[論文レビュー] Individual and Contextual Variables of Cyber Security Behaviour -- An empirical analysis of national culture, industry, organisation, and individual variables of (in)secure human behaviour

Marten de Bruin, Konstantinos Mersinas|arXiv (Cornell University)|May 25, 2024

Information and Cyber Security被引用数 5

ひとこと要約

本論文は、国民文化、産業タイプ、組織のセキュリティ文化、および個人要因がサイバーセキュリティ行動に与える影響を、2つの大規模EUデータセット（37,075件）を用いて分析し、文脈変数と個人変数が有意な予測因子であることを示している。

ABSTRACT

Cyber security incidents are increasing and humans play an important role in reducing their likelihood and impact. We identify a skewed focus towards technical aspects of cyber security in the literature, whereas factors influencing the secure behaviour of individuals require additional research. These factors span across both the individual level and the contextual level in which the people are situated. We analyse two datasets of a total of 37,075 records from a) self-reported security behaviours across the EU, and b) observed phishing-related behaviours from the industry security awareness training programmes. We identify that national culture, industry type, and organisational security culture play are influential Variables (antecedents) of individuals' security behaviour at contextual level. Whereas, demographics (age, gender, and level or urbanisation) and security-specific factors (security awareness, security knowledge, and prior experience with security incidents) are found to be influential variables of security behaviour at individual level. Our findings have implications for both research and practice as they fill a gap in the literature and provide concrete statistical evidence on the variables which influence security behaviour. Moreover, findings provides practical insights for organisations regarding the susceptibility of groups of people to insecure behaviour. Consequently, organisations can tailor their security training and awareness efforts (e.g., through behaviour change interventions and/or appropriate employee group profiles), adapt their communications (e.g., of information security policies), and customise their interventions according to national culture characteristics to improve security behaviour.

研究の動機と目的

• 安全な・不安全なサイバーセキュリティ行動に影響を与える文脈要因と個人要因の未踏査の組み合わせに取り組む。
• 国民文化、産業タイプ、組織のセキュリティ文化が個人のセキュリティ行動の前提（ antecedents）として機能するかを評価する。
• 人口統計学的要因およびセキュリティ関連要因（認識、知識、過去のインシデント）が個人のセキュリティ行動にどう関連するかを評価する。
• 個別化されたセキュリティ訓練と介入を導く統計的根拠を提供する。

提案手法

• EU全体の自己申告によるセキュリティ行動と、産業界のセキュリティ啓発訓練プログラムから観察されたフィッシング関連行動という合計37,075件の2つのデータセットを分析する。
• 文脈レベルの前提として、文脈変数（国民文化、産業タイプ、組織のセキュリティ文化）を特定する。
• 個人レベルの前提として、個人変数（年齢、性別、都市化レベル、セキュリティ認識、セキュリティ知識、過去のセキュリティ事象）を特定する。
• これらの変数が安全・非安全行動に与える影響について、経験的/統計的証拠を提供する。）

実験結果

リサーチクエスチョン

• RQ1 どの文脈変数（国民文化、産業タイプ、組織のセキュリティ文化）が個人のサイバーセキュリティ行動に影響を与えるか？
• RQ2 どの個人変数（人口統計、セキュリティ認識、セキュリティ知識、過去のインシデント経験）が個人のサイバーセキュリティ行動に影響を与えるか？
• RQ3 EUおよび産業訓練の文脈において、文脈ファクターと個人ファクターが安全行動と不安全行動を共同でどのように形成するか？

主な発見

• 国民文化、産業タイプ、組織のセキュリティ文化は、文脈レベルで個人のセキュリティ行動の影響力のある前提条件である。
• 年齢、性別、都市化レベルなどの人口統計学的要因は、個人レベルで影響力を持つ。
• セキュリティ認識、セキュリティ知識、過去のセキュリティインシデント経験を含むセキュリティ関連要因は、個人レベルで影響力を持つ。