[논문 리뷰] Human Behaviour as an aspect of Cyber Security Assurance

Mark Evans, Λέανδρος Μαγλαράς외 2명|arXiv (Cornell University)|2016. 01. 15.

Information and Cyber Security참고 문헌 11인용 수 4

한 줄 요약

이 논문은 인간 신뢰성 평가와 통계적 품질 관리를 보안 프로세스에 통합함으로써 인간 중심의 사이버 보안 확보 프레임워크를 제안한다. 인간 행동이 보안 포지션에 상당한 영향을 미친다고 주장하며, 특히 인간 요인에 기인한 취약성을 체계적인 평가 방법으로 완화하기 위해 반복 가능하고 정량적인 지표가 필요하다고 강조한다.

ABSTRACT

There continue to be numerous breaches publicised pertaining to cyber security despite security practices being applied within industry for many years. This article is intended to be the first in a number of articles as research into cyber security assurance processes. This article is compiled based on current research related to cyber security assurance and the impact of the human element on it. The objective of this work is to identify elements of cyber security that would benefit from further research and development based on the literature review findings. The results outlined in this article present a need for the cyber security field to look in to established industry areas to benefit from effective practices such as human reliability assessment, along with improved methods of validation such as statistical quality control in order to obtain true assurance. The article proposes the development of a framework that will be based upon defined and repeatable quantification, specifically relating to the range of human aspect tasks that provide, or are intended not to negatively affect cyber security posture.

연구 동기 및 목표

• 현재 사이버 보안 확보 관행에서 인간 행동과 관련된 격차를 규명하기 위해.
• 기존 보안 조치가 마련되어 있음에도 불구하고 지속적인 보안 침해 문제를 해결하기 위해.
• 사이버 보안 확보 프레임워크에 인간 신뢰성 평가 및 통계적 품질 관리 기법을 통합할 것을 주장하기 위해.
• 보안의 인간 측면을 평가하기 위한 반복 가능하고 정량적인 방법을 개발하기 위해.

제안 방법

• 사이버 보안 확보 및 인간 요인에 관한 문헌 고찰을 수행하기 위해.
• 원자력 및 항공 산업과 같은 산업 부문에서 검증된 인간 신뢰성 평가 관행을 기반으로 하기 위해.
• 보안에 영향을 미치는 인간 작업의 정의된, 반복 가능한 정량화를 바탕으로 프레임워크를 제안하기 위해.
• 통계적 품질 관리 기법을 통합하여 보안 프로세스의 유효성을 검증하기 위해.
• 인간 행동이 사이버 보안 포지션에 긍정적 또는 부정적으로 영향을 미칠 수 있는 작업에 집중하기 위해.
• 실증적 발견을 바탕으로 측정 가능한 확보 모델 설계를 이끌기 위해.

실험 결과

연구 질문

• RQ1 인간 행동은 사이버 보안 확보 프로세스의 효과성에 어떻게 영향을 미치는가?
• RQ2 기존 산업 관행 중에서 인간 관련 보안 확보를 향상시키기 위해 적응시킬 수 있는 것은 무엇인가?
• RQ3 사이버 보안 프레임워크 내에서 인간 신뢰성을 어떻게 정량화하고 검증할 수 있는가?
• RQ4 보안의 인간 측면을 반복 가능하고 측정 가능한 방식으로 평가하기 위한 방법은 무엇인가?
• RQ5 통계적 품질 관리는 사이버 보안 확보를 향상시키는 데 어떤 역할을 하는가?

주요 결과

• 기존의 보안 조치가 마련되어 있음에도 불구하고 인간 행동은 사이버 보안 침해에서 중요한 요소로 간과되기 쉬운 요소이다.
• 현재의 확보 방법은 인간 요인에 대한 체계적인 평가가 부족하여 일관성 없는 결과를 초래한다.
• 고위험 산업에서 검증된 인간 신뢰성 평가 기법은 사이버 보안 확보를 향상시키기 위해 적응시킬 수 있다.
• 통계적 품질 관리는 보안 프로세스의 유효성을 검증하고 일관성을 확보하는 데 실현 가능한 방법을 제공한다.
• 인간이 보안 포지션에 기여하는 바를 평가하기 위해 반복 가능하고 정량적인 지표가 명백히 필요하다.
• 인간 중심의 평가를 확보 프레임워크에 통합하면 전체 보안 효과성이 크게 향상될 수 있다.