【USENIX Security '21】スマートホームデバイスのセキュリティとプライバシーの責任は誰が持つべきか
TL;DR
40人のスマートホームデバイスユーザを対象に、セキュリティとプライバシーの責任をどこで認識しているか調査
ユーザが責任を負うだけでなく、懸念を緩和できない、緩和する意思がない場合は、メーカー、政府に責任を割り当てるという相互依存が確認された
ユーザの行動に一貫性はないが、ユーザのできる・できないに応じて責任の所在は変化する
はじめに
本文
本論文では、スマートホームデバイスに特化し、セキュリティとプライバシーを議論することに焦点を当てている。この研究の位置づけとしては、IoTなどの文脈ですでに研究が行われているセキュリティとプライバシーの議論をスマートホームデバイスでも同様のことが言えるのか調査するものである。先行研究では、プライバシーとセキュリティは、IoTを使っているかに関わらず重大な懸念事項であり、ユーザがデバイス購入時にプライバシーとセキュリティの詳細情報を求めていることが述べられている。一方で、ガイドラインの未整備などによって、メーカーがどのようにユーザへ透明性を提供すればいいのかわからない可能性についても言及されている。
またユーザの行動として、privacy paradoxにも触れられている。これはユーザがプライバシーを気にする一方で、プライバシーを侵害する技術を選択することがあるというものだ。積極的に・消極的にといった違いこそあれ、提供される便益がユーザを満たす程度に大きければ、プライバシーを諦めるというものだ。8/27のNewsletterで紹介したGoogleのMy Activityも、ユーザがYouTubeのおすすめや過去の自身の来訪履歴といった便益のために、自身のデータ収集を認めるということがあった。 また、セキュリティを専門に扱う人は、デバイスに対してどこに何をすれば効果的かわかっている一方で、セキュリティ知識のないユーザにとってはデバイスが提供するセキュリティオプションが過剰に負担となるsecurity fatigueについても言及されている。security fatigueについては、負担が大きくなりすぎた疲労感が、セキュリティ対策の不足を感じながらも、ユーザがセキュリティアドバイスを無視してしまうことが指摘されている。さらにユーザはしばしば「隠すものがない」と表現することがあることについても述べられていた点や、ユーザが望むセキュリティとプライバシーのオプションの具体例として、データのローカリゼーションやプライベートモード、セキュリティ強化のために第三者にオプションを共有することが挙げられていた。
glassonion1.icon fatigueは疲労感や倦怠感という意味なんですね。初めて見た単語でした。
本論文では、40人の被験者を対象にアンケート調査を実施している。対象となるのは以下のような属性を持つ被験者である。
2つ以上の異なるスマートホームデバイスを所持
性別
男性: 22人
女性: 18人
年齢
70%が30-49歳
学歴
修士以上: 18人
学士: 20人
学歴を見ると分かる通り、一般的に高所得の大都市圏で高度な教育を受けた専門家であった点には注意が必要である。また米国がプライバシーの期待と許容度に関係する政治的文化的な要因がある可能性にも注意が必要であるとしつつ、ヨーロッパなどはスマートホーム市場の浸透、成熟で遅れを取っているので、本調査の結果が遅れてヨーロッパでもやってくるかもしれないとしている。
さて、本調査はプライバシーとセキュリティの議論をスマートホームデバイスへ拡張するものであるが、3つの主体(スマートホームデバイスの保有者(= ユーザ)・メーカー・政府/規制機関)の責任の所在を明らかにする調査を実施している。より具体的には以下のような問いである。
責任の認識が懸念や緩和にどう影響するか
ユーザは、デバイスのプライバシーとセキュリティに責任があるのは誰だと思っているか
責任の認識、懸念、緩和措置の実施の間にどんな関係があるか
ユーザの懸念にはどのようなものがあるのかの調査結果
https://gyazo.com/c9ef685fcb98804b5fd2597aa905fbe9
(論文中より引用)
セキュリティとプライバシーの緩和策にはどのようなものがあるかの調査結果
https://gyazo.com/ab65819aa2c503a8498c7e59ed46342f
責任の所在がどこにあるかの調査結果
https://gyazo.com/360836c7036de8911c51f24f0ebde49c
以下では各主体ごとの調査結果をみていく。
ユーザ
懸念、責任の受け入れ、プライバシー・セキュリティ緩和の行動に一貫性がない
例:懸念をしつつも脆弱なパスワードを使う
知識の欠如、トレードオフの受け入れ、収集されたデータの評価がない
ただし、知識があっても必ずしも行動を起こさない
懸念があっても責任を受け入れるとは限らない
懸念がなくても責任を受け入れることがある
責任感と、責任を取る能力にも著しい隔たりがある
プライバシーの辞任とセキュリティの疲労感
メーカー
一部参加者はメーカーの評判でプライバシーとセキュリティに関してメーカーが有能と信じている(大企業を信じる)
他の人々は強力なプライバシーとセキュリティ対策を実施するメーカーの意欲を疑っている(何も対策をしていないのではないか)
メーカーに責任があるとみなしていたが、一部メーカーは適切に設定する方法をどう提供すればいいのかわからない可能性がある
メーカーが不慣れ
ガイドラインがまだ収束していないため、どのガイドラインに従っていいかわからない
政府/規制機関
参加者は必ずしも政府を信用していないが、メーカーの責任を規制やガイドラインに求める
ガイドラインがどのようにセキュリティに役立つかは理解していない
GDPRは徐々に展開されているが、スマートホームのプライバシーとセキュリティに関する権威あるガイドラインはほとんど利用できない
メーカーがグローバルにデバイスを販売している場合、各国政府が独自に規制を敷く場合がある
自主規制団体が独自の推奨事項を発行する場合がある
本論文では各主体がどのようなことができるのかについても議論されている
ユーザ
データ、デバイス、ホームネットワークの保護
例:強力なパスワード
メーカーは配置される環境を制御できないため、一定の責任がユーザに求められる
リスクを理解し、受け入れるためのデューデリ
プライバシーとセキュリティのトレードオフを理解し、決定を下す責任
メーカー
使用可能なプライバシー・セキュリティインターフェース
あまりの多くのオプションで負担に感じないように、簡単に構成ができるインターフェースを提供する必要がある
透明性あるプライバシーとセキュリティの実践
利用できる機能、利用できないが予想される可能性のあるオプションを積極的に説明
情報自体も見つけやすくする
より読みやすくアクセスしやすいプライバシーポリシーの提供
デザイン
強力で、すぐ使えるプライバシーとセキュリティ機能の提供へ誠実に努力する
コンテキストの整合性に違反しないデータ最小化の原則
例: Alexaを回答を見つけるために音声は送信するが、音声録音は保存しない
標準化、ガイダンスへの参加
メーカーは、プライバシーとセキュリティの最小限の推奨事項について積極的に合意する必要がある
認証の取得
消費者の教育
デバイスを最適に構成する方法に客観的なヒントを提供し、何をすべきか、どうやるかを説明
政府/規制機関
標準ガイドラインの策定と監視
推奨されるプライバシーとセキュリティの実装とオプションについて、自主的なガイダンスや規制を発行し、メーカーを支援
ユーザの知識不足を考慮に入れる必要がある
消費者の教育
実用的な構成のヒント