[논문 리뷰] Bridging Information Security and Environmental Criminology Research to Better Mitigate Cybercrime

Colin C. Ife, T. Davies외 2명|arXiv (Cornell University)|2019. 10. 14.

Cybercrime and Law Enforcement Studies인용 수 7

한 줄 요약

이 논문은 정보보안과 환경범죄학을 연결하여, 사이버범죄 억제를 크게 향상시킬 수 있도록 환경범죄학의 이론적 프레임워크—예를 들어, 범죄 패턴 이론과 루틴 활동 이론—을 사이버 환경에 적응시킬 수 있음을 제안한다. 사이버범죄가 발생하는 구조적이고 맥락에 특화된 디지털 환경으로서의 '사이버장소(cyberplaces)' 개념을 도입함으로써, 온라인 공간에 장소 기반 범죄 예방 전략을 체계적으로 적용할 수 있다.

ABSTRACT

Cybercrime is a complex phenomenon that spans both technical and human aspects. As such, two disjoint areas have been studying the problem from separate angles: the information security community and the environmental criminology one. Despite the large body of work produced by these communities in the past years, the two research efforts have largely remained disjoint, with researchers on one side not benefitting from the advancements proposed by the other. In this paper, we argue that it would be beneficial for the information security community to look at the theories and systematic frameworks developed in environmental criminology to develop better mitigations against cybercrime. To this end, we provide an overview of the research from environmental criminology and how it has been applied to cybercrime. We then survey some of the research proposed in the information security domain, drawing explicit parallels between the proposed mitigations and environmental criminology theories, and presenting some examples of new mitigations against cybercrime. Finally, we discuss the concept of cyberplaces and propose a framework in order to define them. We discuss this as a potential research direction, taking into account both fields of research, in the hope of broadening interdisciplinary efforts in cybercrime research.

연구 동기 및 목표

• 정보보안과 환경범죄학 연구 간의 분열을 해결하기 위해, 양 분야가 사이버범죄 문제에 대해 거의 독립적으로 연구해 온 데 비해 공통의 관심사가 있음에도 불구하고 이를 통합하고자 한다.
• 환경범죄학의 핵심 이론—예를 들어 루틴 활동 이론과 범죄 패턴 이론—을 식별하고 사이버범죄 억제 전략에 매핑함으로써, 정보보안 분야에 적용 가능한 전략을 도출하고자 한다.
• 전통적 범죄학에서 물리적 장소와 유사하게 사이버범죄가 발생하는 특정하고 맥락에 민감한 디지털 환경으로서의 '사이버장소'를 정의하기 위한 새로운 개념적 프레임워크를 제안하고자 한다.
• 기술적 사이버 방어 조치와 장소 기반 범죄 예방 모델을 통합함으로써, 더 체계적이고 사전적이고 효과적인 사이버범죄 억제 전략을 도출할 수 있음을 보여주고자 한다.
• 사이버장소와 환경적 위험 요소를 중심으로 한 공통의 개념적 기반을 마련함으로써, 컴퓨터 보안 연구자들과 범죄학자들 간의 상호학습적 협업을 촉진하고자 한다.

제안 방법

• 정보보안과 환경범죄학의 시각에서 사이버범죄 연구에 대한 종합적인 문헌 고찰을 수행하여 공통 개념과 이론적 유사성을 식별하고자 한다.
• 기초적인 환경범죄학 이론—예를 들어 루틴 활동 이론, 범죄 패턴 이론, 그리고 부서진 창문 이론—을 사이버범죄 맥락에 매핑하여 이식 가능한 억제 전략을 도출하고자 한다.
• 지속적인 디지털 상호작용, 네트워크 구조, 사용자 행동에 의해 정의되는 디지털 환경으로서의 '사이버장소' 개념을 제안하고, 도시 범죄 연구에서의 물리적 장소와 유사하게 기능함을 설명하고자 한다.
• 실제 사이버범죄 사례(예: 피싱, 연인 사기, 악성코드 유포)를 사이버장소의 관점에서 분석하여 환경 설계가 범죄 기회에 어떻게 영향을 미치는지 보여주고자 한다.
• 사회학적 및 법적 정의에서의 '장소'와 '사이버스페이스' 개념을 활용하여 사이버장소 개념을 정교화하고, 추상적인 사이버스페이스와의 차이를 명확히 하며, 경계가 명확하고 상호작용적이며 행동적으로 의미 있는 디지털 환경으로서의 역할을 강조하고자 한다.
• 접근 제어, 로깅, 모니터링 등의 기술적 제어 조치와 환경범죄학 원리를 통합하여, 범죄 기회를 줄이고 탐지 위험을 높이는 사이버범죄 대응 전략을 설계하고자 한다.

실험 결과

연구 질문

• RQ1 환경범죄학의 핵심 이론—예를 들어 루틴 활동 이론과 범죄 패턴 이론—은 어떻게 사이버범죄를 설명하고 억제하는 데 적응될 수 있는가?
• RQ2 물리적 장소가 전통적 범죄학에서 기능하듯, 사이버범죄 발생과 예방에 대한 체계적 분석이 가능하도록 하는 '사이버장소'는 무엇으로 정의될 수 있는가?
• RQ3 정보보안과 환경범죄학의 통합은 어떻게 더 효과적이고 사전적 사이버범죄 억제 전략을 도출할 수 있는가?
• RQ4 디지털 환경—예를 들어 소셜 네트워크, 마켓플레이스, 메시징 플랫폼—은 어떻게 사이버장소로 작용하여 범죄 기회와 행동 양식을 형성하는가?
• RQ5 사이버범죄를 환경 설계의 산물로 보는 데서 비롯하는 함의는 무엇이며, 이러한 전환은 새로운 형태의 사이버 방어를 가능하게 하는가?

주요 결과

• 루틴 활동 이론과 범죄 패턴 이론 등 환경범죄학 이론은 특히 기회 구조와 표적 선택과 관련하여 사이버범죄 패턴을 효과적으로 설명할 수 있다.
• 물리적 장소가 도시 범죄 연구에서 기능하듯, 양호한 활동과 악성 활동을 모두 수용할 수 있는 통합적이고 맥락 인식형 디지털 환경으로서의 '사이버장소' 개념이 제안된다.
• 기존의 법적 및 사회학적 사이버스페이스 내 '장소' 정의는 너무 광범위하거나 일관성이 없어, 연구 및 응용을 위한 정교화되고 실행 가능한 '사이버장소' 정의가 필요하다.
• 사이버범죄 사례를 사이버장소에 매핑함으로써, 피싱 캠페인이나 악성코드 유포 네트워크와 같은 공격 벡터를 더 정밀하게 분석할 수 있으며, 반복적인 환경적 패턴을 식별할 수 있다.
• 환경범죄학 프레임워크와 기술적 사이버 방어 조치를 통합하면, 공격이 발생하기 전에 범죄 기회를 줄일 수 있는 사전적이고 맥락 민감한 억제 전략이 도출될 수 있다.
• 논문은 사이버범죄자들이 약한 접근 제어나 모니터링 부족과 같은 디지털 환경의 구조적 취약점을 악용한다는 점을 입증하며, 전통적 범죄자가 물리적 환경 결함을 악용하는 것과 유사하게, 장소 기반 이론이 사이버스페이스로의 이행 가능성을 확인한다.