Acad emics and practitioners alike

Acad emics and practitioners alike recognize employees as a major threat to organizational
information security efforts [14, 69]. To address this “insider” threat, organizations
have devoted significant resources into behavioral security measures, such as
policy development and education and training, in addition to continually updating their
security technologies [54]. U.S. federal and state governments and certain industries
have also introduced regulations and standards that mandate organizations’ internal
security measures [14]. Despite these initiatives, a class of employee security–related
behaviors known as volitional (but not malicious) information security policy (ISP)
violations [27, 71] (e.g., password sharing, failing to log off when leaving workstation)
continue to plague organizations. At least some explanation for this predicament is
that employees face a surfeit of rapidly expanding security requirements (i.e., policies,
procedures, and technical controls), which they find to be constraining, inconvenient,
and difficult to understand [51, 53, 69]. Evidence of this comes from a recent survey
of over 2,800 employees [16] in which “too busy to think about policies” and “policies
are inconvenient to follow” were reported as chief reasons for ISP violations.
Some authors have suggested that security requirements can backfire and bring about
security-diminishing behavior due to the demands (e.g., time, effort, frustration) they
impose on employees [51, 60, 64]. Although there is preliminary evidence to support
this notion [51], the information systems (IS) literature lacks a systematic, theorydriven
investigation of the potential adverse effects of organizational information
security requirements (hereafter security requirements) on user behavior. A goal of
this paper is to address this gap.
Against this backdrop, we offer a new avenue for understanding employees’ ISP
violations—namely, workplace stress due to security requirements and its coping
response. The topic of stress has a long history in the organizational and psychology
literatures and empirical results have shown that negative work stressors1 predict a
variety of undesirable employee behaviors (e.g., [25, 57]). Within the IS literature,
research indicates that employee stress–related to the use information technology
(IT) (i.e., technostress) influences a number of IT and non-IT-related cognitions
and behaviors [56, 67]. In the present study, we extend the technostress concept to
the domain of IS security and explain three conditions—overload, complexity, and
uncertainty—in which security requirements can create stress in employees. We
theorize that this form of employee stress, termed security-related stress (SRS), is a
contributor to ISP violations.
Using coping theory as a foundation [38], we develop and empirically test a model
of ISP violation intention which predicts that employees engage in emotion-focused
coping in response to SRS. We explicate this emotion-focused coping in the form of

ผลลัพธ์ (ไทย) 2:

