[논문 리뷰] The Ethics of Hacking: Should It Be Taught?

Nicole Radziwill, Jessica Romano외 2명|arXiv (Cornell University)|2015. 12. 09.

Information and Cyber Security참고 문헌 10인용 수 3

한 줄 요약

이 논문은 소프트웨어 품질과 사이버보안을 향상시키기 위해 컴퓨터 과학 및 소프트웨어 공학 교육에서 윤리적 해킹을 교육해야 한다고 주장한다. 악성 해커와 숙련된 페널테이션 테스트어를 구분함으로써, 저자들은 교육 과정에 해킹 기술을 통합하여 사전에 취약점을 식별함으로써 시스템 보안과 소프트웨어 개발의 윤리적 책임을 향상시키기를 주장한다.

ABSTRACT

Poor software quality can adversely affect application security by increasing the potential for a malicious breach of a system. Because computer security and cybersecurity are becoming such relevant topics for practicing software engineers, the need for educational opportunities in this area is steadily increasing. Universities and colleges have recognized this, and have started to offer programs in cybersecurity. At face value, these new programs may not appear controversial, but developing their curriculum requires answering a complex ethical question: Should programs teach hacking to their students? Even though there are different types of hackers, media reports of cybersecurity incidents tend to reserve the "hacker" label for cyber criminals, which overlooks the value in hacking (and, by extension, teaching students to hack). This article examines the full spectrum of hacking behavior, as well as arguments for and against including hacking in education programs, and recommends that hacking skills be considered an essential component of an education and practice in software quality assurance.

연구 동기 및 목표

• 소프트웨어 공학 프로그램에서 증가하는 사이버보안 교육의 필요성을 해결하기 위해.
• 학술적 환경에서 해킹 기술을 교육하는 데 있어 윤리적 함의를 검토하기 위해.
• 해커에 대한 부정적인 미디어 보도를 도려내기 위해 윤리적 해킹의 가치를 부각함으로써 이를 도전하기 위해.
• 해킹을 소프트웨어 품질 확보 교육의 합법적이고 필수적인 구성 요소로 위치지어 보기 위해.
• 공식적인 컴퓨터 과학 및 소프트웨어 공학 교육 과정에 윤리적 해킹을 통합하기 위한 프레임워크를 제공하기 위해.

제안 방법

• 악성에서 윤리적(화이트햇) 해킹에 이르는 해킹 행동의 스펙트럼을 분석함으로써.
• 기존 사이버보안 교육 프로그램과 그들의 교육 과정 격차를 검토함으로써.
• 실제 소프트웨어 취약점과 유출 사례를 인용하여 사전 보안 테스트의 필요성을 설명함으로써.
• 윤리적 해킹을 소프트웨어 품질 확보 교육에 통합하는 교육적 모델을 제안함으로써.
• 윤리적 프레임워크를 활용하여 해킹을 책임감 있고 전문적인 실천으로서 가르치는 것을 정당화함으로써.
• 학술 프로그램에서 랩, 시뮬레이션, 자격증 경로를 통해 교육 과정 통합을 제안함으로써.

실험 결과

연구 질문

• RQ1 다양한 유형의 해킹 간 윤리적 구분은 무엇이며, 교육 정책에 어떤 영향을 미치는가?
• RQ2 왜 윤리적 해킹을 가르치는 것이 소프트웨어 품질과 시스템 보안 향상에 필수적인가?
• RQ3 학술 기관은 악성 행동을 유도하지 않으면서도 해킹 기술을 교육 과정에 어떻게 책임감 있게 통합할 수 있는가?
• RQ4 침투 테스트 및 취약점 탐지 기술 훈련의 위험과 이점은 무엇인가?
• RQ5 어떻게 윤리적 해킹을 소프트웨어 공학 교육 내에서 전문적이고 책임감 있는 실천으로 프레임워크화할 수 있는가?

주요 결과

• 윤리적 해킹은 적절히 교육되고 규제될 경우, 사전에 보안 결함을 식별함으로써 소프트웨어 품질을 크게 향상시킨다.
• 미디어에서 모든 해커를 사이버 범죄자로 혼동함으로써 대중의 인식이 왜곡되고, 숙련된 페널테이션 테스트의 가치가 훼손된다.
• 교육 현장에서 해킹을 가르치면 악성 이용 전에 취약점을 탐지할 수 있도록 학생들을 준비시킴으로써 시스템 유출 위험을 줄일 수 있다.
• 윤리적 해킹 훈련을 포함하는 교육 과정은 실무 중심의 실제 기술을 갖춘 더 많은 보안 중심의 소프트웨어 엔지니어를 양성한다.
• 해킹을 소프트웨어 품질 확보 교육의 핵심 구성 요소로 포함하는 데는 강력한 윤리적 및 전문적 정당성이 있다.
• 학술 프로그램에 윤리적 해킹을 통합하면 소프트웨어 개발의 기술적 능력과 윤리적 의사결정 능력이 모두 향상된다.