군 조직구성원의 정보보안 정책준수 태도에 영향을 미치는 인지적·정서적 요인에 관한 연구 doc_id PCY_201809120352403501_1

정보통신기술이 빠른 속도로 발전하고 있는 만큼 해킹 등 정보보안 관련 위협도 해마다 증가하고 있다(Richardson, 2011). 정보보안 사고는 개인뿐만 아니라 조직 및 사회 수준에서 큰 피해를 유발하며(Campbell, Gordon, Loeb, & Zhou, 2003), 국가 안보와 관련이 있는 정보처럼 가치와 중요성이 높은 정보에 대한 보안 사고는 막대한 사회적 비용이 발생한다. Ponemon 연구소가 발표한 바에 따르면 정보유출 사고 발생 시 처리비용은 건당 약 362만 달러에 달한다(Ponemon Institute, 2017). 정보보안 사고의 원인에 대해 Warkentin과 Willson(2009)은 바이러스나 웜(worm)과 같은 기술적 요인보다 조직구성원 및 관계자, 즉 인적자원 요인이 더 큰 위협 요소라고 지적한 바 있다. 실제 정보보안 위반의 약 50%가 조직구성원에 의해 발생한다는 연구 결과도 있다(Crossler, Johnston, Lowry, Hu, Warkentin, & Baskervilleet, 2013). 정보보안이란 다양한 위험 요소로부터 정보시스템과 정보자원을 안전하게 보호하는 것이고(Pfleeger & Pfleeger, 2006; Stallings, 2013), 정보보안 정책은 이러한 목적 달성을 위해 조직구성원의 역할과 책임 사항들을 명시해 놓은 것이다(Bulgurcu, Cavusoglu, & Benbasat, 2010). 군 조직의 정보보안 정책은 ｢국가정보원법｣의 보안업무규정에 따른 부대별 보안 규정이라고 볼 수 있다. 조직의 정보보안을 위해 정보보안 정책 수립은 필수적이나 정책 수립 자체만으로 시행이 원활하게 이뤄지는 것은 아니다. 정책의 존재가 조직구성원의 정책준수를 보장하는 것은 아니기 때문이다(Stanton, Stam, Mastrangelo, & Jolton, 2005). 즉, 조직에서 정보보안 정책을 수립해도 구성원이 그 중요성을 이해하지 못하거나 정책을 따르지 않으면 정책 수립이 무의미해지며(Herath & Rao, 2009), 정보보안 담당자가 정책을 잘 이해하고 필요한 예방 조치에 동의했을 때 제대로 효력을 발휘할 수 있다. 따라서 정보보안 정책준수 및 이행이라는 실제 ‘행동’이 일어나는 과정에서 과연 어떤 요인들이 주요하게 영향을 미치는지 알아볼 필요가 있다. 정보보안교육은 조직구성원이 반드시 알아야 할 정보보안 정책 내용과 수행 절차, 구성원에게 요구되는 능력, 정보보안의 중요성 및 위험성 등에 관한 지식과 기술을 제공하는 것이다(D’Arcy, Hovav, & Galletta, 2009; Lee & Lee, 2002; Thomson, von Solms, & Louw, 2006; Whitman, Townsend, & Alberts, 2001). 현재 많은 조직에서 의무교육으로서 실시하고 있다. 교육을 통해 조직구성원은 정보보안 정책과 중요성에 대한 이해도가 높아지게 된다(Gundu & Flowerday 2013). 또한 보안교육은 피교육자들로 하여금 불법 및 부정행위 혹은 위반 행동에 대한 판단과 의도에 영향을 주고(Harrington, 1996), 처벌의 심각성을 인지하게 하는 등(임명성, 2014; D’Arcy et al., 2009; Peace, Galletta, & Thong, 2003) 부정적인 행동을 억제하는 효과가 있다. 따라서 조직구성원은 교육을 통해 일차적으로 지식과 기술을 습득하지만, 조직에서 보안교육을 실시하는 상황을 통해 암묵적으로 조직이 정보보안을 얼마나 중요하게 여기는지 인식하게 된다. 마지막으로 정책 미준수 비용으로 내재적 비용, 취약성, 제재가 있다. ‘내재적 비용’은 내재적 이익과 상반되는 개념으로 정책을 따르지 않았을 때 느끼는 스트레스, 죄책감, 수치심 등의 부정적인 감정이다. 내재적 비용은 간접적으로 처벌의 효과가 있고, 조직 내 범죄를 예방하는 억제기능이 있다(Paternoster & Simpson, 1996). 정책을 따르지 않았을 때 치룰 대가가 크면 조직구성원의 정책 준수 의지는 강해지기 때문이다. 