安全教育与专长对安全评估的影响：以软件漏洞为例
计算机与社会
2018-08-21 v1 密码学与安全
摘要
尽管软件安全的重要性日益增长且产业对劳动力中更多网络安全专长的需求上升，安全教育与经验对评估复杂软件安全问题能力的影响仅近期才被研究。作为软件安全技能全范围的代理，我们考虑通过工业界广泛使用的结构化分析方法（即通用漏洞评分系统（CVSS）v3）评估软件漏洞严重性的问题，并设计了一项研究以比较具有信息技术背景但网络安全专业经验与教育不同的个体评估软件漏洞严重性的准确程度。我们的结果对评估者教育或经验与其评估质量之间的复杂关系提供了一些结构性洞见。特别地，我们发现个体特征比专业经验或正规教育更重要；显然是影响评估质量更多的是个人所拥有技能的“组合”（包括对所研究系统的实际知识），而非专业化或经验年数。类似地，我们发现专业专长带来的整体优势显著依赖于个体安全技能的构成以及可用信息。
引用
@article{arxiv.1808.06547,
title = {The Effect of Security Education and Expertise on Security Assessments: the Case of Software Vulnerabilities},
author = {Luca Allodi and Marco Cremonini and Fabio Massacci and Woohyun Shim},
journal= {arXiv preprint arXiv:1808.06547},
year = {2018}
}
备注
Presented at the Workshop on the Economics of Information Security (WEIS 2018), Innsbruck, Austria, June 2018