[논문 리뷰] Privacy Engineering in the Wild: Understanding the Practitioners' Mindset, Organisational Aspects, and Current Practices

Leonardo Horn Iwaya, Muhammad Ali Babar외 1명|Bristol Research (University of Bristol)|2022. 11. 16.

Privacy, Security, and Data Protection인용 수 7

한 줄 요약

이 연구는 9개국의 30명의 전문가들을 대상으로 심층 인터뷰를 통해 사생활 공 ingeneering 실천 방식을 조사하였으며, 효과적인 사생활 공 ingeneering을 위한 핵심 요소로 조직의 사생활 문화와 리더십의 유 commitment 가 드러났다. 연구는 전문가들의 사생활 사고 방식, 조직 차원의 사생활 요소, 그리고 구체적인 공학적 실천 방식이라는 상호 연결된 세 가지 주제를 규명하였으며, GDPR 이후 규제 인식이 증가한 상황에서도 사생활 연구와 산업 현장 실천 간 격차가 여전히 존재함을 시사한다.

ABSTRACT

Privacy engineering, as an emerging field of research and practice, comprises the technical capabilities and management processes needed to implement, deploy, and operate privacy features and controls in working systems. For that, software practitioners and other stakeholders in software companies need to work cooperatively toward building privacy-preserving businesses and engineering solutions. Significant research has been done to understand the software practitioners' perceptions of information privacy, but more emphasis should be given to the uptake of concrete privacy engineering components. This research delves into the software practitioners' perspectives and mindset, organisational aspects, and current practices on privacy and its engineering processes. A total of 30 practitioners from nine countries and backgrounds were interviewed, sharing their experiences and voicing their opinions on a broad range of privacy topics. The thematic analysis methodology was adopted to code the interview data qualitatively and construct a rich and nuanced thematic framework. As a result, we identified three critical interconnected themes that compose our thematic framework for privacy engineering "in the wild": (1) personal privacy mindset and stance, categorised into practitioners' privacy knowledge, attitudes and behaviours; (2) organisational privacy aspects, such as decision-power and positive and negative examples of privacy climate; and, (3) privacy engineering practices, such as procedures and controls concretely used in the industry. Among the main findings, this study provides many insights about the state-of-the-practice of privacy engineering, pointing to a positive influence of privacy laws (e.g., EU General Data Protection Regulation) on practitioners' behaviours and organisations' cultures. Aspects such as organisational privacy culture and climate were also confirmed to have [...].

연구 동기 및 목표

• 실제 조직 환경에서 소프트웨어 전문가들이 사생활 공 ingeneering를 어떻게 인식하고 있는지 이해하기 위해
• 조직 문화, 리더십, 사생활 분위기가 전문가들의 행동과 실천 방식에 어떤 영향을 미치는지 탐구하기 위해
• 산업 현장에서 사용 중인 도구, 방법, 절차적 통제 수단을 포함한 사생활 공 ingeneering의 현재 상태를 규명하기 위해
• 소프트웨어 엔지니어가 실천하는 방식과 사생활 연구 및 규제 프레임워크(예: GDPR) 간 격차를 메우기 위해
• 더 나은 산업 연계성의 사생활 공 ingeneering 이론, 도구, 교육 프로그램 개발을 뒷받침하기 위해

제안 방법

• 다양한 국가와 조직 배경을 가진 30명의 소프트웨어 전문가들을 대상으로 반구조화된 심층 인터뷰를 실시하였다.
• 오픈 코딩과 반복적인 팀 검토를 활용한 주제 분석을 통해 풍부한 질적 주제 프레임워크를 개발하였다.
• 외부 전문가 검토와 정기적인 팀 회의를 통해 코딩의 신뢰성과 주제의 일관성을 확보하였다.
• 전문가들의 개인적 사생활 사고 방식, 조직 차원의 사생활 역학, 그리고 실제 공학적 실천 방식을 중심으로 데이터를 수집하였다.
• 특히 GDPR을 포함한 사생활 법, 소프트웨어 공학, 사회기술 시스템 이론의 통찰을 통합하였다.
• 반복적인 데이터 분석과 다수 연구자 간의 공감대 형성을 통해 방법론적 엄밀함을 확보하였다.

(a) System Types

실험 결과

연구 질문

• RQ1 소프트웨어 전문가들은 사생활을 어떻게 인식하고 내면화하며, 실제 현장에서 그들의 사생활 사고 방식은 무엇에 의해 형성되는가?
• RQ2 조직 구조, 리더십, 사생활 분위기는 사생활 공 ingeneering 행동에 어떤 역할을 하는가?
• RQ3 산업 현장에서 실제로 사용 중인 특정 사생활 공 ingeneering 실천 방식, 도구, 통제 수단은 무엇이며, 어떻게 구현되고 있는가?
• RQ4 GDPR과 같은 사생활 규제는 전문가들의 행동과 조직의 사생활 문화에 어떤 영향을 미치는가?
• RQ5 기존의 사생활 공 ingeneering 연구와 실제 소프트웨어 개발 실천 간의 주요 격차는 무엇인가?

주요 결과

• 전문가들의 사생활 행동은 조직의 사생활 문화와 분위기에 크게 영향을 받으며, 긍정적인 분위기는 준수와 사전적 사생활 실천을 크게 향상시킨다.
• GDPR은 전문가들의 사생활 인식과 조직의 사생활 실천에 측정 가능한 긍정적 영향을 미쳤으며, 특히 정책 수용과 절차적 통제 측면에서 두드러졌다.
• 사생활 법규와 일반적인 전략(예: 암호화, 동의 관리)에 대한 인식은 있지만, 전문가들은 종종 사생활 공 ingeneering를 위한 체계적 또는 표준화된 접근 방식을 확보하지 못하고 있다.
• 최고 경영진의 사생활에 대한 약속은 핵심적인 추진력이며, 리더십이 가치를 일치시키고 사생활 인식이 높은 행동을 보상할 경우 조직의 사생활 문화가 향상된다.
• 기존의 사생활 공 ingeneering 연구와 산업 현장 실천 간 격차가 여전히 크며, 전문가들은 검증된 도구와 방법론을 잘 모른다.
• 조직은 연구와 실천 간 격차를 메우고 사생활 공 ingeneering을 소프트웨어 개발 과정에 더 체계적으로 통합하기 위해 교육 및 인식 제고 프로그램에 투자할 필요가 있다.

(b) Application Areas