An Investigation of the Psychology of Password Replacement by Email Users

전자메일 서비스 이용자의 패스워드 교체 심리에 대한 연구

Abstract

Recently, leaks of the personal information of Internet users have been occurring too frequently. Generally, Internet users have email accounts. The use of email as a communications tool in the private and public sectors has increased. Therefore, in email usage, password management to ensure a more secure email service is most important. In this study, we conducted an online survey of email users and analyzed their responses by using structural equation modeling software to find the psychological and behavioral characteristics of their password management. The results of this study provide useful suggestions on information security strategies related to email password management at both the enterprise and individual levels.

최근 IT서비스 이용자들의 개인정보 유출 사고가 종종 발생하고 있다. 일반적으로 IT서비스 이용자들은 전자메일 계정을 가지고 있다. 전자메일은 개인의 사적인 커뮤니케이션 뿐만 아니라, 공적인 커뮤니케이션 도구로 활용이 증가하고 있다. 그렇기 때문에 전자메일 이용이 확산되는 현 시점에서 보다 안전한 전자메일 서비스 이용을 위한 패스워드 관리는 매우 중요하다. 본 연구에서는 전자메일 서비스 이용자들을 대상으로 온라인 설문조사를 수행하였고, 구조방정식 소프트웨어를 이용해 패스워드 관리에 대한 심리적 특성과 행동을 분석하였다. 본 연구결과는 전자메일 패스워드 관리와 관련된 기업차원 개인정보보안 전략 수립에 유용한 시사점을 제공해 줄 것이다.

I. 서론

전자메일 이용에 대한 연구는 오래전부터 IS(Information Systems) 분야에서 많은 연구가 이루어졌다 [9,-12,22]. 전자메일 이용은 기업에서 B2B (Business to Business) 또는 B2C (Business to Customer) 업무처리 과정뿐만아니라 C2C (Customer to Customer) 커뮤니케이션(communication)에도 유용성을 제공한다. 즉, 전자메일은 사람들의 커뮤니이케션 도구로 중요한 역할을 제공하고 있다 [7,9,17,22].

일반적으로 사람들은 공적 정보와 사적 정보를 포함하고 있는 전자메일 커뮤니케이션 내용에 대해 중요성을 인정하면서도 전자메일 패스워드 관리의 중요성을 망각하고 있다. 예를들면, 독일연방보안청 (Bundesamts für Sicherheit in der Informationstechnik)에서는 패스워드 관리의 중요성을 인지하고, 보다 철저한 패스워드를 만들도록 권고안을 제안하였다[3]. 패스워드관리 솔루션기업 스플래시 데이터 (www.splashdata.com)의 조사에 의하면, 2014년 패스워드 관련 보안사고가 300만건에 이른다고 한다[3]. 헬스조선 [5]에 의하면, 인터넷 뱅킹 (Internet banking), 모바일 뱅킹 (mobile banking), 신용카드 (credit card), 금융거래를 위한 공인인증서 (certificate for transacting finance) 등 관리해야 할 많은 패스워드로 피로가 누적되게 되는 현상을 설명하기 위해 패스워드 증후군 (Password Syndrome)이라는 신조어까지 등장하고 있다 [5]

최근 발생하는 개인정보 유출 사고는 기업뿐만 아니라 IT 서비스 이용자와들에게 심각한 피해를 입히고 있다 [1]. 대표적인 전자메일 해킹 사례로, 중국의 해커그룹들이 미국 국무부의 전자메일 시스템을 해킹해 중요한 전자메일 내용을 외부로 유출시킨 사고가 있다 [2].

현재 정보보안 분야에서 전자메일 해킹 피해에 대한 중요성을 인지하면서도, 전자메일 서비스 이용자의 패스워드 교체에 대한 심리 및 행동에 대한 연구를 찾아보기 힘든 실정이다. 따라서 보다 철저한 개인정보관리를 위해서는 전자메일 서비스 이용자의 패스워드 관리의 심리와 행동에 대한 연구가 시급히 이루어져야 할 것이다.

