Cybersecurity Awareness, Policy Compliance, and Financial Data Protection in Accounting Information Systems: Evidence from Somali Financial Institutions

기술 요약: 회계 정보 시스템에서의 사이버 보안 인식, 정책 준수 및 재무 데이터 보호

문제 제기
재무 데이터 보호는 순수한 기술적 과제를 넘어 핵심적인 회계 문제로 진화했다. 회계 정보 시스템(AIS)은 더 이상 고립된 기록 관리 도구가 아니라 결제 채널, 고객 데이터베이스, 감사 추적과 깊게 통합되어 있다. 결과적으로, 재무 기록의 무결성은 기술적 통제뿐만 아니라 데이터를 처리, 승인 및 조정하는 직원들의 일상적인 행동적 품행에 달려 있다. 최근 문헌들이 사이버 보안을 내부 통제 및 감사 거버넌스와 연결하고 있으나, 침해 사고 직전에 발생하는 구체적인 직원 수준의 통제 행동에 관한 실증적 증거는 부족한 실정이다. 이는 규제 프레임워크가 진화하고 급격한 디지털화를 겪고 있는 소말리아와 같은 개발도상국 금융 환경에서 특히 중요하다. 본 연구는 사이버 보안 인식과 정책 준수가 AIS 내에서 효과적인 행동적 내부 통제로서 기능하는지에 대한 이해의 공백을 다룬다.

연구 방법론
본 연구는 이슬람 은행, 전통적 은행, 모바일 머니 제공업체 및 마이크로파이낸스 기관을 포함한 소말리아 금융 및 뱅킹 부문의 정규직 직원 415명을 대상으로 한 양적 횡단면 설문 조사 설계를 채택하였다. 표본은 회계 정보 처리 체계의 전 과정을 포착하기 위해 다양한 역할(운영, 회계, ICT, 컴플라이언스, 감사)을 포괄한다.

• 데이터 수집: 익명성을 보장하고 사회적 바람직성 편향을 줄이기 위해 2025년 2월에서 3월 사이에 자기 기입식 종이 설문지를 배포하였다.
• 구성 개념:
  • 독립 변수: 다섯 가지 차원의 사이버 보안 인식 및 행동: 일반적 사이버 보안 인식, 비밀번호 보안 관행, 피싱 인식, 기기 보안 관행, 정책 준수.
  • 종속 변수: 재무 데이터 보호. 이는 재무 및 고객 정보의 보호(기밀성, 무결성, 감사 가능성)와 관련하여 직원이 보고한 행동 및 인지된 통제 규율로 정의된다.
• 분석: 데이터는 Python을 사용하여 분석되었다. 본 연구는 이변량 관계를 조사하기 위해 피어슨 상관 분석을 활용하였으며, 각 인식 차원이 재무 데이터 보호에 미치는 독립적인 예측력을 테스트하기 위해 다중 선형 회귀 분석을 실시하였다. 진단 테스트(VIF, Shapiro-Wilk, Breusch-Pagan, Durbin-Watson)를 통해 모델의 타당성을 확인하였으며, 유의미한 다중공선성이나 가정 위반은 발견되지 않았다.

주요 결과
분석 결과, 전반적인 사이버 보안 인식과 재무 데이터 보호 사이에 중간 정도의 정적 상관관계($r = 0.447, p < 0.001$)가 있음이 드러났다. 그러나 다변량 회귀 모델($R^2 = 0.287$)은 모든 인식 차원이 동시에 고려될 때 동일하게 기여하지는 않음을 나타낸다:

1. 유의미한 예측 변수:
   • 일반적 사이버 보안 인식: 여전히 유의미한 정적 예측 변수로 남았다 ($\beta = 0.287, p < 0.001$).
   • 정책 준수: 모델에서 가장 강력한 예측 변수로 나타났다 ($\beta = 0.335, p < 0.001$).
2. 비유의미한 예측 변수 (조정 후):
   • 비밀번호 보안 관행, 피싱 인식 및 기기 보안 관행: 이들은 이변량 분석에서는 정적 상관관계를 보였으나, 조정된 회귀 모델에서는 통계적 유의성을 상실하였다.

이 결과는 광범위한 위험 이해와 공식적인 규칙 준수 행동이 고려될 때, 특정 기술적 습관(비밀번호, 피싱 탐지, 기기 취급)이 재무 데이터 보호를 독립적으로 예측하지 못한다는 점을 시사한다.

주요 기여
본 논문은 회계 연구에 세 가지 구체적인 기여를 한다:

1. 사이버 보안의 재정의: 사이버 보안 인식을 단순한 기술 교육 문제가 아니라 AIS 통제 환경의 행동적 구성 요소로 위치시킨다.
2. 직원 수준의 증거: 직원 행동이 시스템 보안과 회계 정보 신뢰성 사이에 위치한 통제 결과인 재무 데이터 보호와 직접 연결됨을 보여주는 실증적 증거를 제공한다.
3. 준수의 역할: 정책 준수가 데이터 보호의 가장 강력한 동인임을 식별함으로써, 사이버 지식이 내부 통제 시스템 내의 공식적인 규칙, 루틴 및 책임 메커니즘으로 전환될 때 가장 효과적이라는 견해를 뒷받침한다.

의의 및 주장
본 연구는 AIS에서의 재무 데이터 보호가 고립된 보안 습관보다는 광범위한 사이버 위험에 대한 이해와 공식 정책에 대한 일관된 준수에 의해 더 안전하게 유지된다고 결론짓는다. 저자들은 금융 기관, 특히 자원이 제한된 환경에서 사이버 보안 준수가 부차적인 IT 관심사가 아닌 행동적 내부 통제 메커니즘으로 취급되어야 한다고 주장한다.

본 논문은 다음과 같은 한계점을 겸허히 인정한다: 횡단면 설계로 인해 인과 관계 추론이 불가능하며, 자기 보고 데이터에 대한 의존도가 사회적 바람직성 편향을 유발할 수 있고, 모델이 분산의 28.7%만을 설명한다는 점은 직원 행동 이외의 기술적 및 거버넌스적 요인도 중요한 역할을 하고 있음을 나타낸다. 저자들은 실제 침해 감소를 측정하는 것이 아니라, 견고한 통제 환경을 위한 행동적 전구체(precursors)를 측정하는 것을 목적으로 한다.