계획된 행동이론을 바탕으로 군 조직구성원의 정보보안 정책준수 의도에 영향을 미치는 요인을 분석하고, 조직 특성을 고려한 효과적인 보안 정책 준수 방안을 제시함 doc_id PCY_201809120352403501_2

본 연구는 계획된 행동이론에 의거하여 기존의 정보보안 정책준수 관련 연구들에서 자주 다루었던 변수들에 정보보안 의식교육을 추가하여 가설을 검증하였다. 구체적으로 지각된 외부환경 요인으로 주관적 규범과 정보보안의식교육을 그리고 지각된 개인내적 요인으로 정책준수에 대한 태도와 행동 통제감을 설정하여 모형을 구성하였다. 외부환경 요인 중 정보보안에 대한 주관적 규범은 정보 보안 정책준수 의도에 긍정적인 영향을 미치는 것으로 나타났으나(가설 1), 보안의식교육은 유의한 영향력이 없었다(가설 4). 개인내적 요인 중 정보보안 정책준수 태도는 정책준수 의도에 긍정적인 영향을 미치는 것으로 나타났으나(가설 2), 지각된 행동 통제감은 유의한 영향력이 없었다(가설 3). 즉, 이 결과는 군 조직구성원들이 정보보안 정책준수에 대한 사회적 압박감을 느끼고, 보안 정책에 대해 긍정적인 태도를 가질 때 정책준수 의도가 높아진다는 것을 의미한다. 과거 Al-Olmari et al.(2013)의 연구와 Ifinedo(2014)의 연구에서도 이와 유사하게 주관적 규범과 정책준수 태도의 유의한 효과가 보고된 바 있다. 반면 보안의식교육의 영향은 유의하지 않은 것으로 나타났는데 이 변수는 보안교육의 내용을 묻는 것이 아니라 보안과 관련된 교육이 제공되고 있다는 사실을 인지하고 있는지 측정한 것이다(D’Arcy et al., 2009). 본 연구 결과에 따르면 군 조직구성원의 보안교육 인식 여부가 주관적 규범만큼의 압박감을 주지는 않았다고 해석될 수 있다. 또한 정책준수에 대한 인지된 행동 통제감도 유의한 영향이 없는 것으로 나타났는데, 이 변수는 정책준수의 용이함, 보안정책에 대한 지식, 보안교육 내용을 이행할 수 있다는 자신감을 측정한 것이다. 앞서 보안교육 변수의 효과가 미미했던 점을 고려하면, 교육 실시 여부가 조직구성원에게 유효한 압박감으로 작용하지 않았기 때문에 굳이 교육 내용에 대한 파악 혹은 교육 정책 준수의 필요성을 크게 느끼지 않았다고 해석될 수 있다. 혹은 위계적 권력관계, 명확한 명령체계, 집합주의 등의 특성을 갖는 군 조직에서 사회적 규범을 따르는 것은 중요하지만 자기 행동을 스스로 통제할 수 있다는 자신감이 조직 차원에서는 그다지 중요하지 않은 것일 수도 있다(이강언, 2002). 앞서 간부 계급 분석 결과에서도 정책준수 의도에 유의한 영향력을 지닌 변수는 사회적 규범이 유일했다. 반면 보상(가설 7), 업무 부담(가설 8), 내재적 비용(가설 9), 제재(가설 11) 관련 가설은 기각되었다. 보상은 군 조직에서 정보보안 정책을 준수함으로써 받을 수 있는 금전적 보상이 없고, 비금전적 보상(표창, 상장, 평판 등)은 있더라도 받을 확률이 낮기 때문에 효과가 유의하지 않았던 것으로 분석된다. 제재는 정보 보안 정책준수 태도에 대한 경로계수는 통계적으로 유의했으나 가설과는 반대로 부정적인 영향을 미치는 것으로 나타났다. 이는 강한 제재가 오히려 역효과를 낳을 수도 있음을 시사한다. Pahnila et al.(2007)의 연구에서도 구성원의 동의와 이해가 전제되지 않은 제재 자체는 효과가 없는 것으로 드러난 바 있다. 본 연구 모형에서 정보보안 정책준수 태도에 관한 변수들을 살펴보면 보안 안전성과 보안 취약성은 보안정책 준수/미준수로 인한 ‘조직 수준’에서의 예상 결과를 다루고 있고, 충성심은 개인이 조직 혹은 조직구성원에 대해 가지고 있는 헌신이나 애착과 같은 긍정적인 감정이므로 ‘개인과 조직 수준이 혼합’된 개념이며, 내재적 이익, 보상, 업무 부담, 내재적 비용, 제재는 정책 준수/미준수로 인한 ‘개인 수준’에서의 긍정적 혹은 부정적 예상 결과를 다루고 있음을 알 수 있다. 더 나아가 연구 결과를 바탕으로 정보보안 정책준수 태도에 영향력이 있는 변인들의 수준에 대한 개념적인 구분을 시도하였고, 개인 수준보다 조직 수준의 변인들(보안 안전성, 보안 취약성, 군 충성심)이 유효한 효과를 지닌 것을 확인하였다. 이는 첫째, 조직의 특성에 따른 연구 모형의 차별화 가능성을 보여주었다는 점에서 후속연구의 방향성을 제시하였다고 볼 수 있다. 즉, 향후 다양한 조직 표본을 대상으로 연구 모형에서 일반화가 가능한 변수들과 조직 특성에 따라 영향을 받는 변수들을 체계적으로 탐색함으로써 모형을 점진적으로 개선해 나갈 수 있을 것이다. 또한 둘째, 정보보안 정책준수가 군 조직 차원에서 얼마나 중요한지 구성원들에게 이해시키는 것이 이들의 정책준수율을 높이는 효과적인 방법이 될 수 있음을 시사한다. 군대의 보안의식교육 프로그램이 이러한 점을 고려하여 구성된다면 정책준수 수준을 향상시킬 수 있을 것이다. 이와 관련하여 셋째, 일반 병사와 간부 계급 모두에서 정책준수 의도에 영향을 미친 유일한 요인은 주관적 규범이었으므로 보안의식교육을 실시할 때 내용적으로는 보안 안전성과 보안 취약성을 강조하고, 정서적으로는 군 충성심을 상기시켜 정책준수가 규범으로 강하게 인식되도록 지도할 필요가 있다. 본 연구에서는 설문조사를 통해 자기보고 형식으로 자료를 수집하였다. 그러나 이 측정 방법을 사용하면 응답자들이 실제보다 더 긍정적인 방향으로 혹은 사회적으로 더 바람직한 방향으로 응답하는 반응편파(response bias) 문제가 발생할 가능성이 있다(Lebek et al., 2013). 정보보안이라는 민감한 주제에 대해서는 이러한 반응편파가 더 강하게 일어날 수 있다. 따라서 추후 측정 방식의 다양화를 통해 단일 자료수집 방법의 제약을 극복하기 위한 노력을 기울일 필요가 있다. 또한 본 연구는 정보보안 정책준수 의도까지만 살펴보았으며 의도가 실제 행동으로 이어지는 경로까지 검증하지는 못했다. 이는 기존의 많은 정보보안 연구들에서도 드러난 문제점이기도 하다(Bulgurcu et al., 2010; D’Arcy et al, 2009; Ifinedo, 2012; Siponen & Vance, 2010). 따라서 정책준수 행동을 포함한 후속 연구가 이어져야 할 것이다. 마지막으로 1개 부대를 대상으로 자료를 수집하였기 때문에 연구 결과의 일반화에 대한 의문이 제기될 수 있다.