이에 본 연구에서는 전자메일 패스워드 관리가 체계적으로 이루어지지 않는 이유를 살펴보기 위해 보안지식, 전자메일 이용자의 심리와 패스워드 교제의도 및 교체행동에 대한 관계를 분석하였다. 본 연구 결과는 사람들의 전자메일 패스워드 교체의도 및 교체행동에 대한 이해를 제공해 전자메일 개인정보보안 의식 개선에 도움을 제공할 것이다.

II. 선행연구

정보시스템 분야에서 전자메일 이용에 있어 인지된 이용 용이성 (perceived easy of use)과 인지된 유용성 (perceived usefulness)에 대한 대표 연구가 Davis [9]의 기술수용모델 (Technology Acceptance Model)이다 [9]. 현재 기술수용모델을 응용한 연구는 IS 분야를 넘어 다양한 학문 분야의 연구에 이론적 토대를 제공하고 있다 [22].

Davis [12]는 전자메일 수용 과정을 자극반응이론 (Stimulus-Response Theory)으로 설명하였다. 그는 시스템 특성이라는 자극이 전자메일 이용 용이성과 유용성에 영향을 미치고, 인지된 이용 용이성과 유용성은 전자메일 이용에 대한 태도에 영향을 미치고, 태도가 전자메일 이용행동에 영향을 미친다고 하였다 [12]. 일반적으로 IT 서비스 이용자가 정보보안에 대한 지식이 충분할수록 보다 철저하게 개인정보를 관리한다 [4]. 마찬가지로, 전자메일 서비스 이용자의 개인정보보안 지식이 충분할수록 전자메일 정보보안을 위한 패스워드 관리의 중요성을 인지할 것을 알 수 있다. 따라서 본 연구에서는 다음과 같은 가설을 제시하였다.

[H1] 전자메일 이용에 있어 보안지식은 전자메일 패스워드 교체의 유용성 인식에 양의 영향을 미칠것이다.

앞서 설명한 것처럼, Davis [11]는 전자메일 시스템 이용에 있어 이용용이성과 유용성이 이용의도에 미치는 영향을 강조하였고, Davis et al.,[10]은 전자메일 시스템 이용의 이용용이성과 유용성이 이용의도에 영향을 미치는 것을 강조하였다. 따라서 본 연구에서는 전자메일 패스워드 교체의 유용성 인식이 패스워드 교체의도에 양의 영향을 미치고, 패스워드 교체의 이용용이성이 패스워드 교체의도에 양의 영향을 미친다는 가설을 제시하였다.

[H2] 전자메일 이용에 있어, 패스워드 교체의 유용성 인식은 패스워드 교체의도에 양의 영향을 미칠 것이다.

[H3] 전자메일 이용에 있어, 패스워드 교체의 이용 용이성은 패스워드 교체의도에 양의 영향을 미칠 것이다.

Fishbein, Ajzen [13]은 합리적 행동이론(Theory of Reasoned Action: TRA)에서 심리적 특성과 행동의도와 행동의 관계를 분석하였고, 더불어 Ajzen [6]은 계획된 행동이론 (Theory of Planned Behavior: TPB)에서 심리적 특성과 행동의도와 행동의 관계를 분석하였다. 이후, Davis et al.,[10]은 합리적 행동이론과 계획된 행동이론에 기반해 전자메일 시스템 이용자들이 외부적 영향에 따른 반응으로 인지적 특성이 이용의도와 행동에 영향을 미치는 관계를 분석하였다. 이에 따라 본 연구에서는 전자메일 이용에 있어 패스워드 교체의도가 패스워드 교체행동에 영향을 미친다는 가설을 제시하였다.

[H4] 전자메일 이용에 있어 패스워드 교체의도는 패스워드 교체행동에 양의 영향을 미칠 것이다.

