[논문 리뷰] Ethical Frameworks and Computer Security Trolley Problems: Foundations for Conversations

Tadayoshi Kohno, Yasemin Acar외 1명|arXiv (Cornell University)|2023. 02. 28.

Information and Cyber Security인용 수 4

한 줄 요약

이 논문은 보안 연구 공동체 내에서 윤리적 논의를 촉진하기 위해 컴퓨터 보안 주제의 트롤리 문제를 도입한다. 실질적인 딜레마들—예를 들어, 악용 위험이 없는 취약성 공개와 같은 것들—에 결과주의적 및 의무론적 윤리적 프레임워크를 적용함으로써, 서로 다른 도덕적 사고 방식이 어떻게 다른 결론을 이끌어내는지 보여주며, 연구, 심사, 교육 분야에서 체계적이고 프레임워크 기반의 논의를 당부한다.

ABSTRACT

The computer security research community regularly tackles ethical questions. The field of ethics / moral philosophy has for centuries considered what it means to be "morally good" or at least "morally allowed / acceptable". Among philosophy's contributions are (1) frameworks for evaluating the morality of actions -- including the well-established consequentialist and deontological frameworks -- and (2) scenarios (like trolley problems) featuring moral dilemmas that can facilitate discussion about and intellectual inquiry into different perspectives on moral reasoning and decision-making. In a classic trolley problem, consequentialist and deontological analyses may render different opinions. In this research, we explicitly make and explore connections between moral questions in computer security research and ethics / moral philosophy through the creation and analysis of trolley problem-like computer security-themed moral dilemmas and, in doing so, we seek to contribute to conversations among security researchers about the morality of security research-related decisions. We explicitly do not seek to define what is morally right or wrong, nor do we argue for one framework over another. Indeed, the consequentialist and deontological frameworks that we center, in addition to coming to different conclusions for our scenarios, have significant limitations. Instead, by offering our scenarios and by comparing two different approaches to ethics, we strive to contribute to how the computer security research field considers and converses about ethical questions, especially when there are different perspectives on what is morally right or acceptable.

연구 동기 및 목표

• 실제 보안 사례에 기반한 윤리적 딜레마를 만들어 컴퓨터 보안 연구와 도덕 철학을 연결함으로써, 두 분야 간의 다리를 놓는다.
• 특히 자율성 대 비례의 원칙(예: 자율성 대 선의) 간의 갈등이 발생할 때, 보안 연구 분야에서의 윤리적 의사결정에 대한 합의 부족 문제를 해결한다.
• 결과주의적 및 의무론적 프레임워크를 비교 분석함으로써, 보안 연구 공동체가 윤리에 대해 더 잘 이해하고 체계적인 대화를 나눌 수 있도록 지원한다.
• 교육자들이 비지시적이고 비결정적인 윤리적 사례를 제공하여 비판적 사고를 유도할 수 있도록, 가르치기 쉬운 사례를 제공한다.
• 연구 과정에 윤리적 반성을 통합할 것을 주장하며, 기존의 보안 심사 관행을 모델로 삼아 인터넷 드래フト에 '다중 프레임워크 기반 윤리적 고려사항' 섹션을 의무화하는 제도적 변화를 제안한다.

제안 방법

• 컴퓨터 보안 연구 결정을 중심으로 한 세 가지 원형 트롤리 문제 스타일 윤리적 딜레마(시나리오 A, B, C)를 설계한다.
• 각 시나리오에 대해 결과주의(예: 후생주의)와 의무론(예: 칸트 윤리학)이라는 두 가지 주요 윤리적 프레임워크를 적용하여 결과와 추론 방식을 비교한다.
• 철학적 및 윤리적 차원을 실제 세계의 복잡성에서 분리하기 위해 단순화된 가정 사례를 사용하여 도덕적 사고에 집중한다.
• 반복적인 토론과 전문가 피드백을 통해 딜레마의 타당성을 검증함으로써, 명백한 해결책이 없는 진정한 도덕적 갈등을 제공함을 보장한다.
• 공동체 사용과 향후 시나리오 개발을 지원하기 위해 보조 슬라이드 데스크 및 공개 레포지터리(https://securityethics.cs.washington.edu)를 구축한다.
• 기존 보안 심사 관행을 모델로 삼아, 인터넷 드래프트에 '다중 프레임워크 기반 윤리적 고려사항' 섹션을 의무화하는 제도적 변화를 제안한다.

실험 결과

연구 질문

• RQ1 트롤리 문제 유사 사례는 어떻게 실제 보안 연구의 윤리적 긴장을 반영할 수 있는가?
• RQ2 결과주의적 및 의무론적 윤리적 프레임워크를 보안 연구 딜레마에 적용했을 때, 어떤 정도로 다른 결론을 이끌어내는가?
• RQ3 체계적인 윤리적 프레임워크는 연구자, 심사자, 교육자들이 의사결정을 개선하는 데 어떤 역할을 할 수 있는가?
• RQ4 컴퓨터 보안 공동체는 연구 과정과 동료 심사 과정에 다중 프레임워크 윤리적 반성을 어떻게 제도화할 수 있는가?
• RQ5 윤리적 논의를 촉진하면서도 단일 '정답'을 규정하지 않는 효과적인 시나리오의 설계 기준은 무엇인가?

주요 결과

• 비패치 가능한 의료 기기의 취약성, 악용 가능성이 있는 개인정보 보호 시스템, 데이터 공유 딜레마를 포함한 세 가지 제안된 시나리오는 모두 실질적인 도덕적 갈등을 보이며, 보편적으로 인정되는 해결책이 없다.
• 결과주의적 및 의무론적 프레임워크는 동일한 시나리오에서 서로 다른 결론을 이끌어내며, 윤리적 사고가 단일한 것이 아니며 기초 가정에 따라 달라질 수 있음을 입증한다.
• 이 시나리오는 자율성, 선의, 비악행 원칙 간의 상충를 다루는 데 효과적이며, 쉽게 답하지 못하는 문제를 제공함으로써 교육적 활용에 적합하다.
• 연구는 보안 연구에서 윤리적 사고가 단일 윤리적 시각에 의존하기보다는, 여러 프레임워크를 명시적으로 고려함으로써 유익하다는 것을 보여준다.
• 저자들은 연구 워크플로우에 다중 프레임워크 윤리 분석을 통합할 것을 주장하며, 기존 보안 심사 관행을 모방해 제출물에 전용 윤리적 고려사항 섹션을 의무화할 것을 제안한다.
• 이 작업은 전문가 검토와 교실 적용을 통해 이미 검증되었으며, 지속적인 공동체 기여와 시나리오 개발을 위한 공개 레포지터리가 구축되었다.