emics Acad และผู้ปฏิบัติงานเหมือนกันรู้จักพนักงานที่เป็นภัยคุกคามที่สำคัญขององค์กร
ความพยายามรักษาความปลอดภัยข้อมูล [14, 69] จะอยู่ที่นี่ "ภายใน" ภัยคุกคามที่องค์กร
ได้ทุ่มเททรัพยากรที่สำคัญลงในมาตรการรักษาความปลอดภัยพฤติกรรมเช่น
การพัฒนานโยบายและการศึกษาและการฝึกอบรมที่นอกเหนือไปจากการปรับปรุงอย่างต่อเนื่องของพวกเขา
เทคโนโลยีด้านความปลอดภัย [54] สหรัฐรัฐบาลกลางและรัฐและอุตสาหกรรมบางประเภท
ได้แนะนำกฎระเบียบและมาตรฐานที่องค์กรอาณัติ 'ภายใน
มาตรการรักษาความปลอดภัย [14] แม้จะมีความคิดริเริ่มเหล่านี้ชั้นที่เกี่ยวข้องกับการรักษาความปลอดภัยของพนักงาน
ที่รู้จักกันเป็นพฤติกรรม volitional (แต่ไม่เป็นอันตราย) นโยบายการรักษาความปลอดภัยข้อมูล (ISP)
การละเมิด [27 71] (เช่นรหัสผ่านที่ใช้ร่วมกันล้มเหลวในการออกจากระบบเมื่อออกจากเวิร์กสเตชัน)
ยังคงทำให้เกิดภัยพิบัติองค์กร . อย่างน้อยคำอธิบายบางอย่างสำหรับสถานการณ์นี้เป็น
พนักงานที่ต้องเผชิญกับการปรนเปรอของการขยายตัวอย่างรวดเร็วความต้องการความปลอดภัย (เช่นนโยบาย
ขั้นตอนและการควบคุมทางเทคนิค) ซึ่งพวกเขาพบที่จะ constraining ไม่สะดวก
และยากที่จะเข้าใจ [51, 53, 69] . หลักฐานนี้มาจากการสำรวจล่าสุด
กว่า 2,800 พนักงาน [16] ซึ่ง "ยุ่งเกินไปที่จะคิดเกี่ยวกับนโยบาย" และ "นโยบาย
ไม่สะดวกที่จะปฏิบัติตาม "ได้รับรายงานว่าหัวหน้าเหตุผลสำหรับการละเมิด ISP.
ผู้เขียนบางคนบอกว่าต้องการความปลอดภัยสามารถ ย้อนกลับมาและนำมาเกี่ยวกับ
พฤติกรรมการรักษาความปลอดภัยที่ลดลงเนื่องจากความต้องการ (เช่นเวลาความพยายามแห้ว) ที่พวกเขา
กำหนดให้กับพนักงาน [51, 60, 64] ถึงแม้จะมีหลักฐานเบื้องต้นที่จะสนับสนุน
ความคิดนี้ [51] ระบบสารสนเทศ (IS) วรรณกรรมขาดระบบ theorydriven
การตรวจสอบผลกระทบที่อาจเกิดขึ้นจากข้อมูลขององค์กร
ความต้องการความปลอดภัย (ต่อจากนี้ความต้องการความปลอดภัย) จากพฤติกรรมของผู้ใช้ เป้าหมายของ
งานวิจัยนี้คือการอยู่ที่ช่องว่างนี้.
เทียบกับฉากนี้เรามีถนนสายใหม่สำหรับการทำความเข้าใจของพนักงาน ISP
ละเมิดคือความเครียดที่ทำงานเนื่องจากความต้องการการรักษาความปลอดภัยและการเผชิญความเครียดของ
การตอบสนอง หัวข้อของความเครียดมีประวัติศาสตร์อันยาวนานในองค์กรและจิตวิทยา
วรรณกรรมและผลการทดลองแสดงให้เห็นว่าการทำงานเชิงลบ stressors1 ทำนาย
ความหลากหลายของพฤติกรรมที่ไม่พึงประสงค์ของพนักงาน (เช่น [25 57]) ภายในเป็นวรรณกรรม,
การวิจัยแสดงให้เห็นว่าเกี่ยวข้องกับความเครียดของพนักงานกับการใช้เทคโนโลยีสารสนเทศ
(ไอที) (เช่น technostress) มีผลต่อจำนวนของไอทีและ cognitions ที่ไม่เกี่ยวข้องกับ IT
และพฤติกรรม [56, 67] ในการศึกษาปัจจุบันเราขยายแนวความคิดที่จะ technostress
โดเมนของการรักษาความปลอดภัยเป็นและอธิบายสามเงื่อนไข-เกินความซับซ้อนและ
ความไม่แน่นอนในความต้องการความปลอดภัยที่สามารถสร้างความเครียดในพนักงาน เรา
ทฤษฎีที่ว่ารูปแบบของความเครียดของพนักงานนี้เรียกว่าความเครียดที่เกี่ยวข้องกับการรักษาความปลอดภัย (SRS) เป็น
ผู้สนับสนุนการละเมิด ISP.
ใช้ทฤษฎีการรับมือเป็นรากฐานที่ [38] เราพัฒนาและทดสอบแบบจำลองสังเกตุ
ความตั้งใจละเมิด ISP ซึ่งคาดการณ์ว่าพนักงาน มีส่วนร่วมในอารมณ์ความรู้สึกที่มุ่งเน้น
การเผชิญปัญหาในการตอบสนองต่อ SRS เราอธิบายการเผชิญปัญหาที่มุ่งเน้นอารมณ์ความรู้สึกนี้ในรูปแบบของ

ผลลัพธ์ (ไทย) 3:

