context는 캠페인 수용 및 효과에 영향을 미치며, 영국과 아프리카의 사례가 논의된다.