Exploring strategies to enhance the learning outcomes of Cyber Security, Education, Training and Awareness programs

Abstract

Denne oppgaven utforsker effektiviteten til ulike læringsstrategier for å forbedre evnen til å identifisere og svare på phishing-angrep. Tre grupper har deltatt i ulike opplæringsmetoder: ingen opplæring, standard cybertrening, og en hybridgruppe bestående av standard bevisstgjøringstrening med et diskusjonsbasert sesjon. I tillegg gjennomgikk disse gruppene to phishing-angrep: en pre-test og en post-test. Resultatene indikerer en klar forbedring i alle grupper fra pre-test til post-test. På grunn av utvalgets størrelse trenger dette imidlertid ytterligere utforskning.

Denne forskningen ser også på den mulige virkningen av gruppelæring på tvers av grupper, som sett i forbedringen som er opplevd i gruppen uten sikkerhets trening. Gruppen opplevde en forbedring tilsvarende de andre gruppene. Dette kan indikere at kunnskap deles på tvers av de ulike gruppene, og presenterer et kostnadseffektivt utdanningsområde for cybersikkerhet. Denne studien erkjenner begrensningene som den lille utvalgsstørrelsen utgjør og de betydelige implikasjonene på resultatenes validitet og pålitelighet. Den diskuterer imidlertid også nødvendigheten av en slik tilnærming gitt de praktiske begrensningene av tid, budsjett og tilgjengelige deltakere og valget om å prioritere dybde fremfor bredde i denne eksperimentelle konteksten.

Funnene av denne forskningen gir et fascinerende utgangspunkt for videre undersøkelse av potensialet til diskusjonsbasert læring i cybersikkerhetsundervisning. Fremtidig arbeid bør omfatte studier i større skala, en mer dyptgående utforskning av læring mellom grupper, detaljerte kost-nytteanalyser og en sammenligning med andre opplæringsmetoder for å bygge videre på innsikten fra denne studien.

This thesis explores the effectiveness of different learning strategies in improving the ability to identify and appropriately respond to phishing attacks. Three groups have been subject to different training methods: no training, standard cyber training, and a hybrid group consisting of standard awareness training with a discussion-based learning workshop. In addition, these groups underwent two phishing attacks: a pre-test and a post-test. The results indicate a clear improvement in all groups from the pre-test to the post-test. However, due to the sample size, this needs further exploration.

This research also looks into the possible impact of inter-group learning, as seen in the improvement experienced in the group with no awareness training. The group experienced an improvement similar to the other groups. This could indicate knowledge being shared across the different groups, presenting a cost-effective cyber security education area. This study acknowledges the limitations posed by its small sample size and the significant implications on the validity and reliability of results. However, it also discusses the necessity of such an approach given the practical constraints of time, budget, and available participants and the choice to prioritize depth over breadth in this experimental context.

The findings of this research present a fascinating starting point for further investigation into the potential of discussion-based learning in cyber security education. Future work should include larger-scale studies, a more profound exploration of inter-group learning, detailed cost-benefit analyses, and a comparison with other training methods to build upon the insights gained from this study.