Characterizing Security and Privacy Teaching Standards for Schools in the United States

기술 요약: 미국의 학교 보안 및 개인정보 보호 교육 표준 특성 규명

문제 정의
미국 내 K-12 컴퓨터 과학(CS) 커리큘럼에 보안 및 개인정보 보호(S&P) 교육이 점차 통합되고 있으나, 실제로 무엇을 가르치고 있는지에 대한 실증적 이해가 부족하다. 개별 주와 국가 기관들이 학생 학습 기대치를 개괄하기 위해 교육 표준을 발표하고 있음에도 불구하고, 이러한 표준의 범위를 체계적으로 조사한 선행 연구는 없다. 다루는 주제가 광범위한 보안 커뮤니티의 기대치와 일치하는지, 콘텐츠가 어떻게 구성되어 있는지, 그리고 일반 엔드 유저를 위한 교육과 미래 기술 전문가를 위한 교육 사이에 구분이 있는지 여부는 여전히 불분명하다. 이러한 격차는 현재의 S&P 교육 효과를 평가하고 필요한 개선 사항을 식별하는 데 걸림돌이 된다.

연구 방법론
저자들은 미국의 모든 50개 주(2024년 6월 기준 표준이 가용한 47개 주 포함)와 컴퓨터 과학 교사 협회(CSTA), 국제 기술 교육 협회(ISTE), 사이버 보안 및 인프라 보안국(CISA), 그리고 다양한 AP, IB 및 인증 시험 기관을 포함한 8개 국가 기관으로부터 수집한 12,201개의 CS 교육 표준에 대해 포괄적인 수동 분석을 수행하였다.

연구는 2단계 코딩 과정을 따랐다:

1. 주제 식별: 4개 주의 표준 일부에 대한 오픈 코딩(open coding)을 사용하여, 팀은 S&P 관련 주제의 코드북을 개발하였다. 여기에는 기술적 주제(예: 암호화, 네트워크 보안), 사회적 주제(예: 윤리, 법률), 그리고 행동적 주제(예: 온라인 안전)가 포함되었다.
2. 레이블링 및 분류: 두 명의 연구자가 나머지 12,201개의 표준에 레이블을 붙였다. 표준은 S&P 관련 여부에 따라 분류되었다. S&P 표준은 다시 109개의 고유한 주제로 세분화되었다. 연구팀은 또한 예시(examples)의 존재 여부, 범주 레이블 등 표준의 구성 방식을 분석하였으며, 주제를 대상 독자에 따라 "일반 인터넷/기술 사용자" 대 "미래 기술 전문가"로 분류하였다.

연구자 간 신뢰도(IRR)는 Kupper-Hafner 합의도를 사용하여 계산되었으며, 초기 합의도는 0.62였으나 논의 후 완전한 합의에 도달하였다. 본 연구는 CS 표준에만 국한하여 수행되었으며, S&P 주제가 다른 과목(예: 사회)에 나타날 수 있다는 점을 인지하였으나 이는 초기 탐색적 분석의 범위 밖이었다.

주요 결과
분석 결과, 총 3,920개(전체의 32.1%)의 표준이 보안 및 개인정보 보호와 관련이 있었으며, 109개의 고유한 주제를 포괄하였다.

