[논문 리뷰] Unaware, Unfunded and Uneducated: A Systematic Review of SME Cybersecurity

Carlos Rombaldo Junior, Ingolf Becker외 1명|arXiv (Cornell University)|2023. 09. 29.

Information and Cyber Security인용 수 6

한 줄 요약

이 체계적 리뷰는 2017–2023년 사이의 소기업 정보보안에 관한 77篇의 연구를 종합하여, 세 가지 핵심 장애요인을 밝혀냈다: 위협에 대한 인식 부족, 재정적 및 디지털 자원의 제한, 정보보안 역량 부족. 본 연구는 이 분야의 연구가 반복적이며 발전이 부족하여 새로운 경험적 통찰이 거의 없음을 드러내며, 향후 연구의 질과 영향력을 향상시키기 위해 표준화되고 철저한 연구 관행이 필요하다고 주장한다.

ABSTRACT

Small and Medium Enterprises (SMEs) are pivotal in the global economy, accounting for over 90% of businesses and 60% of employment worldwide. Despite their significance, SMEs are often disregarded in cybersecurity initiatives, rendering them ill-equipped to deal with the growing frequency, sophistication, and destructiveness of cyberattacks. We systematically reviewed the cybersecurity literature on SMEs published between 2017 and 2024. We focus on research discussing cyber threats, adopted controls, challenges, and constraints SMEs face in pursuing cybersecurity resilience. Our search yielded 1090 studies that we narrowed to 132 relevant papers. We identified 44 unique themes and categorised them as novel findings or established knowledge. This distinction revealed that research on SMEs is shallow and has made little progress in understanding SMEs' roles, threats, and needs. Studies often repeated early discoveries without replicating or offering new insights. Existing research indicates that the main challenges to attaining cybersecurity resilience of SMEs are a lack of awareness of cybersecurity risks, limited cybersecurity literacy, and constrained financial resources. Resource availability varied between developed and developing countries. Our analysis indicated a relationship among these themes, suggesting that limited literacy is the root cause of awareness and resource constraint issues.

연구 동기 및 목표

• 2017년부터 2023년까지 소기업 정보보안 분야의 현재 지식 상태를 규명하고 종합하는 것.
• 소기업 정보보안 연구에서 기존 지식과 신규 경험적 발견을 구분하는 것.
• 특히 인식, 자원, 역량에 초점을 맞춰 소기업이 사이버 위협에 취약한 근본 원인을 분석하는 것.
• 기존 소기업 정보보안 문헌의 방법론적 품질과 보고 기준을 평가하는 것.
• 향후 연구의 신뢰성과 영향력을 높이기 위해 연구 관행을 개선하는 것.

제안 방법

• PRISMA 지침을 활용해 소기업 정보보안 관련 연구를 식별하기 위해 체계적 문헌 리뷰를 수행했다.
• 2017년 1월부터 2023년 12월까지 출판된 논문을 대상으로 다수의 데이터베이스를 검색하였으며, 주로 동료심사된 학술 논문을 중심으로 분석했다.
• 제목, 초록, 전문 분석을 통해 총 916건의 논문을 선별하여 최종적으로 77건의 관련 논문을 선정하고 주제 분석을 수행했다.
• 유도적 주제 분석을 수행하여 44개의 고유한 주제를 도출하였으며, 이를 기존 지식 또는 신규 발견으로 분류하였다.
• 선택된 논문들에 대해 방법론적 철저성, 보고 기준, 데이터 신뢰성 등을 평가하여 연구 품질을 평가했다.
• 질적 종합을 통해 주제 간 관계, 특히 낮은 정보보안 역량이 다른 장애요인들과 인과관계를 맺고 있음을 탐색했다.

실험 결과

연구 질문

• RQ1 소기업이 정보보안 회복력을 확보하기 위해 겪는 가장 빈번한 도전 과제와 제약 요인은 무엇인가?
• RQ2 기존의 소기업 정보보안 연구는 얼마나 많은 신규 경험적 증거를 제공하는가? 또는 이전의 발견을 반복하고 있는가?
• RQ3 소기업에서 정보보안 역량, 위협 인식, 자원 제약 간의 관계는 어떠한가?
• RQ4 방법론적 일관성 부족과 낮은 보고 기준은 소기업 정보보안 연구의 신뢰성과 타당성에 어떤 영향을 미치는가?
• RQ5 향후 소기업 정보보안 연구의 품질과 영향력을 강화하기 위해 어떤 연구 관행 개선이 필요한가?

주요 결과

• 문헌에서 44개의 고유한 주제가 도출되었으며, 대부분이 새로운 경험적 통찰이 아닌 반복적인 기존 지식으로 나타났다.
• 소기업 정보보안 회복력에 가장 큰 장애요인은 사이버 위협에 대한 인식 부족, 재정적 및 디지털 자원의 제약, 구성원의 낮은 정보보안 역량이다.
• 낮은 정보보안 역량이 낮은 인식과 자원 제약를 뒷받침하는 인과관계가 관찰되어 근본 원인으로 작용하는 것으로 나타났다.
• 연구 품질은 일관되지 않으며, 검토된 연구 중 66%는 데이터가 불완전하고, 25%는 계산 오류나 데이터 보고 오류를 포함하고 있으며, 이는 이전의 정보보안 문헌 평가에서도 지적된 바가 있다.
• 문헌은 46개의 다양한 저널과 학술 행사에 산재해 있어 전문 분야의 통합성과 방법론 표준화 부족을 보여주며, 이는 분야 내 분열을 암시한다.
• 2022년 기준 영국 소기업의 17%만이 취약점 감사를 실시하여, 위협 수준이 증가하는 상황임에도 불구하고 사전 정보보안 조치의 체계적 부족을 보여준다.