رابطۀ آگاهی از امنیت اطلاعات با قصد نقض امنیت اطلاعات با نقش میانجی هنجارهای فردی و خودکنترلی عنوان مکرر: قصد نقض امنیت اطلاعات

مقدمه و بیان مسئله

جهان امروز از جوامع اطلاعات‌محور تشکیل شده است که اصلی‌ترین ویژگی آن اهمیت و استفاده از اطلاعات و ارتباطات در امور جاری است (Krishnan, 2003). نقش بی‌بدیل اطلاعات در تصمیم‌گیری‌‌ها و همچنین پیشرفت سریع فناوری اطلاعات موجب تبدیل جوامع امروزی به جوامع اطلاعاتی شده است. امروزه نقش پراهمیت‌ اطلاعات در جوامع و حساسیت فرایندهای جمع‌آوری، ثبت و انتشار اطلاعات، دگرگونی بنیادینی را در ساختار مناسبات و ارتباطات جوامع ایجاد کرده و همین امر، موجب ایجاد مخاطرات، تهدیدها و نگرانی‌های جدیدی مبتنی بر اطلاعات شده است که مقولۀ رفتارهای پرخطر دربارۀ اطلاعات از آن جمله است (پورنقدی، 1397). رفتارهای پرخطر، رفتارهای بالقوۀ مخربی‌اند که افراد یک جامعه، به‌طور ارادی یا حتی بدون اطلاع از پیامدها و عواقب نامطلوب احتمالی، آنها را انجام می‌دهند (بوستانی، 1391: 2) که از آن جمله، نقض امنیت اطلاعات است (پورنقدی، 1397). این رفتارهای ضداجتماعی مهم‌ترین چالش‌های بهداشتی و روانی - اجتماعی در یک جامعه‌اند (عباس‌زاده و همکاران، 1396: 2). بررسی اسناد و مدارک نشان می‌دهد امنیت مترادف مفهوم «سلامتی» به کار رفته و وجود آن ضامن سلامتی جامعه پنداشته شده است (حیدری‌ساربان، 1396: 46)؛ بنابراین، این امر، برنامه‌ریزی دقیق برای شناسایی عوامل مؤثر در مدیریت و کنترل آن را برای ارتقای سلامت روانی جامعه می‌طلبد. اهمیت این مسئله به این دلیل است که امروزه نیازها، کسب و کار، تجارت، امور مالی و بانکی ازطریق تبادل اطلاعات برطرف می‌‌شوند؛ بنابراین، اهمیت امنیت اطلاعات دوچندان می‌‌شود (Krishnan, 2003). به همین دلیل، در صورت نقض امنیت اطلاعات، سازمان‌ها و افراد دچار تشویش خاطر و احساس ناامنی می‌شوند؛ درنتیجه، به‌دلیل نقش حفاظت از امنیت اطلاعات حساس افراد در سلامت و بهداشت روانی جامعه، شناسایی عواملی که در نقض امنیت اطلاعات نقش دارند و موجبات به خطر افتادن سلامت روانی جامعه را فراهم می‌کنند، اهمیت بسزایی دارد. در همین راستا، یکی از مهم‌ترین عناصر در مدیریت امنیت اطلاعات، کارمندان سازمان‌ها هستند (کریمی ‌و پیکری، 1397).

