[논문 리뷰] Evaluating Privacy Perceptions, Experience, and Behavior of Software Development Teams

Maxwell Prybylo, Sara Haghighi외 2명|arXiv (Cornell University)|2024. 04. 01.

Software Engineering Techniques and Practices인용 수 8

한 줄 요약

대규모 혼합 방법 설문조사(US 362명 참여, 23개국) 은 SDLC 역할 전반의 프라이버시 인식, 실천 및 지식을 분석하고, 다양한 프라이버시 정의, PbD 채택의 제한, 그리고 역할에 따른 프라이버시 도전을 드러냅니다.

ABSTRACT

With the increase in the number of privacy regulations, small development teams are forced to make privacy decisions on their own. In this paper, we conduct a mixed-method survey study, including statistical and qualitative analysis, to evaluate the privacy perceptions, practices, and knowledge of members involved in various phases of the Software Development Life Cycle (SDLC). Our survey includes 362 participants from 23 countries, encompassing roles such as product managers, developers, and testers. Our results show diverse definitions of privacy across SDLC roles, emphasizing the need for a holistic privacy approach throughout SDLC. We find that software teams, regardless of their region, are less familiar with privacy concepts (such as anonymization), relying on self-teaching and forums. Most participants are more familiar with GDPR and HIPAA than other regulations, with multi-jurisdictional compliance being their primary concern. Our results advocate the need for role-dependent solutions to address the privacy challenges, and we highlight research directions and educational takeaways to help improve privacy-aware SDLC.

연구 동기 및 목표

• 프라이버시 인식이 SDLC 역할과 인구통계에 따라 어떻게 달라지는지 평가한다.
• 프라이버시 전문가(예: CPO) 접근성이 프라이버시 인식 및 실천에 미치는 영향을 평가한다.
• SDLC 역할, 위치 및 교육에 따라 프라이버시 실천 및 경험이 어떻게 차이가 나는지 조사한다.
• 소프트웨어 팀 간 프라이버시 개념, 접근 방식, 도구 및 규정에 대한 친숙도를 정량화한다.

제안 방법

• 미국 및 22개국을 포함한 362명의 소프트웨어 팀 참가자를 대상으로 대규모 혼합 방법 설문조사를 수행한다.
• Prolific를 통한 Qualtrics 사용; 역할별 설문지; 질문 정제를 위한 사전 선별 및 파일럿 연구.
• 개방형 응답에 질적 개방 코딩을 적용하고 Solove의 프라이버시 분류 체계에 대한 주제 매핑을 수행한다.
• 카이제곱 검정 및 Kruskal-Wallis 검정을 Bonferroni 보정을 적용하여 수행한다.
• CPO의 존재 여부와 그것이 프라이버시 실천, PIA 및 PET와의 관계를 분석한다.
• 잠재적 편향을 선별하고 개방형 항목에서 AI 생성 응답을 완화한다.

실험 결과

연구 질문

• RQ1 다양한 역할 및 인구통계(예: 교육 수준, 회사 규모, 위치) 간에 프라이버시 인식에 차이가 있는가?
• RQ2 프라이버시 전문가(예: Chief Privacy Officer) 접근성이 프라이버시 인식 및 실천에 영향을 미치는가?
• RQ3 SDLC 역할, 위치 및 다른 인구통계에 따라 프라이버시 실천 및 경험은 어떻게 다르게 나타나는가?
• RQ4 다양한 역할의 프라이버시 개념, 접근 방식, 도구 및 규제에 대한 친숙도는 어느 정도인가?

주요 결과

• 참가자들은 프라이버시에 대한 다양한 정의를 보이며, 역할은 Solove의 분류 체계에 따라 Disclosure, Increased Accessibility, Security/Insecurity 와 같은 개념에 매핑된다.
• PbD 채택 및 PETs(Privacy Enhancing Technologies)와 PIAs(Privacy Impact Assessments) 사용이 SDLC 팀 전반에 걸쳐 제한적이다.
• QA 구성원은 데이터 보호를 위해 법률/프라이버시 전문가에 더 의존하고 다른 역할에 비해 프라이버시 지식이 낮다.
• 많은 응답자들이 프라이버시를 자가 학습하며 CCPA 및 COPPA와 같은 미국 규정에 대한 친숙도가 낮다.
• CPO 존재는 회사 규모와 상관관계가 있다; 대기업일수록 CPO를 가질 가능성이 높지만, 보정 후 CPO 존재 여부가 PIA 생성, PET 사용, 침해 건수와 강한 상관은 없다.
• PIA는 흔하지 않다(14%가 PIA를 생성했다고 응답); 많은 PIA가 SDLC의 후기에 발생하며 PIA 생성을 담당하는 역할은 다양하여 소유권이 확산되어 있음을 시사한다.
• 프라이버시 정책은 종종 법률 전문가와 템플릿에 의해 형성되므로 정책 대 앱 콘텐츠의 불일치 가능성을 야기할 수 있다.