[논문 리뷰] Cyber Security Behaviour In Organisations

Amy Ertan, Georgia Crossland외 3명|arXiv (Cornell University)|2020. 04. 24.

Information and Cyber Security참고 문헌 98인용 수 7

한 줄 요약

이 논문은 기업 내 일상적인 사이버 보안 행동에 관한 학술 및 정책 문헌을 검토하며, 보안 정책 준수, 집단 간 협력 및 소통, 피싱/이메일 행동, 암호 행동이라는 네 가지 핵심 행동 유형을 식별하고, 이를 종합적인 보안 문화의 프레임워크 안에서 정리한다. 연구는 향후 연구를 안내할 이론적 시각을 제안하며, 행동 과학 통찰을 바탕으로 기업의 사이버 보안 관행을 향상시키기 위한 실용적 권고 사항을 제시한다.

ABSTRACT

This review explores the academic and policy literature in the context of everyday cyber security in organisations. In so doing, it identifies four behavioural sets that influences how people practice cyber security. These are compliance with security policy, intergroup coordination and communication, phishing/email behaviour, and password behaviour. However, it is important to note that these are not exhaustive and they do not exist in isolation. In addition, the review explores the notion of security culture as an overarching theme that overlaps and frames the four behavioural sets. The aim of this review is therefore to provide a summary of the existing literature in the area of everyday cyber security within the social sciences, with a particular focus on organisational contexts. In doing so, it develops a series of suggestions for future research directions based on existing gaps in the literature. The review also includes a theoretical lens that will aid the understanding of existing studies and wider literatures. Where possible, the review makes recommendations for organisations in relation to everyday cyber security.

연구 동기 및 목표

• 사회과학적 시각에서 조직 환경 내 사이버 보안 행동에 관한 기존 문헌을 종합하기 위해.
• 조직 내 사이버 보안에 영향을 주는 반복적인 행동 패턴을 식별하고 분류하기 위해.
• 다양한 사이버 보안 행동 간 통합적 프레임워크로서의 보안 문화의 역할을 검토하기 위해.
• 현재 연구에서의 격차를 부각하고 향후 연구를 위한 실행 가능한 방향을 제안하기 위해.
• 행동 간섭을 통해 조직의 사이버 보안 수준을 향상시키기 위한 근거 기반 권고 사항을 제공하기 위해.

제안 방법

• 조직적 맥락 내 사이버 보안 분야의 학술 및 정책 문헌에 대한 체계적 검토.
• 주제 분석을 통해 반복적인 사이버 보안 행동을 네 가지 핵심 유형으로 군집화.
• 연구 결과 간 해석과 연결을 위해 이론적 시각의 적용.
• 기존 연구의 재구성으로 반복 패턴, 모순점, 연구 격차를 규명하기 위한 통합.
• qualitative 및 개념적 통합을 활용해 조직 실무를 위한 권고 사항 도출.
• 기술적 또는 공학적 해결책이 아닌 인간 행동을 이해하기 위해 사회과학적 시각에 초점.

실험 결과

연구 질문

• RQ1 조직 내 구성원들은 일상적으로 어떻게 사이버 보안을 이행하는가?
• RQ2 조직 환경에서 사이버 보안 결과에 영향을 주는 주요 행동 유형은 무엇인가?
• RQ3 보안 문화는 개인의 사이버 보안 행동을 어떻게 형성하고 프레임워크화하는가?
• RQ4 조직 내 사이버 보안 행동에 관한 현재 연구에서의 주요 격차는 무엇인가?
• RQ5 조직은 행동 과학에 기반한 전략을 통해 어떻게 효과적으로 사이버 보안을 향상시킬 수 있는가?

주요 결과

• 보안 정책 준수, 집단 간 협력 및 소통, 피싱/이메일 행동, 암호 행동이라는 네 가지 핵심 행동 유형이 조직의 사이버 보안에 중대한 영향을 미친다.
• 이 행동 유형들은 상호의존적이며 고립된 것이 아니며, 더 넓은 조직의 보안 문화에 의해 형성되고 영향을 받는다.
• 보안 문화는 개인이 사이버 보안 관행을 어떻게 해석하고 이행할지를 영향을 미치는 프레임워크적 맥락으로 작용한다.
• 현재 문헌에서 종단적 연구나 간섭 기반 연구의 부족이 두드러지며, 이는 핵심 연구 격차로 지적된다.
• 조직은 커뮤니케이션 개선 및 인지 부하 감소와 같은 행동 기반 전략을 도입하여 준수를 높이고 위험 행동을 줄이기를 권고받는다.
• 사회과학 이론을 사이버 보안 실무와 융합하는 더 많은 다학제적 연구가 필요하다는 점이 이 리뷰에서 규명된다.