emics ACAD และผู้ปฏิบัติงานเหมือนกันจำพนักงานเป็นภัยคุกคามที่สำคัญในองค์การ
ความพยายามความปลอดภัยข้อมูล [ 14 , 69 ] ไปยังที่อยู่นี้ " คนวงใน " ภัยคุกคาม , องค์กร
ได้ทุ่มเททรัพยากรที่สําคัญในมาตรการรักษาความปลอดภัยทางพฤติกรรม เช่น การพัฒนานโยบายและการศึกษาและการฝึกอบรม นอกจากนี้ยังคงปรับปรุงเทคโนโลยีรักษาความปลอดภัย
[ 54 ] สหรัฐอเมริการัฐบาลกลางและรัฐ และบางอุตสาหกรรมได้
แนะนำกฎระเบียบและมาตรฐานขององค์กรอาณัติภายใน
มาตรการรักษาความปลอดภัย [ 14 ] แม้จะมีการริเริ่มเหล่านี้ ระดับของการรักษาความปลอดภัยที่เกี่ยวข้องกับพฤติกรรมพนักงาน–
เรียกว่าความปรารถนา ( แต่ประสงค์ร้าย ) นโยบายการรักษาความปลอดภัยข้อมูล ( ISP )
การละเมิด [ 27 71 ] ( เช่นรหัสผ่านการแบ่งปันล้มเหลวเข้าสู่ระบบปิดเมื่อออกจากสถานีงาน )
ยังคงรังควานองค์กร อย่างน้อยก็อธิบายสถานการณ์นี้
ที่พนักงานหน้ารุงรัง ที่ขยายตัวอย่างรวดเร็ว ความต้องการความปลอดภัย ( เช่น นโยบาย
ขั้นตอนและเทคนิคการควบคุม ) , ซึ่งพวกเขาพบเป็น constraining ไม่สะดวกและยากที่จะเข้าใจ [
, 51 , 53 , 69 ] หลักฐานนี้มาจาก
การสำรวจล่าสุดกว่า 2 , 800 คน [ 16 ] ซึ่ง " ยุ่งเกินไปที่จะคิดนโยบาย " และ " นโยบาย
ไม่สะดวกที่จะปฏิบัติตาม " ได้รับรายงานว่าเหตุผลที่หัวหน้าสำหรับการละเมิดที่ ISP .
บางคนเขียน พบว่า มีความต้องการความปลอดภัยสามารถ backfire และนำเกี่ยวกับการลดพฤติกรรม
เนื่องจากความต้องการ ( เช่นเวลา , ความพยายาม , แห้ว ) พวกเขา
รบกวนพนักงาน [ 51 , 60 , 64 )แม้ว่าจะมีหลักฐานเบื้องต้นเพื่อสนับสนุน
แนวคิด [ 51 ] , ข้อมูลระบบ ( เป็นวรรณกรรมที่ขาดระบบ theorydriven
ตรวจสอบผลกระทบที่อาจเกิดขึ้นจากความต้องการของการรักษาความปลอดภัยข้อมูล
องค์การ ( ต่อความต้องการความปลอดภัย ) ต่อพฤติกรรมของผู้ใช้ เป้าหมายของบทความนี้คือเพื่อที่อยู่ช่องว่าง
.
เทียบกับฉากนี้เราให้ถนนสายใหม่สำหรับความเข้าใจของพนักงาน ISP
การละเมิดคือที่ทำงานความเครียดเนื่องจากความต้องการความปลอดภัยและการตอบสนองของ
. เรื่องของความเครียด มีประวัติศาสตร์ที่ยาวนานในองค์กรและจิตวิทยา
งานวิจัยเชิงประจักษ์พบว่า stressors1 ทำงานลบคาดเดาพฤติกรรมไม่พึงประสงค์
ความหลากหลายของพนักงาน ( เช่น [ 25 , 57 ] ) ภายในเป็นวรรณคดี
จากการวิจัยพบว่า ความเครียดของพนักงาน และการใช้เทคโนโลยีสารสนเทศ
( มัน ) ( เช่น technostress ) อิทธิพลตัวเลขของมันและไม่ได้เกี่ยวข้องกับความคิดและพฤติกรรม 56
[ 67 ] ในการศึกษา เราสามารถขยายแนวคิด technostress

เมนของการรักษาความปลอดภัยและอธิบายสามเงื่อนไขเกินพิกัด ความซับซ้อน และ
ความไม่แน่นอนซึ่งความต้องการความปลอดภัยสามารถสร้างความเครียดในพนักงาน เราว่ารูปนี้
พนักงานเครียด เรียกว่าการรักษาความปลอดภัยที่เกี่ยวข้องกับความเครียด ( SRS ) เป็นผู้สนับสนุนเพื่อการละเมิด

ใช้ ISP ปัญหาทฤษฎีเป็นฐาน [ 38 ] เราพัฒนาและใช้ทดสอบแบบจำลอง
ของ ISP การละเมิดเจตนาซึ่งคาดการณ์ว่าพนักงานมีส่วนร่วมในการตอบสนองต่ออารมณ์เน้น
SRS .เราอธิบายอารมณ์นี้เครียด ในรูปแบบของ