مانند دیگر سطوح جامعه، سازمان‌های امروزی به جمع‌آوری، ثبت و انتشار اطلاعات نیاز دارند؛ بنابراین، درک آنچه موجب می‌‌شود کارمندان، اقدامات امنیتی مربوط به اطلاعات را بپذیرند یا در مقابل آن مقاومت کنند، حیاتی است (اسفندیارپور، 1389). امروزه بسیاری از بانک‌‌ها دریافته‌‌اند که برای موفقیت، علاوه بر استفاده از روش‌‌ها و فناوری‌های امنیتی، به سرمایه‌‌گذاری و برنامه‌ریزی برای ایجاد یک برنامۀ جامع امنیت نیازمندند تا بدان طریق از افشای اطلاعات حساس خود که از یک سو موجب خسارت‌دیدن فعالیت‌های بانکداری‌‌ و ازسوی دیگر، موجب نگرانی مشتریان خود و از دست دادن اعتماد آنها می‌شود، جلوگیری کنند. برنامۀ جامع امنیت ‌‌بانکداری‌‌ الکترونیک شامل فناوری‌ها و برنامه‌های حفاظتی - فناوری‌های موجود (نرم‌افزار و سخت‌افزار)، افراد و برنامه‌های مدیریتی مرتبط با حفاظت از منابع و عملیات بانکداری‌‌ - است. با وجود این، موفقیت چنین برنامه‌هایی به مدیریت نیروی انسانی سازمان و برنامه‌ریزی برای تغییر رفتار امنیتی آنها بستگی دارد (کریمی ‌و پیکری، 1397). به عبارت دیگر، علاوه بر اهمیت استفاده از فناوری‌های به‌روز و پیشرفته برای حفاظت از امنیت اطلاعات، نگرش و رفتار کارمندان نیز در حفاظت از امنیت اطلاعات سازمان نقش اساس دارد (D’arcy & Herath, 2011). پژوهشگران در مطالعه‌ای گزارش کردند که بیشتر دلایل نقض امنیت اطلاعات به فاکتورهای مرتبط به افراد برمی‌‌گردد (کریمی ‌و پیکری، 1397)؛ به‌طوری که حتی راه ‌‌حل فنی بالاتر از حد نیاز را برای سازمان مضر دانستند. طبق یافته‌های آنها، در صورت ایجاد همۀ تمهیدات فنی و سیاست‌‌های امنیتی، آگاهی‌نداشتن و بی‌‌توجهی کارمندان می‌‌تواند همۀ حفاظت‌های فنی را بی‌نتیجه کند؛ در صورتی که کارمندان آگاه در محیط کاری تا اندازۀ زیادی موجب کاهش این خطرات امنیتی می‌‌شوند (Kruger & Kearney, 2006)؛ بنابراین، ارتقای چگونگی رفتار کارکنان بستر مناسبی برای ارتقای اثربخشی امنیت اطلاعات در درون بانک فراهم می‌‌کند و مدیریت بانک باید با تدوین برنامه‌ها و سیاست‌های مناسب و اثرگذار در این حوزه، سعی در مدیریت امنیت اطلاعات در بانک داشته باشد.

در این زمینه و براساس نظریۀ بازدارندگی عمومی، یکی از جنبه‌‌ها و راه‌‌های مهم برای حفاظت و مدیریت امنیت اطلاعات، ارتقای آگاهی کاربران از امنیت اطلاعات است (D’arcy & Herath, 2011; D’arcy et al., 2009). در این صورت، افراد آگاهی‌‌های لازم و مربوط به نقش و مسؤلیت خویش در حفظ امنیت اطلاعات در کار مربوط به خود را کسب می‌‌کنند. بنابراین آموزش کارکنان و افزایش آگاهی آنها دربارۀ امنیت اطلاعات، می‌‌توانند تأثیر جالب‎‌توجهی در حفاظت از اطلاعات سازمان داشته باشند (ولی، 1391؛ کریمی ‌و پیکری، 1397).

