[论文解读] Cyber Security Behaviour In Organisations

Amy Ertan, Georgia Crossland+3 more|arXiv (Cornell University)|Apr 24, 2020

Information and Cyber Security参考文献 98被引用 7

一句话总结

本文综述了组织中日常网络安保行为的学术与政策文献，识别出四大关键行为类别——遵守安全政策、群体间协调与沟通、网络钓鱼/邮件行为以及密码行为——并将其置于整体安全文化框架内。该研究提出一个理论视角以指导未来研究，并为组织提供基于行为科学洞察的实用建议，以提升网络安保实践。

ABSTRACT

This review explores the academic and policy literature in the context of everyday cyber security in organisations. In so doing, it identifies four behavioural sets that influences how people practice cyber security. These are compliance with security policy, intergroup coordination and communication, phishing/email behaviour, and password behaviour. However, it is important to note that these are not exhaustive and they do not exist in isolation. In addition, the review explores the notion of security culture as an overarching theme that overlaps and frames the four behavioural sets. The aim of this review is therefore to provide a summary of the existing literature in the area of everyday cyber security within the social sciences, with a particular focus on organisational contexts. In doing so, it develops a series of suggestions for future research directions based on existing gaps in the literature. The review also includes a theoretical lens that will aid the understanding of existing studies and wider literatures. Where possible, the review makes recommendations for organisations in relation to everyday cyber security.

研究动机与目标

• 从社会科学视角综合现有组织环境中网络安保行为的文献。
• 识别并分类影响组织中网络安保结果的重复性行为模式。
• 考察安全文化作为贯穿不同网络安保行为的统一框架的作用。
• 揭示当前研究中的空白，并为未来研究提出可操作的方向。
• 为组织提供基于证据的建议，通过行为干预措施提升网络安保水平。

提出的方法

• 对组织情境下网络安保领域的学术与政策文献进行系统性综述。
• 通过主题分析，将重复出现的网络安保行为聚类为四个核心类别。
• 应用理论视角以解释并连接不同研究的发现。
• 综合现有研究，识别重复模式、矛盾之处及研究空白。
• 运用定性与概念性综合方法，推导出组织实践的建议。
• 聚焦社会科学视角以理解人类行为，而非技术或工程解决方案。

实验结果

研究问题

• RQ1 组织中的个体如何在日常生活中实践网络安保？
• RQ2 哪些主要行为类别影响组织环境中的网络安保结果？
• RQ3 安全文化如何塑造并界定个体的网络安保行为？
• RQ4 当前关于组织中网络安保行为的研究存在哪些关键空白？
• RQ5 组织如何通过基于行为科学的策略有效提升网络安保水平？

主要发现

• 四个核心行为类别——遵守安全政策、群体间协调与沟通、网络钓鱼/邮件行为以及密码行为——显著影响组织的网络安保水平。
• 这些行为类别相互关联，并非孤立存在；它们受到更广泛组织安全文化的塑造与影响。
• 安全文化作为框架性背景，影响个体对网络安保实践的理解与实施方式。
• 当前文献中缺乏纵向研究或基于干预的研究，凸显了关键的研究空白。
• 建议组织采用基于行为洞察的策略，例如改善沟通与降低认知负荷，以提升合规性并减少风险行为。
• 该综述指出，亟需更多跨学科研究，将社会科学理论与网络安保实践相结合。