[論文レビュー] Cyber Security Behaviour In Organisations

Amy Ertan, Georgia Crossland+3 more|arXiv (Cornell University)|Apr 24, 2020

Information and Cyber Security参考文献 98被引用数 7

ひとこと要約

この論文は、組織における日常的なサイバーセキュリティ行動に関する学術的および政策的文献をレビューし、四つの主要な行動的セット——セキュリティポリシーへの準拠、グループ間連携およびコミュニケーション、フィッシング/メール行動、パスワード行動——を特定し、それらを包括的なセキュリティ文化の枠組みの中で位置づける。本論文は、今後の研究を導く理論的枠組みを提示するとともに、行動科学の知見を活用した組織のサイバーセキュリティ実践の向上に向けた実践的提言を提供する。

ABSTRACT

This review explores the academic and policy literature in the context of everyday cyber security in organisations. In so doing, it identifies four behavioural sets that influences how people practice cyber security. These are compliance with security policy, intergroup coordination and communication, phishing/email behaviour, and password behaviour. However, it is important to note that these are not exhaustive and they do not exist in isolation. In addition, the review explores the notion of security culture as an overarching theme that overlaps and frames the four behavioural sets. The aim of this review is therefore to provide a summary of the existing literature in the area of everyday cyber security within the social sciences, with a particular focus on organisational contexts. In doing so, it develops a series of suggestions for future research directions based on existing gaps in the literature. The review also includes a theoretical lens that will aid the understanding of existing studies and wider literatures. Where possible, the review makes recommendations for organisations in relation to everyday cyber security.

研究の動機と目的

• 社会的科学的視点から、組織的文脈におけるサイバーセキュリティ行動に関する既存の文献を統合すること。
• 組織におけるサイバーセキュリティに影響を与える繰り返し現れる行動パターンを特定および分類すること。
• セキュリティ文化が異なるサイバーセキュリティ行動の間で統合的フレームワークとして果たす役割を検討すること。
• 現在の研究におけるギャップを浮き彫りにし、今後の研究に向けた実行可能な方向性を提案すること。
• 行動介入を活用して組織のサイバーセキュリティを向上させる根拠に基づいた提言を提供すること。

提案手法

• 組織的文脈におけるサイバーセキュリティ分野の学術的および政策的文献に対する体系的レビュー。
• テーマ的分析を用いて、繰り返し現れるサイバーセキュリティ行動を四つのコアセットに分類・抽出すること。
• 研究結果の解釈と統合に役立てる理論的枠組みの適用。
• 既存研究の統合を通じて、繰り返し現れるパターン、矛盾、研究ギャップを同定すること。
• 定性的および概念的統合を用いて、組織実務に向けた提言を導出すること。
• 技術的・工学的解決策ではなく、人間行動を理解するための社会的科学的視点に焦点を当てる。

実験結果

リサーチクエスチョン

• RQ1 組織内の個人は日常的にどのようにサイバーセキュリティを実践しているか？
• RQ2 組織的文脈においてサイバーセキュリティの成果に影響を与える主な行動的セットは何か？
• RQ3 セキュリティ文化は、個人のサイバーセキュリティ行動をどのように形づくるか？
• RQ4 組織におけるサイバーセキュリティ行動に関する現在の研究における主なギャップは何か？
• RQ5 組織はどのようにして行動科学に基づいた戦略を効果的に活用してサイバーセキュリティを向上できるか？

主な発見

• セキュリティポリシーへの準拠、グループ間連携およびコミュニケーション、フィッシング/メール行動、パスワード行動——の四つのコア行動的セットは、組織のサイバーセキュリティに顕著な影響を与える。
• これらの行動的セットは相互に依存的であり、孤立したものではなく、広範な組織的セキュリティ文化によって形作られ、影響を受ける。
• セキュリティ文化は、個人がサイバーセキュリティ実践をどのように解釈し、実行するかに影響を与えるフレーミングの文脈を果たす。
• 現在の文献には縦断的または介入ベースの研究が著しく不足しており、これが顕著な研究ギャップである。
• 組織は、コミュニケーションの改善や認知的負荷の低減といった行動に基づいた戦略を採用することで、準拠を促進し、危険な行動を減らすよう推奨される。
• 本レビューは、社会的科学理論とサイバーセキュリティ実務を統合するより多くの学際的研究の必要性を明らかにしている。