심리학에서 이론화된 방어동기이론 (Protection Motivation Theory: PMT)은 현재 다양한 정보 보안 연구에서 이론적 토대를 제공하고 있다 [16, 20, 23, 24]. Siponen et al.[21]은 방어동이이론 관점에서 컴플라이언스 (compliance) 의도와 행동에 대한 위협대처 (Threat Appraisal)와 방어대처 (Coping Appraisal)의 영향에 대한 연구를 수행였고, Herath, Rao [16]는 방어동기이론 관점에서 개인정보보호를 위한 준수의도와 준수행동에 영향을 미치는 다양한 심리적 요인의 인과관계를 분석하였다. Li et al.,[18]은 인지된 이익이 인터넷 이용 정책 준수의도에 유의한 영향을 미친다고 하였다. 더불어, Vance et al.,[23]은 Floyd, et al., [14]의 연구를 토대로 방어동기이론의 인지적 중재 과정 (cognitive mediating process)에서 다양한 IT서비스 이용 상황 하에서 위협대처인 보상 (rewards)과 방어대처인 반응비용 (response cost)이 정보시스템 보안 준수의도에 미치는 영향을 검증하였다. 이에 따라, 본 연구에서도 전자메일 패스워드 교체에 있어 위협대처인 보상이 전자메일 패스워드 교체의도에 영향을 미치고, 방어대처인 반응 비용이 전자메일 패스워드 교체의도에 영향을 미친다는 가설을 제시하였다.

[H5] 전자메일 이용에 있어, 보상은 패스워드 교체 행동에 양의 영향을 미칠 것이다.

[H6] 전자메일 이용에 있어, 반응비용은 패스워드 교체 행동에 영향을 미칠 것이다.

III. 연구모델

3.1 연구모델l

본 연구에서는 앞서 설명된 이론적 토대에 따라 [Fig 1]과 같은 연구모델을 제안하였다.

Fig. 1. Research Model

3.2 연구방법론

본 연구에서는 다음과 같이 측정항목을 구성하였다. 먼저, 전자메일 패스워드 교체의 이용 용이성은 패스워드를 쉽게 교체할 수 있는 인지적 특성을 의미한다. 전자메일 패스워드 교체의 유용성은 패스워드 교체를 통해 인지된 성과를 얻을 수 있다는 인지적특성을 의미한다. 전자메일 패스워드 교체의 인지된 이용 용이성과 인지된 유용성 측정항목은 Davis [9], Davis [10], Davis et al., [11], Davis [12]의 연구에 활용된 척도를 단순화해 각각 3개의 측정항목으로 구성하였다. 전자메일 패스워드 교체의도는 실제 전자메일 패스워드를 교체할 가능성과 행동의도를 의미한다. 전자메일 패스워드 교체행동은 실제 전자메일 패스워드 교체 행동 수행 정도를 의미한다. 패스워드 교체의도와 교체행동은 Ajzen [6]과 Fishbein, Ajzen [13]의 연구에 이용된 척도를 참고해, 본 연구 상황에 적합하도록 내용을 수정하였고, 측정항목을 단순화해 각각 2개의 항목으로 척도를 구성하였다. 그리고 전자메일 패스워드와 관련된 정보보안 지식은 전자메일 패스워드 관리, 전자메일 정보보안 피해의 문제점 인식, 대응방안, 예방방안을 의미한다. 본 연구에서는 한국인터넷진흥원에서 발간된 개인정보보호 지식수준 연구보고서를 참고해 정보보안 지식의 측정항목을 4개로 개발하였다 [4]. 전자메일 패스워드 교체행동에 영향을 미치는 위협평가 요인으로써의 보상은 전자메일 패스워드 교체를 통해 얻게 되는 시간적 이익과 행동적 이익을 의미한다. 대처평가 요인으로 반응비용은 전자메일 패스워드 교체를 통해 희생하게 되는 시간적 손실과 행동적 손실을 의미한다. 이 측정항목은 Vance et al., [23], Woon et al., [24]의 연구에 이용된 측정항목을본 연구에 적합하도록 수정하였고, 각각 3개의 측정 항목으로 측정을 하였다. 측정은 7점의 리커드 스케일 척도를 이용하였다. 본 연구의 측정항목은 [Table 1]과 같다. 본 연구에서 실증분석은 PLS를 이용하였다. PLS는 적은 수의 자료를 이용한 분석에서도 유용한 결과를 제공해주는 장점이 있다 [8,15]. 본 연구자는 2015년 9월부터 2016년 3월에 대학생, 교직원, 졸업생 등을 상대로 자발적 참여에 의해 구글 드라이브 (http://drive.google.co.kr)를 이용해 설문조사를 수행하였다.

