[論文レビュー] Addressing Knowledge Leakage Risk caused by the use of mobile devices in Australian Organizations

Carlos Andres Agudelo Serna, Rachelle Bosua+2 more|arXiv (Cornell University)|Aug 21, 2023

Information and Cyber Security被引用数 4

ひとこと要約

本研究は、オーストラリアの知識集積型組織におけるモバイルデバイスからの知識漏洩リスク（KLR）に影響を与える人間的要因、企業的要因、技術的要因を特定する概念的モデルを提案する。セキュリティおよび知識マネージャーとのインタビューを通じて、政策、文化、技術を統合した緩和戦略を同定し、KLRに対する組織のレジリエンスを高める。本研究は、ハイリスク環境における実証的検証されたリスク管理フレームワークの基盤を提供する。

ABSTRACT

Information and knowledge leakage has become a significant security risk to Australian organizations. Each security incident in Australian business cost an average US$\$$2.8 million. Furthermore, Australian organisations spend the second most worldwide (US$\$$1.2 million each on average) on investigating and assessing information breaches. The leakage of sensitive organizational information occurs through different avenues, such as social media, cloud computing and mobile devices. In this study, we (1) analyze the knowledge leakage risk (KLR) caused by the use of mobile devices in knowledge-intensive Australian organizations, (2) present a conceptual research model to explain the determinants that influence KLR through the use of mobile devices grounded in the literature, (3) conduct interviews with security and knowledge managers to understand what strategies they use to mitigate KLR caused by the use of mobile devices and (4) use content analysis and the conceptual model to frame the preliminary findings from the interviews. Keywords: Knowledge leakage, mobile devices, mobile contexts, knowledge leakage risk

研究の動機と目的

• 知識集積型オーストラリア組織におけるモバイルデバイス使用に起因する知識漏洩リスク（KLR）に関する研究の空白を埋める。
• 文献に基づいた概念的モデルを構築し、人間的要因、組織的要因、技術的要因を統合した観点から、モバイルデバイスを介したKLRの決定要因を説明する。
• セキュリティおよび知識マネージャーとのインタビューを通じて、実際のオーストラリア組織がKLRを緩和するために用いている戦略を同定・分類する。
• 将来的にオーストラリアの多様なセクターにわたり、概念的モデルの実証的検証を可能にする基盤を築く。
• 技術的対策に限定するのではなく、人間的要因および文化的要因をKLR緩和に組み込むことにより、組織行動およびISセキュリティ理論と整合させる。

提案手法

• 知識集積型オーストラリア組織の上級セキュリティおよび知識マネージャー19名に対して、半構造化インタビューを実施した。
• 提案された概念的モデルに基づき、インタビューデータを体系的に分類・解釈するため、コンテンツ分析を適用した。
• 人間的要因（例：行動、意識）、企業的要因（例：方針、戦略）、技術的対策（例：SIEM、SOC、パッチ適用）を統合した多次元的概念的モデルを構築した。
• このモデルをフレームワークとして用い、観察されたKLR緩和戦略を公式な、非公式な、技術的対策のカテゴリに分類した。
• 将来的な段階として、イェイン（2003）の定性的研究手法に従い、フォーカスグループおよび複数ケーススタディを計画し、モデルの検証および精緻化を図る。
• 組織内でのさまざまなモバイル利用状況におけるリスクの違いを理解するため、文脈的アプローチを採用した。

実験結果

リサーチクエスチョン

• RQ1 知識集積型オーストラリア組織は、モバイルデバイス使用に起因する知識漏洩リスク（KLR）をどのように緩和しているか？
• RQ2 人間的要因、企業的要因、技術的要因は、モバイルデバイス環境におけるKLRにどのように相互作用するか？
• RQ3 知識集積型組織がモバイルデバイスを用いる場合のKLRの主な決定要因は何か。また、それらは緩和戦略にどのように影響を与えるか？
• RQ4 組織方針、文化的慣行、技術的対策は、KLR低減にどのように統合的に貢献しているか？
• RQ5 多次元的概念的モデルは、実務におけるKLR緩和戦略の設計および実装をどのように改善できるか？

主な発見

• 組織は、公式な、非公式な、技術的対策の組み合わせを用いてKLRを緩和しており、戦略的方針とセキュリティ意識向上プログラムが特に重要な役割を果たしている。
• セキュリティおよび知識マネージャーは、技術的対策単体よりも、ユーザー行動と組織文化の重要性を強調しており、知識漏洩防止において中心的役割を果たしている。
• 主な緩和戦略には、エンタープライズモビリティ戦略、知識管理戦略、セキュリティオペレーションセンター（SOC）、およびシステムインcidnetおよびイベント管理（SIEM）が含まれる。
• モバイルデバイスのパッチ適用、ビッグデータおよび機械学習を用いたユーザープロファイリング、技術的方針の強制といった技術的対策が広く実施されている。
• 本研究では、特に従業員のセキュリティ行動といった人間的要因が、技術的脆弱性と同等に知識漏洩を引き起こす要因であることが判明した。
• 概念的モデルは、観察された戦略を的確にフレームワーク化できており、オーストラリアの多様なセクターにわたり、将来的な実証的検証の基盤を提供している。