• 주제 범위: 가장 흔한 주제는 코드 테스트, 윤리, 신용/지식 재산권, 안전한 온라인 행동 등이었다. 가장 드문 주제는 RSA 암호화, 웹 가용성, 키 관리 등이었다. 가장 인기 있는 주제조차 보편적이지 않았으며, 32개 주는 가장 흔한 14개 주제 중 적어도 하나가 누락되어 있었다. 단 하나의 주제도 모든 주나 기관에서 공통적으로 다뤄지지 않았다.
• 대상 구분: 대부분의 표준(6개 주를 제외한 모든 주)은 전문적인 기술 역량보다는 일반 사용자에게 유익한 주제(예: 비밀번호, 안전한 행동)에 집중했다. 그러나 전문적인 주제(예: 디지털 포렌식, 입력 검증)도 존재했으며, 이는 주로 전용 사이버 보안 과정이 있는 주(조지아 및 텍사스)에서 나타났다.
• 학년별 차이:
  • 초등학교: 허용 가능한 사용, 일반적인 안전, 비밀번호와 같은 기초에 집중했다.
  • 중학교: 보안 데이터 전송, 웹 보안 및 기초적인 기술 개념을 강조했다.
  • 고등학교: 기술적 주제(보안 코딩, 임베디드 시스템), 트레이드오프(trade-offs)에 관한 비판적 사고, 복잡한 공격 등을 다루었다.
• 구성 및 명확성:
  • 모호성: 표준은 구체적인 예시가 부족한 경우가 많았다. 3,920개의 S&P 표준 중 예시나 설명 문구를 포함한 것은 2,841개뿐이었다.
  • 범주화: "보안(Security)" 또는 "개인정보 보호(Privacy)"로 명시적으로 분류된 주 표준은 단 29개에 불과했다. 많은 S&P 주제(예: 추적, 데이터 영속성)가 "컴퓨팅의 영향(Impacts of Computing)"이나 "디지털 시민 의식(Digital Citizenship)"과 같은 더 넓은 범주 아래 숨겨져 있어, 교사들이 이를 찾아내기 어렵게 만들었다.
  • 개인정보 보호 vs 보안: 개인정보 보호는 보안보다 명시적으로 범주화될 가능성이 현저히 낮았다.

주요 기여

1. 포괄적 데이터셋: 본 논문은 미국 K-12 CS 교육 표준 내의 S&P 콘텐츠에 대한 최초의 대규모 체계적 특성 규명을 제공하며, 109개 주제에 걸친 3,920개 표준의 레이블링된 데이터셋을 제공한다.
2. 격차 식별: 본 연구는 주제 범위의 상당한 불일치와 완전한 S&P 커리큘럼을 구성하는 요소에 대한 합의 부족을 식별한다.
3. 구조적 분석: 표준의 구조적 문제, 즉 개인정보 보호에 대한 명시적 범주화의 부재와 교육적 예시의 부족을 강조하며, 이는 S&P 배경이 없는 교사들의 구현을 저해할 수 있다.
4. 대상 차별화: 본 연구는 일반적인 디지털 시민 의식을 위한 표준과 미래 전문가를 위한 표준을 구분하며, 현재의 표준들이 명확한 분리 없이 이 두 목표를 혼용하고 있음을 지적한다.

의의 및 주장
저자들은 본 연구를 S&P 교육의 현 상태를 "밝히고", "유용성을 평가하는 과정을 시작하기 위한" 초기 탐색으로 규정한다. 저자들은 S&P 교육 문제를 해결했다고 주장하는 것이 아니라, 향후 개선을 위해 필요한 경험적 근거를 제공하고자 한다.

본 논문은 현재의 지형이 다음과 같은 특징을 가지고 있다고 주장한다:

• 파편화: 보편적인 주제의 부재는 거주 지역에 따라 학생들의 성과가 달라질 수 있음을 시사한다.
• 구현 장벽: 표준의 모호함과 예시의 부족은 S&P 정규 교육을 받지 못한 교사들에게 과도한 부담을 준다.
• 접근성 문제: S&P 교육이 주로 선택 과목인 CS 과정에 국한되어 있어(고등학생의 약 6%만 수강), 많은 학생이 기초적인 S&P 기술에서 소외된다.

저자들은 기초적인 S&P 개념(모든 학생 대상)과 전문적인 콘텐츠(미래 전문가 대상) 사이의 명확한 분리, 교사 자원 및 교육에 대한 투자 확대, 그리고 표준 자체의 지속성을 해치지 않으면서 구체적인 예시를 제공하기 위한 보충 자료의 활용을 권고한다. 결론적으로, 표준은 일관성을 제공하는 지표가 될 수는 있으나, 현재로서는 미국 전역에 걸쳐 형평성 있고 효과적인 S&P 교육을 보장하기 위해 필요한 구체성과 보편적 합의가 부족하다.