[논문 리뷰] The need for effective information security awareness practices in Oman higher educational institutions

Rajasekar Ramalingam, Shimaz Khan외 1명|arXiv (Cornell University)|2016. 02. 21.

Information and Cyber Security참고 문헌 3인용 수 7

한 줄 요약

이 연구는 설문 조사로 오만의 고등교육 기관 내 정보보안 인식 수준을 조사하여 사용자 인식과 훈련의 심각한 격차를 드러냈다. 인간 관련 취약성을 줄이고 오만 교육 분야의 조직적 회복력을 강화하기 위해 기관에 맞는 보안 인식 모델을 제안한다.

ABSTRACT

The revolution of internet technology and its usage have led a significant increase in the number of online transactions and electronic data transfer, parallely increased the number of cybercrime incidents around the world. Steady economic growth in the Sultanate of Oman accelerated the volume of online utilization for e-commerce, banking, communication, education and so forth. Normally attackers target the users who ignore security practices due to the lack of information security awareness. Unawareness of information security practices, user negligence, lack of awareness programs and trainings are the root cause for information security threats. Earlier studies reveal there is a considerable and continuous cybercrime incident in Oman which compromises the security policy of the organizations, affecting the business continuity and the economic growth. In this study, a survey was performed among the educational institutions in Oman to investigate the level of information security awareness and based on the study, a security awareness model is proposed to enable information security practices in the educational institutions.

연구 동기 및 목표

• 오만의 고등교육 기관의 교직원 및 학생들 사이에서 정보보안 인식의 현재 상태를 평가하기 위해.
• 보안 인식이 낮은 데 기여하는 핵심 요인, 즉 훈련 부족과 기관 정책 부재를 특정하기 위해.
• 사용자 무관심과 열악한 보안 관행으로 인해 오만의 교육 분야에서 사이버 범죄 위협이 증가하고 있는 상황을 다루기 위해.
• 학술 기관에서 지속 가능한 정보보안 관행을 지원하는 현지 특화 보안 인식 모델을 개발하기 위해.

제안 방법

• 오만의 여러 고등교육 기관을 대상으로 보안 인식 수준에 관한 데이터를 수집하기 위해 설문 조사를 실시하였다.
• 설문 응답을 분석하여 사용자 행동 패턴, 지식 격차, 보안 훈련 측면에서의 기관의 한계를 규명하였다.
• 식별된 결함과 사이버보안 교육 분야의 최선의 실천 방식을 바탕으로 통합적인 보안 인식 모델을 설계하였다.
• 기관적, 행동적, 기술적 요소를 통합하여 학술 환경에 구현 가능한 통합 모델을 구성하였다.
• 오만의 국가 사이버보안 목표와 교육 분야의 필요에 모델을 맞추었다.
• 교육 및 IT 분야의 이해관계자들로부터의 피드백을 통해 모델의 적합성을 검증하였다.

실험 결과

연구 질문

• RQ1 오만의 고등교육 기관 사용자들 사이에서 정보보안 인식의 현재 수준은 어떠한가?
• RQ2 이 기관들에서 보안 인식이 낮고 사이버 위협에 더 취약해지는 주요 원인은 무엇인가?
• RQ3 기관 정책과 훈련 프로그램은 정보보안 관련 사용자 행동에 어떤 영향을 미치는가?
• RQ4 오만 대학에서 효과적이고 현지 특화된 보안 인식 모델에 필수적인 구성 요소는 무엇인가?
• RQ5 제안된 모델은 오만의 고등교육 분야에서 사이버보안 회복력을 어떻게 향상시킬 수 있는가?

주요 결과

• 오만의 고등교육 기관 사용자 중 상당수는 기본적인 정보보안 인식이 부족하여 사이버 위협에 더 취약하다.
• 체계적인 보안 인식 프로그램과 정기적인 훈련의 부재가 열악한 보안 관행의 주요 원인으로 확인되었다.
• 사용자 무관심과 기관 정책 부재는 교육 기관에서 사이버 범죄 사고가 증가하는 데 끊임없이 관련되어 있었다.
• 설문 조사 결과, 오직 소수의 기관에서 공식적이고 지속적인 보안 인식 활동을 운영하고 있음을 확인하였다.
• 제안된 보안 인식 모델은 기관의 필요와 국가 사이버보안 목표와 강력한 일치를 보였다.
• 연구는 목표 지향적이고 기관에 맞춘 인식 프로그램이 학술 환경에서 인간 관련 보안 위험을 크게 줄일 수 있음을 확인하였다.