[논문 리뷰] People Are the Answer to Security: Establishing a Sustainable Information Security Awareness Training (ISAT) Program in Organization

Oyelami Julius Olusegun, Norafida Ithnin|arXiv (Cornell University)|2013. 09. 01.

Information and Cyber Security인용 수 14

한 줄 요약

이 논문은 우니버시티 테크놀로지 말레이시아(UTM)에서 구현한 지속 가능한 정보보안 인식 훈련(ISAT) 프로그램을 제시한다. 이 프로그램은 웹 기반 훈련, 월간 주제별 세션, 캠퍼스 캠페인, 외부 강사 초청, 대상별 프레젠테이션을 통합하여 운영된다. 맞춤형이고 지속적인 교육을 통해 사용자의 인식과 행동을 성공적으로 변화시켰으며, 조직의 장기적 보안 회복력 확보를 위해 사람 중심의 접근이 필수적임을 입증한다.

ABSTRACT

Educating the users on the essential of information security is very vital and important to the mission of establishing a sustainable information security in any organization and institute. At the University Technology Malaysia (UTM), we have recognized the fact that, it is about time information security should no longer be a lacking factor in productivity, both information security and productivity must work together in closed proximity. We have recently implemented a broad campus information security awareness program to educate faculty member, staff, students and non-academic staff on this essential topic of information security. The program consists of training based on web, personal or individual training with a specific monthly topic, campus campaigns, guest speakers and direct presentations to specialized groups. The goal and the objective are to educate the users on the challenges that are specific to information security and to create total awareness that will change the perceptions of people thinking and ultimately their reactions when it comes to information security. In this paper, we explain how we created and implemented our information security awareness training (ISAT) program and discuss the impediment we encountered along the process. We explore different methods of deliveries such as target audiences, and probably the contents as we believe might be vital to a successful information security program. Finally, we discuss the importance and the flexibility of establishing a sustainable information security training program that could be adopted to meet current and future needs and demands while still relevant to our current users.

연구 동기 및 목표

• 지속적인 조직의 정보보안 인식 격차를 해소하기 위해 지속 가능하고 사용자 중심의 훈련 프로그램을 구축하기 위해.
• UTM에서 정보보안 교육을 일상 조직 문화에 통합하여 장기적 관련성과 참여도를 보장하기 위해.
• 참여도 저하와 일관성 없는 메시지 전달과 같은 ISAT 구현의 일반적 장애요소를 극복하기 위해.
• evolving 보안 위협과 사용자 요구에 맞게 유연하고 확장 가능한 ISAT 모델을 개발하기 위해.

제안 방법

• 교수진, 직원, 학생, 비학술 직원 등 다양한 사용자 그룹에 맞춘 웹 기반 모듈을 통해 훈련을 제공하였다.
• 지속적인 관련성과 사용자 관심 유지 목적으로 월간 주제 중심 훈련을 도입하였다.
• 핵심 보안 메시지를 강화하고 가시성을 높이기 위해 캠퍼스 전역의 캠페인과 이벤트를 실시하였다.
• 특정 그룹에 대상화된 영향력을 높이기 위해 외부 강사 초청 및 직접 프레젠테이션을 실시하였다.
• 각 대상 그룹에 적합한 실제 보안 과제를 바탕으로 콘텐츠를 설계하였다.
• 프로그램의 적응성과 장기적 지속 가능성을 확보하기 위해 피드백 루프와 점진적 개선을 구축하였다.

실험 결과

연구 질문

• RQ1 어떻게 조직은 장기적인 사용자 참여를 유지할 수 있는 지속 가능한 정보보안 인식 훈련(ISAT) 프로그램을 구축할 수 있는가?
• RQ2 사용자의 정보보안에 대한 인식과 행동을 변화시키는 데 가장 효과적인 배포 방식은 무엇인가?
• RQ3 다양한 조직 그룹에 맞춰진 ISAT 프로그램는 어떻게 유지하면서도 일관성과 관련성을 확보할 수 있는가?
• RQ4 효과적인 ISAT 구현을 저해하는 제도적 및 문화적 장애요소는 무엇이며, 이를 어떻게 극복할 수 있는가?
• RQ5 ISAT 프로그램의 장기적 지속 가능성과 적응 가능성 보장을 위한 구조적 및 콘텐츠 설계 원칙은 무엇인가?

주요 결과

• UTM의 ISAT 프로그램은 다양한 사용자 그룹에 걸쳐 정보보안에 대한 인식 향상과 인식 변화를 성공적으로 이끌었다.
• 월간 주제별 훈련 세션은 일회성 또는 일반적인 훈련에 비해 지속적인 참여도 향상에 뚜렷한 효과가 있었다.
• 캠퍼스 캠페인과 외부 강사 초청 이벤트는 핵심 보안 메시지를 효과적으로 강화하고 가시성을 높였다.
• 특수 부서에 대상화된 프레젠테이션은 고위험 부서에서의 이해도 향상과 행동 변화에 높은 영향을 미쳤다.
• 프로그램는 민첩성과 적응성을 입증하여 새로운 위협과 사용자 요구에 맞게 진화할 수 있었다.
• 사용자 피드백을 통해 보안 책임에 대한 이해가 향상되었고, 능동적인 보안 행동에 대한 태도 변화가 명확하게 측정되었다.