정보보안 ‘취약성’은 정보가 효율적으로 관리, 통제, 보호되지 않고 있는 상태이다(Peltier, 2005). 정책 미준수로 조직의 보안 수준이 취약해진다고 믿으면 구성원의 정책준수 의지는 높아질 것이다. ‘제재’는 정책 미준수로 인해 받는 처벌로 강등, 평판 손실, 비/금전적 처벌, 불리한 평가 등이 여기에 해당된다. 제재는 조직구성원의 범죄 의도에 부정적 영향을 미치므로(Straub & Nance, 1990) 인지된 제재 수준이 높을수록 구성원은 정책을 더 잘 준수하려 할 것이다. 내재적 비용, 취약성, 제재는 정책을 따르지 않았을 때 발생할 수 있는 부정적 결과에 대한 예상 비용이다. 따라서 비용이 높다고 지각할수록 정보보안 정책을 준수하려는 태도는 더 강해질 것이다. 관련 가설은 아래와 같다. ‘지각된 외부환경’ 요인과 ‘지각된 개인내적’ 요인은 본 연구에서 새롭게 추가된 개념이다. 문화에 따른 심리적 특성 차이를 연구하는 문화차 심리학(Cross-cultural Psychology) 연구에서 밝혀진 바에 따르면(예: Hofstede, 2001; Triandis, 1995), 개인주의가 강한 서구 문화권에 비해 집합주의적인 아시아 문화권에서는 자기중심적이고 독립적인 자아개념보다는 집단 중심적이고 관계적인 사회적 자아개념이 더 우세하고(Bochner, 1994; Markus & Kitayama, 1999), 사건을 대상의 속성을 따져 분석적으로 이해하는 사고방식보다는 상황과 맥락을 고려해 종합적으로 설명하는 사고방식이 더 우세하며(Choi & Nisbett, 1998), 환경을 바꾸기보다는 환경을 수용하고 받아들이는 경향이 더 강하기 때문에 내적통제소재(internal locus of control) 점수는 상대적으로 낮고, 외적통제소재(external locus of control) 점수는 상대적으로 높게 나타난난다(Cheng, Cheung, Chio, & Chan, 2013). Bulgurcu et al.(2010)의 모형에 제시된 변수들은 철저하게 예상 혜택과 예상 비용을 평가한다는 점에서 인지적 성격을 띠고 있다. 그러나 많은 학자들이 주장하듯(Eagly & Chaiken, 1998; Engel et al., 1995; Hogg & Vaughan, 2005; van den Berg et al., 2006), 태도는 합리적으로 이해득실을 따지는 인지적 기준뿐만 아니라 비계산적인 ‘정서적’ 요인에 의해서도 결정된다. 조직 맥락에서 논의할 수 있는 정서적 요인으로는 구성원이 조직에 대해 가지는 긍정적인 정서인 충성심(loyalty) 혹은 정서적 조직 몰입(affective organizational commitment)이 있다. 충성심이란 특정 대상에 대한 헌신이나 애착심의 감정을 의미하며, 그 대상이 조직일 때 ‘조직에 대한 충성심’으로 개념화되고(Powers, 2000), 조직구성원의 의무 중 하나로 언급되기도 한다(Rousseau, 1990). 군 조직은 ｢군인의 지위 및 복무에 관한 기본법｣ 제4장 제20조에 충성의 의무가 명시되어 있을 만큼(국방부, 2017) 조직에 대한 충성을 군인의 필수 덕목이자 의무로 여긴다. 다음으로 합리적 선택이론에 근거하여 정보보안 정책준수 태도에 영향을 미치는 변수들에 대한 가설을 검증하였다. 기존 연구에서 Bulgurcu et al.(2010)이 제안한 변수들은 개념적으로 합리적인 계산 기준이라고 보고, 이를 보완하기 위해 정서적인 비계산 기준 요인으로서 군에 대한 충성심을 추가하였다. 가설 검정 결과, 기존 연구들과 유사하게 내재적 이익(가설 5), 보안 안전성(가설 6), 보안 취약성(가설 10)이 유의한 영향력을 지닌 것으로 나타났고, 새롭게 추가한 군 충성심 요인(가설 12)도 정보보안 정책준수 태도에 긍정적인 영향을 미치는 것으로 나타났다. 이 결과는 보안 정책을 준수하면 부대의 보안 안전성이 향상될 것이라는 믿음 그리고 정책을 준수하지 않으면 부대의 보안 취약성이 높아질 것이라는 우려가 군 조직구성원의 보안 정책준수 태도에 영향을 미친다는 것을 보여주며(Bulgurcu et al., 2010; Cox, 2012; Rogers, 1983; Zhang, Reithel, & Li, 2009) 또한 조직에 대한 애정, 즉 군에 대한 충성심과 보안 정책준수 태도 사이에 유의한 관계가 있음을 보여준다.