رابطۀ بین آگاهی از امنیت اطلاعات در سازمان با ارزش‌های شخصی (خودکنترلی و هنجارهای شخصی) و قصد نقض اطلاعات را می‌توان با استناد به نظریۀ یادگیری اجتماعی، نظریۀ عمومی جرم و نظریۀ کنترل توضیح داد (Skinner & Fream, 1997; Park et al., 2017). براساس نظر اودونگو و رابین (2001)، آگاهی بر رفتار خودکنترلی افراد تأثیر دارد. در خودکنترلی، عامل کنترل‌‎کننده از محیط به انسان منتقل می‌شود؛ به‌طوری که شخص با اختیار و آگاهی عملکرد خود را در قالب استانداردهای مشخص و درجهت اهداف مطلوب ارزیابی و اصلاح می‌کند (سجادی، 1385). پژوهش‌های انجام‌شده نشان می‌دهند هنجارهای شخصی به‌صورت مستقیم بر رفتارهای انحرافی تأثیر می‌گذارند (Song et al., 2016). کارمندانی که آگاهی از امنیت ‌‌اطلاعات در سطح بالا دارند، ممکن است هنجارهای فردی سطح بالا هم داشته باشند که این هنجارها با به‌کارگیری روش‌های آموزشی در بانک‌ها شکل گرفته‌اند. در مطالعات گذشته گزارش شده است که آگاهی با هنجار فردی رابطه دارد. چنانکه ایفندو[1] (2014) گزارش کرده است، در صورتی که آگاهی دانش‌آموزان در زمینۀ رفتارهای ضداجتماعی افزایش یابد، این امر بر ارزش‌ها و هنجارهای آنها تأثیر خواهد داشت. از آنجا که طبق نظریۀ عمل منطقی، ارزش‌‎های فردی در تعیین رفتار فرد مؤثر است، می‌توان نتیجه گرفت دربارۀ سیاست‌های امنیتی اگر فردی خودکنترلی بالایی داشته باشد، تمایل کمتری به افشای اطلاعات دارد (سجادی، 1385)؛ بنابراین، کارکنانی که هنجارهای شخصی بالایی دارند، خود را با سیاست‌‌های استفاده از اینترنت بیشتر تطبیق می‌دهند و نگرش آنها با سیاست‌‌های امنیتی سازگاری دارد و تمایل کمتری به افشای اطلاعات سازمان دارند (Park et al., 2017)؛ بنابراین، انتظار می‌رود هنجارهای فردی و خودکنترلی در ارتباط بین آگاهی افراد در زمینۀ امنیت اطلاعات و رفتار آنها دربارۀ امنیت اطلاعات نقش میانجی داشته باشد.

در همین راستا، هدف این پژوهش تعیین رابطۀ آگاهی از امنیت اطلاعات با قصد نقض امنیت اطلاعات با نقش میانجی هنجارهای فردی و خودکنترلی است. انجام این مطالعه، علاوه بر ارائه و آزمودن یک الگوی نظری جدید در حوزۀ امنیت اطلاعات از منظر انسانی - که می‌تواند به پژوهشگران و جامعۀ علمی‌ در زمینۀ درک بهتر چگونگی مدیریت و حفاظت از امنیت اطلاعات از منظر نیروی انسانی سازمان کمک کند - می‌تواند مبنای نظری جدیدی را برای مطالعات بعدی و گسترش الگوی ارائه‌شده به‌وسیلۀ پژوهشگران دیگر فراهم کند. یافته‌ها همچنین می‌توانند شامل پیشنهادها و راهکارهای کاربردی جدیدی برای سیاست‌گذاری در حوزۀ مدیریت امنیت اطلاعات باشند.

مرور ادبیات پژوهش

قصد نقض امنیت اطلاعات: امنیت اطلاعات به معنای حفاظت اطلاعات و سیستم‌های اطلاعاتی از فعالیت‌های غیرمجاز است. این فعالیت‌ها عبارت‌اند از: دسترسی، استفاده، افشا، خواندن، نسخه‌‌برداری یا ضبط، خراب‌کردن، تغییر و دستکاری (سادوسکای و همکاران، 1384). قصد نقض امنیت اطلاعات یعنی رعایت‌نکردن محدودیت‌ها و قوانین مرتبط با امنیت اطلاعات و نقض اطلاعات که ممکن است تبعاتی برای کسب و کار داشته باشد و جبران آن ماه‌‌ها و سال‌‌ها طول بکشد که ناآگاهی یا اطلاع ناقص از مقررات و قوانین یا اشتباهات، فرصت‌های زیادی برای افشای اطلاعات سازمان در اختیار رقبا قرار می‌دهد (ولی، 1391).

