[논문 리뷰] Cybersecurity Information Sharing Governance Structures: An Ecosystem of Diversity, Trust, and Tradeoffs

Elaine Sedenberg, James X. Dempsey|arXiv (Cornell University)|2018. 05. 31.

Open Source Software Innovations참고 문헌 3인용 수 8

한 줄 요약

이 논문은 공공 및 민간 조직 간 사이버보안 정보 공유 거버넌스 모델의 분류 체계를 수립하며, 다양한 구조가 신뢰, 개인정보 보호, 운영적 트레이드오프를 어떻게 균형 잡는지 분석한다. 효과적인 공유가 조직의 다양성, 상호성, 품질 관리에 대응하는 맞춤형 거버넌스 프레임워크에 의존한다는 점을 드러내며, 정책과 실제 구현 과제를 일치시키는 데로 가이드라인을 제시한다.

ABSTRACT

In recent years the cybersecurity policy debate in Washington has been dominated by calls for greater information sharing within the private sector, and between the private sector and the federal government. The passage of the Cybersecurity Information Sharing Act (CISA) (signed into law under the Cybersecurity Act of 2015) underscored federal efforts to collect information from the private sector, and assuaged some concerns regarding private sector liability in sharing activities. However, the law lacked specificity on how continued federal efforts would work with existing information sharing networks, and failed to address other challenges associated with sharing including trust building, privacy and propriety interests, reciprocation, and quality control. This paper aims to bring granularity to implementations of information sharing initiatives by creating a taxonomy of the governance and policy models within each of these organizations. The research shows how this diverse ecosystem of sharing models work together and separately, and the impact governance and policy have on key components critical to sharing infrastructure.

연구 동기 및 목표

• 기존 사이버보안 정보 공유 조직의 배경이 되는 거버넌스 및 정책 모델을 분석하기 위해.
• 조직 구조, 신뢰 메커니즘, 규제 프레임워크의 차이가 정보 공유 효과성에 어떻게 영향을 미치는지 규명하기 위해.
• 정보 공유의 상호운용성, 개인정보 보호, 품질 관리 측면에서 CISA(Cybersecurity Information Sharing Act)의 격차를 해결하기 위해.
• 다양한 공유 생태계가 공존하고 상호작용하는 방식을 이해하기 위한 세밀한 프레임워크를 제공하기 위해.
• 다양한 거버넌스 모델이 내재한 트레이드오프를 매핑하여 정책 및 실천에 통찰을 제공하기 위해.

제안 방법

• 15개 이상의 주요 사이버보안 정보 공유 조직(ISACs, ISAOs, 정부 프로그램) 간 비교 분석을 수행한다.
• 조직 구조, 회원 자격 기준, 의사결정 권한, 데이터 처리 정책를 기반으로 거버넌스 모델의 분류 체계를 수립한다.
• 서로 다른 모델 간 상호 책임 보호, 데이터 익명화, 액세스 제어와 같은 신뢰 메커니즘을 평가한다.
• 각 거버넌스 프레임워크 내에서 상호성, 데이터 품질, 개인정보 보호가 어떻게 관리되는지 분석한다.
• 공공 및 민간 부문의 공유 이니셔티브 간 상호의존성을 맵핑하여 호환성 및 조율 과제를 평가한다.
• 질적 사례 연구 및 정책 문서 분석을 통해 거버넌스 모델의 구조적 및 운영적 패턴을 추출한다.

실험 결과

연구 질문

• RQ1 사이버보안 정보 공유 조직의 다양한 거버넌스 모델은 구조, 권한, 운영적 초점에서 어떻게 상이한가?
• RQ2 신뢰 메커니즘, 개인정보 보호, 책임 면책 조치가 다종의 부문 간 정보 공유를 촉진하거나 저해하는 데 어떤 역할을 하는가?
• RQ3 기존 거버넌스 모델이 데이터 품질, 상호성, 회원 책임성 문제를 어느 정도 해결하고 있는가?
• RQ4 연방 정책인 CISA가 기존 민간 부문 정보 공유 생태계와 어떻게 상호작용하거나 통합되지 못하고 있는가?
• RQ5 정보 공유 시 투명성, 보안, 법적 준수를 균형 잡는 데서 조직이 겪는 트레이드오프는 무엇인가?

주요 결과

• 분야별 ISACs부터 광범위한 ISAOs, 정부 주도 이니셔티브에 이르기까지 다양한 운영 및 정책 프레임워크를 가진 거버넌스 모델의 다채로운 생태계가 존재한다.
• 신뢰는 본질적으로 존재하지 않으며, 법적 책임 보호, 데이터 익명화, 투명한 의사결정 과정과 같은 형식화된 조치를 통해 구축되며, 이는 모델 간에 상당한 차이를 보인다.
• CISA는 민간 부문의 정보 공유에 법적 확신을 제공했지만, 다양한 공유 플랫폼 간 상호운용성 및 품질 관리 문제를 해결하지 못했다.
• 강력한 상호성 기준과 명확한 데이터 품질 기준을 가진 조직은 더 높은 회원 참여도와 정보 신뢰성을 보였다.
• 개인정보 및 기밀 정보 보호 우려는 여전히 주요 장벽이 되며, 특히 데이터 최소화 및 액세스 제어가 일관되게 적용되지 않는 다중 부문 공유에서 두드러진다.
• 기술적, 법적, 조직적 보안 조치를 통합한 거버넌스 모델이 장기적인 정보 공유를 지속하는 데 가장 효과적이었다.