Table 1. Measurement scales

IV. 실증분석

4.1 측정모델

본 연구에서는 설문조사를 통해 총 114부의 응답을 얻었다. 설문조사 응답자의 특성은 다음과 같다. 남성이 78명이고 여성이 36명이였다. 1일 인터넷 이용시간은 1시간 이하가 26명, 1-2시간이 35명, 2-3시간이 22명, 3-4시간이 9명, 4시간 이상이 22명으로 나타났다. 평균 전자메일 이용 계정은 1개가 28명, 2개가 37명, 3개가 28명, 4개가 10명, 5개 이상이 11명으로 나타났다.

먼저 PLS 구조방정식 측정모델 분석을 통해 변수의 신뢰성과 타당성을 확인하였다. 연구변수의 신뢰성 측정은 CA (Cronbachs Alpha), CR (Composite Reliability) 값을 확인해 평가한다 [19]. 본 연구에 이용된 변수는 CA과 CR 값은 대부분 충분히 신뢰도를 확보한 것으로 나타났다 [15]. 단, 전자메일 패스워드 교체행동 변수의 CA값이 0.7보다 약간 낮은 0.63로 나타났는데, 이는 신뢰도 값의 최소 기본 요건 0.6을 넘었기에 무리는 없는 것으로 판단하였다 [19]. 더불어, 측정변수의 AVE (Average Variance Extracted : AVE)의 제곱근 값이 다른 상관관계 계수보다 큰 것으로 나타났다 [15]. 따라서 본 연구에 이용된 변수는 타당성을 확보한 것으로 확인되었다.

Table 2. Measurement model

※ CR = Composite Reliability, CA = Cronbach’s Alpha,

※ * = Square Root of Average Variance Extracted (AVE) Value

4.2 구조모델

본 연구에서 연구가설 검증은 PLS 구조모델을 이용하였다. 본 연구에서는 데이터 수가 적었기 때문에 부트스트랩 기법 (n=1000)을 활용하였다. 실증 분석 결과를 살펴보면, 연구변수의 설명력은 패스워드 교체행동이 0.45, 패스워드 교체의도가 0.34, 패스워드 교체의 유용성 인식이 0.17으로 나타났다. 가설검증결과 [H1], [H2], [H4], [H6]은 채택이 되었고, [H3], [H5]는 채택되지 못하였다.

Table 3. Structural model

※ * p < 0.05, *** p < 0.001

※ bootstrapping times = 1000

V. 결론

5.1 토론

실증분석 결과를 살펴보면 다음과 같다. 첫째, 정보보안 지식이 유용성에 영향을 미친다는 [H1]은 채택되었다. 즉 전자메일 이용에 있어 정보보안에 대한 지식은 이용자들에게 패스워드 교체의 유용성을 높여준다는 것을 알 수 있다. 둘째, 전자메일 패스워드 교체의 인지된 유용성이 패스워드 교체의도에 영향을 미친다는 [H2]는 채택되었다. 따라서 전자메일 패스워드 교체의 유용성 인식이 패스워드 교체의도를 형성함을 알 수 있다. 셋째, 전자메일 패스워드 교체의 이용 용이성이 패스워드 교체의도에 양의 영향을 미친다는 [H3]은 기각되었다. Davis et al.,[10]은 전자메일 이용에 있어 이용용이성과 이용의도에 영향을 미친다고 하였는데, 패스워드 교체에 있어 패스워드 교체가 용이하더라도, 패스워드 교체의도가 형성되는 것은 아님을 알 수 있었다. 그렇기 때문에 전자메일 서비스 제공업체에서는 단순히 편리한 패스워드 교체 시스템의 개발보다는 근본적으로 정보보안에 대한 중요성을 이용자들에게 인지시키는 노력이 필요하다. 넷째, 전자메일 패스워드 교체의도가 패스워드 교체행동에 영향을 미친다는 [H4]는 채택되었다. 따라서 Davis et al., [10]의 연구와 마찬가지로, 패스워드 교체의도 형성이 궁극적으로 실제 패스워드 교체행동을 유발하는 것으로 나타났다. 다섯째, 전자메일 패스워드를 교체하지 않음으로서 얻을 수 있는 보상이 패스워드 교체행동에 음의 영향을 미칠것이라는 [H5]는 기각되었다. 즉, 전자메일 패스워드를 교체하지 않음으로써 얻을 수 있는 보상 때문에 패스워드 교체행동을 하지 않는 일이 일어나지 않는다는 것을 알 수 있다. 여섯째, 패스워드 교체행동에 따른 여러 가지 번거로운 노력인 반응비용이 패스워드 교체행동에 양의 영향을 미친다는 [H6]은 채택되었다. 즉, 전자메일 이용자들은 패스워드 교체행동이 약간의 번거로움을 수반하지만, 기꺼이 희생을 감수하면서 패스워드를 교체함을 알 수 있었다. 비록, 본 연구자가 제안한 가설과 달리, [H3], {H5}는 기각되었다. 앞서 설명한 것처럼, 이 결과는 전자메일 이용자들이 패스워드 교체행동의 중요성을 인지하면서도, 적극적으로 패스워드 교체행동을 취하지 않는 특성 때문으로 판단된다. 그렇기 때문에 향후 보다 상세한 전자메일 패스워드 관리행동에 대한 보다 깊이 있는 이해를 위해서는 상황 및 심리 특성을 고려한 후속 연구를 수행해야 할 것이다.