آگاهی از امنیت اطلاعات: آگاهی‌‌های لازم و مربوط به نقش و مسئولیت افراد در حفظ امنیت اطلاعات در کار مربوط به خود را گویند. آگاهی از امنیت اطلاعات در افراد سبب تغییر رفتار آنها و تقویت فعالیت‌های خوب امنیتی می‌شود و به افراد اجازه می‌دهد نسبت به امنیت فناوری اطلاعات نگران و پاسخگو باشند (حسن‌زاده و همکاران، 1391). آگاهی از امنیت اطلاعات طبق نظر پارک و همکاران شامل سه بعد زیر است: الف) آگاهی عمومی ‌از امنیت اطلاعات به معنای آگاهی‌رسانی عمومی ‌در زمینۀ ابعاد امنیت، ازجمله اهداف یک سیستم مدیریت امنیت اطلاعات است که با هدف افزایش آگاهی عمومی ‌کاربران و جامعۀ مخاطبان سیستم‌های مدیریت امنیت اطلاعات، صورت می‌‌گیرد (Park et al., 2017). ب) آگاهی از قوانین امنیت اطلاعات که یک مفهوم ساختاری جدید است که به آگاهی، درک و رعایت کارکنان از سیاست‌ها، قوانین و اطلاعات امنیتی سازمان مرتبط اشاره و بیان می‌کند که آگاهی کارکنان از سیاست امنیت اطلاعات سازمان تأثیر مثبتی بر نگرش کارکنان برای موافقت با سیاست‌های امنیتی شرکت دارد (Bulgurcu et al., 2010). ج) آگاهی از شدت مجازات نقض امنیت اطلاعات به دانش و درک درست کارکنان از انواع مجازات و شدت مجازات‌های مرتبط با نقض امنیت اطلاعات سازمان اطلاق می‌شود (Park et al., 2017). بلگورسو و همکاران[2] (2010) نشان دادند آگاهی عمومی ‌از اطلاعات امنیتی زیرمجموعۀ آگاهی امنیت اطلاعات است که تأثیر مثبتی در نگرش به‌سوی موافقت با سیاست امنیتی اطلاعاتی سازمان دارد. کارمندان بانک به درک مفهوم کلی از امنیت اطلاعات و مسائل برای محافظت مناسب از اطلاعات سلامتی بیماران نیاز دارند.

خودکنترلی: هرگاه عامل کنترل‌کننده از خارج به داخل انسان منتقل شود، به‌طوری که شخص با اختیار و آگاهی، عملکرد خود را در قالب استانداردهای مشخص و در جهت اهداف مطلوب ارزیابی و اصلاح کند، خودکنترلی تحقق‌‌ یافته است (سجادی، 1385). نظریۀ کنترل به دیدگاهی بازمی‌گـردد کـه دربـارۀ کنتـرل انسـان بحـث می‎کند. نظریه‌های کنترل اجتماعی، بزهکاری را به متغیرهای عادی جامعه نسبت می‌دهنـد. نظریه‌پردازان کنترل اجتماعی در این باور مشترک‌اند که آنچه باید تشریح شود این است که چرا مردم از قانون پیروی می‌کننـد. جـزء مهـم تمام نظریه‌های کنترل اجتماعی، تلاش برای تشریح عوامل بازدارندۀ مـردم از ارتکـاب جـرم است (ویلیامز و مک‌شین، 1391). نظریۀ عمومی‌ جرم از دیگر نظریه‌هایی است که در این زمینـه از آن بهـره بـرده شـده است. این نظریه، مفاهیم نظریۀ کنترل را با دیـدگاه‌هـای زیسـت اجتمـاعی، روان‌شـناختی، فعالیـت روزمـره و نظریـه‌های انتخـاب عقلانـی ترکیـب مـی‌کنـد (Siegel, 2001). نظریۀ عمومی‌ جرم، مدعی است افراد با هدف کسب لذت و احتـراز از رنـج، مرتکـب جرم می‌شوند؛ بنابراین، جرم امری منطقـی، عقلانـی و پـیش‌بینـی‌پـذیر اسـت. افـراد زمـانی مرتکب جرم می‌شوند که این امـر پـاداش‌دهنـده و عامل خودکنترلی غایب باشد. خودکنترلی، ایجاد حالتی درون فرد است که او را به انجام وظایفش متمایل می‌کند، بدون آنکه عامل خارجی بر او کنترل داشتــــه باشد.

