[논문 리뷰] Virtual Classrooms and Real Harms.

Shaanan Cohney, Ross Teixeira외 5명|arXiv (Cornell University)|2020. 12. 10.

Information and Cyber Security인용 수 5

한 줄 요약

이 논문은 23개의 플랫폼을 대상으로 당사자 인centives, 개인정보 정책, 주법률, 기술적 취약성을 분석하여 대학 온라인 학습 플랫폼의 리스크 평가 모델을 개발한다. 이는 관리자들이 보안 및 개인정보 보호 리스크를 평가할 수 있는 방법론을 제공하며, 기관의 이해관계자를 보호하기 위한 실행 가능한 권고 사항을 제시한다.

ABSTRACT

Universities have been forced to rely on remote educational technology to facilitate the rapid shift to online learning. In doing so, they acquire new risks of security vulnerabilities and privacy violations. To help universities navigate this landscape, we develop a model that describes the actors, incentives, and risks, informed by surveying 49 educators and 14 administrators at U.S. universities. Next, we develop a methodology for administrators to assess security and privacy risks of these products. We then conduct a privacy and security analysis of 23 popular platforms using a combination of sociological analyses of privacy policies and 129 state laws, alongside a technical assessment of platform software. Based on our findings, we develop recommendations for universities to mitigate the risks to their stakeholders.

연구 동기 및 목표

• 원격 교육 기술 채택과 관련된 주요 당사자, 인센티브, 리스크를 특정하고 맵핑하기.
• 대학 관리자가 edtech 플랫폼의 보안 및 개인정보 보호 리스크를 평가할 수 있는 실용적인 방법론 개발하기.
• 23개의 인기 있는 온라인 학습 플랫폼을 개인정보 정책 검토, 주법률 준수, 기술적 보안 평가를 통해 분석하기.
• 가상 수업에서 개인정보 및 보안 피해를 완화하기 위한 증거 기반 권고 사항 도출하기.
• 급격한 온라인 학습 전환 상황에서 대학이 학생 및 교사 데이터를 보호할 수 있도록 지원하기.

제안 방법

• 미국 대학의 49명의 교사와 14명의 관리자에게 설문 조사를 실시하여 이해관계자의 인센티브와 리스크 인식을 맵핑하기.
• 온라인 교육 기술 채택의 당사자, 인센티브, 리스크에 대한 개념 모델 개발하기.
• 23개 플랫폼의 개인정보 정책에 대해 사회학적 분석을 적용하여 데이터 처리 방식을 식별하기.
• 데이터 프라이버시 및 보호와 관련된 129개 주법률에 대한 플랫폼 준수 여부를 맵핑하기.
• 플랫폼 소프트웨어에 대한 기술적 평가를 수행하여 보안 취약점을 탐지하기.
• 결과를 통합하여 대학 관리자가 edtech 도구를 평가할 수 있는 리스크 평가 방법론 개발하기.

실험 결과

연구 질문

• RQ1 미국 대학의 온라인 학습 플랫폼과 관련된 주요 보안 및 개인정보 보호 리스크는 무엇인가요?
• RQ2 원격 교육 환경에서 교사, 관리자, edtech 벤더의 인센티브는 어떻게 일치하거나 충돌합니까?
• RQ3 인기 있는 edtech 플랫폼은 어느 정도 수준에서 주 단위 개인정보 보호법을 준수합니까?
• RQ4 광범위하게 사용되는 가상 수업 플랫폼에 어떤 기술적 취약점이 존재합니까?
• RQ5 대학은 온라인 학습 기술 선택 시 체계적으로 리스크를 평가하고 완화할 수 있습니까?

주요 결과

• 많은 인기 있는 edtech 플랫폼이 개인정보 정책에서 명확한 동의 또는 투명성 없이 민감한 학생 데이터를 수집하였다.
• 플랫폼의 개인정보 정책 상의 선언과 실제 데이터 처리 방식 사이에 중대한 괴리가 발견되었다.
• 많은 플랫폼이 데이터 보관 및 제3자 데이터 공유와 관련하여 핵심적인 129개 주 개인정보 보호법의 규정을 이행하지 못하였다.
• 기술적 평가에서 약한 인증 및 암호화되지 않은 데이터 전송과 같은 다수의 보안 취약점이 확인되었다.
• 대학들 사이에서 edtech 조달을 위한 표준화된 리스크 평가 프레임워크의 부재가 밝혀졌다.
• 관리자들이 선택한 플랫폼 내부의 데이터 흐름과 제3자 통합에 대한 시각 확보가 부족한 경우가 많았다.