Fig. 2. Empirical Results

5.2 시사점

본 연구에서는 정보보안에 대한 중요성이 강조되는 현 시점에서 전자메일 이용자의 패스워드 교체와 관련된 심리와 행동을 분석하였다. 전자메일 이용에 대한 선행연구 [9, 10, 11, 12, 22]에서는 전자메일 이용확산에 중점을 둔 반면, 본 연구는 전자메일 패스워드 교체행동에 중점을 둔 특징이 있다. 본 연구는 전자메일 패스워드 관리에 있어 기술수용모델의 적용 가능성을 검증한데 학술적 의의가 존재하며, 더불어 패스워드 관리를 통한 정보보안 컴플라이언스에 대한 초기 연구로 후속연구 확대에 기여했다는데 학술적 의의가 존재한다. 더불어, 실무 차원의 시사점으로 단순이 전자메일 이용에 있어 웹사이트 인터페이스 개선을 통한 보안의식 강화보다는 정보보안에 대한 이용자의 충분한 지식 숙지가 중요함을 알려주었다. 그렇기 때문에 전자메일 서비스를 제공하는 기업들에서는 이용자에 대한 정보보안 교육 강화가 중요하고, 이를 활용한 개인정보보안 강화 전략의 방향을 제시해주었다는데 실무적 의의가 존재한다.

5.3 한계점

본 연구는 몇 가지 한계가 있다. 첫째, 본 연구는 전자메일을 이용하는 대학생, 교직원 등을 통해 조사한 자료를 분석하였다. 그렇기 때문에 다양한 전자메일 이용자의 특성을 반영하지 못하였고, 적은 수의 데이터를 이용해 실증 분석한데 한계가 존재한다. 그러므로 연구결과 일반화에는 한계가 존재한다. 따라서 향후 연구에서는 보다 다양한 계층의 전자메일 이용자를 대상으로 실증연구를 수행해야 할 것이다.

둘째, 전자메일 패스워드 관리 특성은 상황적 조건에 따라 달라진다. 예를 들면, 패스워드 관리 특성은 학생과 직장인 사이에서 차이가 존재할 것이고, 개인의 성격 및 성향에 따라서도 차이가 존재할 것이며, 더불어 개인정보 유출에 따른 피해 경험에 따라서도 차이가 존재할 것이다. 본 연구에서는 이러한 상황적 특성을 고려하지 못한데 한계가 존재한다. 따라서 향후 연구에서는 전자메일 이용자의 다양한 상황적 특성을 반영한 패스워드 교체심리에 대한 연구가 이루어져야 할 것이다.

셋째, 최근에는 IT서비스 인증에서 아이디와 패스워드를 대신한 다양한 신기술을 활용하고 있다. 신기술 인증시스템의 예를 들면, 지문인식, 얼굴인식, 홍채인식, OTP (One Time Password), 모바일 신원인증 등이 있다. 본 연구에서는 이러한 최신 패스워드 대체 기술을 연구모델에 반영하지 못한데 한계가 존재한다. 따라서 향후 연구에서는 다양한 신기술 변수를 반영한 연구를 수행해야 할 것이다.