هنجاری‌‌های فردی: هنجارهایی‌اند که اثر بازدارندگی قوی بر رفتارهای انحرافی افراد دارند و دانش کافی دربارۀ اخلاق، اینکه چه چیزی درست و چه چیزی نادرست است و اینکه کدامین رفتار مناسب است، ارائه می‌‌دهند (Li et al., 2010: 638). در اصطلاح جامعه‌شناسی هنجارها را الگوهای استانداردشدۀ رفتار می‌گویند. این الگوها نشان‌دهندۀ رفتار ایده‌آل یا مطلوب جامعه‌اند. هنجارها در جامعه‌شناسی به‌منزلۀ یک قاعدۀ رفتاری عمل می‌کنند که هم افراد برای انجام کارها از آن پیروی می‌کنند و هم رفتار انسان‌ها با آن سنجیده می‌شود؛ بنابراین، هنجارهای اجتماعی‌اند که تعیین می‌کنند انسان چه باید بگوید و از گفتن چه چیزهایی باید اجتناب ورزد. باید چگونه بیندیشد و چگونه رفتار کند (بیرو، 1375). هنجارها از این بابت بر ارزش‌ها و نگرش‌های اجتماعی اثر می‌گذارند که تجویزکننده و در عین حال نهی‌کنندۀ رفتارها هستند. هنجارهای اجتماعی را تجلی بیرونی ارزش‌های اجتماعی می‌دانند. هنجارها به این دلیل باقی می‌مانند که با نظام ارزشی جامعه توافق‌ دارند و به نیازهای اجتماعی پاسخ می‌دهند (سلیمی ‌و داوری، 1380). پژوهش‌های پیشین به این نتیجه رسیده‌اند که هنجارهای ذهنی نسبت به نگرش‌ها، در پیش‌بینی مقاصد رفتاری افراد نقش مهم‎تری دارند (نخعی و خیری، 1391).

مروری بر پژوهش‌‌های پیشین

کریمی و پیکری ‌(1397) در پژوهشی توصیفی - میدانی با نام «تأثیر ادراک پرستاران از آموزش امنیت اطلاعات و آگاهی از سیاست‌های امنیت اطلاعات بر ادراک از شدت و قطعیت مجازات نقض امنیت اطلاعات»، تأثیر ادراک کارکنان از قطعیت و شدت مجازات‌های افشای اطلاعات را بر قصد آنها برای سوءاستفاده از اطلاعات بررسی کردند. نمونۀ بررسی‌شده در این پژوهش 124 نفر از کارکنان بیمارستان چمران شهر اصفهان بود. فرضیه‌ها با نرم‌افزار Smart PLS تجزیه و تحلیل شدند. نتایج پژوهش نشان دادند ادراک کارکنان از شدت و قطعیت مجازات‌‌ها تأثیر منفی بر افشای اطلاعات دارد. آگاهی کارکنان از سیاست‌های امنیتی سیستم‌های اطلاعاتی تأثیر مثبت معنادار بر ادراک آنها نسبت به شدت و قطعیت مجازات افشای اطلاعات و آگاهی‌شان از برنامه‌های آموزشی آگاهی و امنیتی، تأثیر مثبت معنادار بر ادراک آنها نسبت به شدت و قطعیت مجازات افشای اطلاعات دارد. همچنین آگاهی کارکنان از شیوه‌های نظارت بر کامپیوتر، تأثیر مثبت معنادار بر ادراک آنها نسبت به شدت و قطعیت مجازات افشای اطلاعات دارد.

احمدی‌جزئی (1395) در پژوهش «بررسی فرهنگ سازمانی و تأثیر آن بر مدیریت امنیت اطلاعات» با توجه به سطح آمادگی کارکنان قوۀ قضاییه به این نتیجه دست یافت که فرهنگ سازمانی مشارکتی بر محرمانه‌بودن و دردسترس بودن اطلاعات اثرگذار بوده است؛ ولی بر پیوستگی اطلاعات و پاسخگویی اثرگذار نبوده است. همچنین فرهنگ ثبات بر هر چهار مؤلفۀ امنیت اطلاعات اثرگذار بوده است؛ ولی فرهنگ نوآوری و فرهنگ اثربخشی بر هیچ‌کدام از مؤلفه‌های امنیت اطلاعات تأثیرگذار نبوده است.

