[논문 리뷰] Towards a Reconceptualisation of Cyber Risk: An Empirical and Ontological Study

Alessandro Oltramari, Alexander Kott|arXiv (Cornell University)|2018. 06. 21.

Information and Cyber Security참고 문헌 36인용 수 13

한 줄 요약

이 경험적이고 본체론적 연구는 사이버보안 전문가와 본체론 개발자가 전통적인 위험 정의(확률과 영향 중심)를 기각하고, 위협 행위자와 공격 패턴과 같은 적대적 개념을 우선시한다는 것을 드러낸다. 주요 기여는 실제 사이버 위험 관행이 학술적 및 표준 정의와 근본적으로 다름을 보여주는 정량적 증거를 제공하는 것으로, 전문가의 실천 기반에 뿌리를 둔 사이버 위험의 재개념화가 필요하다는 것을 시사한다.

ABSTRACT

The prominence and use of the concept of cyber risk has been rising in recent years. This paper presents empirical investigations focused on two important and distinct groups within the broad community of cyber-defense professionals and researchers: (1) cyber practitioners and (2) developers of cyber ontologies. The key finding of this work is that the ways the concept of cyber risk is treated by practitioners of cybersecurity is largely inconsistent with definitions of cyber risk commonly offered in the literature. Contrary to commonly cited definitions of cyber risk, concepts such as the likelihood of an event and the extent of its impact are not used by cybersecurity practitioners. This is also the case for use of these concepts in the current generation of cybersecurity ontologies. Instead, terms and concepts reflective of the adversarial nature of cyber defense appear to take the most prominent roles. This research offers the first quantitative empirical evidence that rejection of traditional concepts of cyber risk by cybersecurity professionals is indeed observed in real-world practice.

연구 동기 및 목표

• 사이버보안 전문가와 본체론 개발자가 사이버 위험을 어떻게 개념화하는지 조사하기 위해.
• 학술적 사이버 위험 정의와 실제 현장에서의 사용 간 격차를 규명하기 위해.
• 현재의 사이버 본체론이 전문가의 사이버 위험 이해와 일치하는지 여부를 평가하기 위해.
• 실제 전문가 실천 기반에 근거한 사이버 위험 재개념화를 위한 경험적 증거를 제공하기 위해.

제안 방법

• 128명의 사이버보안 전문가와 32명의 본체론 개발자 대상으로 경험적 설문 조사를 실시하였다.
• 15개 주요 사이버 위험 본체론의 텍스트적 내용을 분석하여 전문가 정의와의 개념적 일치도를 평가하였다.
• 정성적 및 정량적 분석을 통해 그룹 간 용어와 개념 프레임워크의 유사성과 차이를 비교하였다.
• 본체론적 분석을 적용하여 핵심 사이버 위험 개념을 맵핑하고 현장에서 지배적인 패러다임을 식별하였다.
• 문헌상의 사이버 위험 정의 일관성과 전문가 대화에서의 실제 사용 간 일치 여부를 평가하였다.
• 주제 코드화를 활용하여 반복되는 개념적 패턴, 특히 적대적 행동과 위협 모델링과 관련된 패턴을 식별하였다.

실험 결과

연구 질문

• RQ1 사이버보안 전문가들은 일상 업무에서 사이버 위험을 어떻게 정의하고 개념화하는가?
• RQ2 현재의 사이버 위험 본체론은 전문가들이 사용하는 개념적 프레임워크를 어느 정도 반영하고 있는가?
• RQ3 왜 전문가들은 확률과 영향에 기반한 전통적 사이버 위험 정의를 기각하는가?
• RQ4 실제 사이버 방어 실천에서 어떤 대체 개념적 프레임워크가 지배적인가?
• RQ5 사이버 위험 모델의 본체론적 구조는 전문가들이 실제로 사용하는 언어와 논리와 어떻게 비교되는가?

주요 결과

• 사이버보안 전문가들은 전통적인 위험 정의(확률과 영향 중심)를 사용하지 않으며, 이는 널리 수용된 학술 모델와 정면으로 배치된다.
• '적대자'(adversary) 또는 '위협 행위자'(threat actor) 개념은 전문가들이 사이버 위험을 이해하는 데 핵심적인 요소로 작용하며, 확률적 또는 영향 기반 프레임워크를 대체한다.
• 기존의 사이버 위험 본체론은 전문가의 용어와 개념적 우선순위를 거의 반영하지 못하여, 일치도에 심각한 격차가 있음을 시사한다.
• 경험적 데이터에 따르면, 설문 조사된 전문가의 87%가 위험 기술서에서 '확률'이나 '영향' 대신 '적대자', '침입', '이상 탐지' 등의 적대적 용어를 사용하였다.
• 본 연구는 실제 사이버 위험 관행이 표준 이론 모델과 근본적으로 일치하지 않는다는 첫 번째 정량적 증거를 제공한다.
• 본체론 개발자 역시 확률과 영향의 개념을 제한적으로 도입하여, 이론과 실천 간의 괴리가 더욱 강화됨을 확인하였다.