[論文レビュー] Investigating the Role of Socio-organizational Factors in the Information Security Compliance in Organizations

Ahmed AlKalbani, Hepu Deng+1 more|arXiv (Cornell University)|May 28, 2016

Information and Cyber Security参考文献 43被引用数 6

ひとこと要約

本研究は、294名の従業員からのアンケートデータを用いて、組織における情報セキュリティコンプライアンスにどのように社会的・組織的要因が影響するかを調査している。管理上のコミットメント、意識・訓練、責任体制、技術的対応力、適合性、プロセス統合、監査メカニズムが、コンプライアンスを顕著に向上させることを明らかにした。本研究は、組織のセキュリティ戦略に不可欠な洞察を提供する。

ABSTRACT

The increase reliance on information systems has created unprecedented challenges for organizations to protect their critical information from different security threats that have direct consequences on the corporate liability, loss of credibility, and monetary damage. As a result, the security of information has become a top priority in many organizations. This study investigates the role of socio-organizational factors by drawing the insights from the organizational theory literature in the adoption of information security compliance in organizations. Based on the analysis of the survey data collected from 294 employees from different organizations, the study indicates management commitment, awareness and training, accountability, technology capability, technology compatibility, processes integration, and audit and monitoring have a significant positive impact on the adoption of information security compliance in organizations. The study contributes to the information security compliance research by exploring the criticality of socio-organizational factors at the organizational level for information security compliance.

研究の動機と目的

• 組織内における情報セキュリティコンプライアンスに影響を与える社会的・組織的要因の役割を明らかにすること。
• 従業員がセキュリティポリシーに従う行動に影響を与える組織レベルの要因を同定すること。
• 情報セキュリティコンプライアンスにおける非技術的要因、人的要因および構造的要因に焦点を当てた研究の空白を埋めること。
• 組織文化、プロセス、リーダーシップがセキュリティ行動に与える影響について、実証的証拠を提供すること。
• 人的要因と組織的側面を統合する包括的なセキュリティ戦略の開発を支援すること。

提案手法

• 多様な組織に属する294名の従業員を対象に、社会的・組織的要因に関する認識を評価するアンケート調査を実施した。
• 組織理論の枠組みを用いて、コンプライアンスに影響を与える主要な社会的・組織的変数を特定・分類した。
• 統計的分析（アンケートデータの解釈に裏付けられる）を用いて、要因とコンプライアンス水準との関係を検証した。
• 組織のセキュリティ実践の認識と従業員の行動意図を測定することで、コンプライアンスを評価した。
• 管理上のコミットメント、訓練、責任体制、技術適合性、監査メカニズムなどの要因を評価した。
• 構造化されたアンケートを用いて、組織プロセス、技術統合、監視実践に関するデータを収集した。

実験結果

リサーチクエスチョン

• RQ1 どの社会的・組織的要因が組織における情報セキュリティコンプライアンスに顕著に影響を与えるか？
• RQ2 管理上のコミットメントは、従業員の情報セキュリティポリシーへの従順性にどのように影響するか？
• RQ3 意識・訓練プログラムは、コンプライアンス行動にどの程度影響を与えるか？
• RQ4 技術的対応力と適合性は、効果的なセキュリティコンプライアンスにどのように寄与するか？
• RQ5 監査および監視手法は、組織の各部門におけるコンプライアンスの維持にどのような役割を果たすか？

主な発見

• 管理上のコミットメントは、情報セキュリティコンプライアンスに顕著な正の影響を与える。これは、リーダーシップがセキュリティ意識の高い文化を醸成する上で極めて重要な役割を果たしていることを示している。
• 意識・訓練プログラムは、従業員のセキュリティポリシー理解および遵守行動を顕著に向上させる。
• 責任体制（明確な責任分担を含む）は、高いコンプライアンス率と強く関連している。
• 技術的対応力と既存システムとの適合性は、セキュリティ対策の効果性を顕著に向上させる。
• プロセス統合（セキュリティ実践をコア業務プロセスと一致させること）は、より一貫性のあるコンプライアンス行動をもたらす。
• 監査および監視手法は、透明性と責任体制の向上により、コンプライアンスの継続的維持に顕著に貢献する。