خواجویی (1390) در پژوهش «بررسی کنترل‌‌های امنیت اطلاعات»، حوزه‌های مدیریتی و اهداف کنترلی امنیت اطلاعات را براساس استاندارد مدیریت امنیت اطلاعات اولویت‌بندی کرد. او برای بررسی استاندارد مدیریت امنیت اطلاعات از روش تحلیل سلسله‌مراتبی فازی و برای گردآوری داده‌های پژوهش از پرسش‌نامه‌ای مشتمل بر 144 مقایسۀ زوجی استفاده کرد. جامعۀ این پژوهش مناطق چهارگانۀ شرکت ملی پخش فرآورده‌های نفتی ایران در منطقۀ شرق و جنوب‌شرق کشور شامل کرمان، زاهدان، خراسان جنوبی و چابهار بود که به‌دلیل محدودبودن تعداد اعضای کمیته‌های راهبری این چهار منطقه، از روش سرشماری در نمونه‌گیری استفاده شد. بعد از تجزیه و تحلیل داده‌ها ضریب ناسازگاری 05/0 برای پرسش‌نامه‌های پژوهش به دست آمد که این مقدار کمتر از 1/0 و مقداری پذیرفتنی بود. نتایج حاصل از پژوهش نشان می‌دهند حوزه‌‌های مدیریتی کنترل دسترسی و اکتساب، بهبود، حفظ و نگهداری سیستم‌های اطلاعاتی به ترتیب با اوزان محلی 124/0 و 121/0 اولویت‌های اول و دوم و مدیریت دارایی با وزن محلی 036/0 اولویت آخر را میان 11 حوزۀ پژوهش به خود اختصاص دادند. همچنین میان اهداف کنترلی، مدیریت دسترسی کاربر و مدیریت تحویل خدمت شخص سوم به ترتیب با اوزان جهانی 047/0 و 007/0 اولویت‌های اول و آخر را میان 39 هدف کنترلی امنیت به خود اختصاص دادند.

اسفندیارپور (1389) در پژوهش پیمایشیِ «عوامل مؤثر بر پذیرش سیاست‌های امنیت اطلاعات توسط کارمندان در سازمان»، عوامل مؤثر بر پذیرش سیاست‌‌های امنیت اطلاعات در سازمان را با نظرخواهی از 85 نفر در سازمان وزارت کشور بررسی کرد. نتایج پژوهش نشان دادند تعهد سازمانی و تأثیرات اجتماعی، تأثیر فزاینده‌ای در پذیرش سیاست‌های امنیت اطلاعات دارند و در دسترس بودن منابع فاکتوری اثرگذار در ارتقای خودباوری و عاملی پیش‌بینی‌کننده در پذیرش سیاست‌های امنیت اطلاعات خواهد بود. اگرچه سازمان‌ها از فناوری‌ها و فعالیت‌های امنیتی استفاده می‌کنند، این اثبات شده است که امنیت اطلاعات تنها با ابزارهای فناورانه به دست نمی‌آید؛ درنتیجه، سازمان‎ها به سیاست‌های امنیت اطلاعات توجه می‌کنند. بیشتر سازمان‌ها زمان و منابع برای تهیه، ایجاد و نگهداری سیاست‌‌های امنیت صرف می‌‌کنند؛ در حالی که اگر کاربران سیستم‌های اطلاعاتی سازمان تمایلی برای پیروی از سیاست‌ها نداشته باشند این کوشش‌ها شکست خواهند خورد. همچنین نتایج نشان دادند: 1) تأثیرات اجتماعی تأثیر فزاینده‌ای بر نیت قبول (قصد پذیرش سیاست امنیت اطلاعات) دارند؛ 2) در دسترس بودن منابع تأثیر فزاینده‌ای بر ارتقای خودباوری و به همان اندازه نیات قبول سیاست دارد؛ 3) تعهد سازمانی نقشی مضاعف ازطریق تأثیر مستقیم بر نیات و به همان اندازه طرز تفکر دربارۀ سیاست دارد.

پارک و همکاران[3] (2017) نقش آموزش امنیت اطلاعات و عوامل فردی در افشای اطلاعات سلامت (پزشکی) بیماران را بر گسترش امنیت اطلاعات بررسی کردند. با توجه به بیشترشدن اهمیت اجابت مقررات و سیاست‌‌های امنیت اطلاعات به‌وسیلۀ کارکنانی که در صنعت مراقبت‌‌های بهداشتی کار می‌‌کنند، بحث امنیت اطلاعات در مراکز درمانی از اهمیت بیشتری برخوردار شده است. همچنین یافته‌‌های این پژوهش نشان دادند امنیت اطلاعات و ارزش‌‌های شخصی در آموزش پرستاری و تلاش صنعت مراقبت‌‌های بهداشتی برای حفاظت از اطلاعات سلامت بیماران نقش جالب‌توجهی دارند.

وایگا و مارتینز[4] (2017) در پژوهش «بهبود فرهنگ امنیتی اطلاعات ازطریق اقدامات نظارت و پیاده‎‌سازی» که بین 512 نفر از کارکنان در آفریقای جنوبی انجام دادند، به این نتیجه دست یافتند که ابزار ارزیابی فرهنگ امنیت اطلاعات می‌تواند در سازمان‌ها به‌طور موفقیت‌آمیزی بر فرهنگ امنیت اطلاعات تأثیر بگذارد. همچنین آموزش امنیت اطلاعات و آگاهی، عاملی مهم در تأثیرگذاری مثبت بر فرهنگ امنیتی اطلاعات هنگام استفاده از ارزیابی فرهنگ امنیت اطلاعات است. آنها نشان دادند فرهنگ و خرده‌‎فرهنگ‌های امنیتی اطلاعات غالب در طول زمان پس از اجرای مداخلات هدفمند به یک فرهنگ امنیتی اطلاعاتی مثبت‌تر بهبود یافته است.

بلگورسو و همکاران (2010) در پژوهش «انطباق سیاست امنیتی اطلاعات: اعتقادات مبتنی بر عقلانیت و آگاهی از امنیت اطلاعات»، انواع مجازات و شدت مجازات‌های مرتبط با نقض امنیت اطلاعات سلامت را بررسی کردند. نتایج پژوهش آنها نشان دادند رابطه‌ای مثبت و معنادار بین شدت تنبیه و قصد موافقت با سیاست امنیت اطلاعات در سازمان وجود دارد. همچنین نتایج پژوهش آنها نشان دادند تأثیر نقض امنیت اطلاعات محافظت‌شده، می‌‎تواند بسیار جدی‌تر از نقض سیاست امنیتی در یک سازمان باشد؛ ازاین‌رو، به اعمال مجازات‌های شدیدتر نیاز است.

دارسی و همکاران[5] (2009) در پژوهش «آگاهی کاربر از اقدامات مخالف امنیت و تأثیر آن در سیستم‌‌های اطلاعاتی با رویکرد بازدارنده»، تأثیر آگاهی کاربر از اقدامات مخالف امنیت بر سیستم‌‌های اطلاعاتی را بررسی کردند. نتایج پژوهش آنها نشان دادند برنامه‌‌های آموزشی امنیت می‌توانند هم سطح درک افراد از تحریم‌ها و هم شدت درک‌شده از تحریم را افزایش دهند. همچنین شدت تحریم دریافت‎‌شده تأثیر منفی بر هدف سوءاستفاده دارد.

چانگ[6] (2007) در پژوهش «بررسی فرهنگ سازمانی بر مدیریت امنیت اطلاعات» که بین پرستاران انجام شد، به این نتیجه دست یافت که فرهنگ سازمانی، تأثیر مستقیم بر ایجاد فرهنگ امنیت اطلاعات دارد. او مؤلفه‌های سازمانی ازجمله همکاری، نوآوری، سازگاری، کارآیی و تأثیربخشی بر اصول امنیت اطلاعات (محرمانه‌بودن، در دسترس بودن، صحت و پاسخگویی) را بررسی کرد. یافته‌ها نشان دادند تمام عوامل فرهنگ سازمانی بر مؤلفه‌های امنیت اطلاعات تأثیر مثبتی دارند.

توماس و اندرسون[7] (2006) در پژوهش «پرورش یک فرهنگ امنیتی اطلاعات سازمانی» که بین 810 نفر از کارکنان یک شرکت بین‌المللی در اروپا انجام دادند، به این نتیجه دست یافتند که یک ‌راه حل امنیتی باید جزئی اساسی در هر سازمان باشد. یکی از مهم‌ترین مشکلات در دست‌یابی به جذب اطلاعات به یک سازمان، اعمال و رفتار کارکنان است. برای اطمینان از ادغام امنیت اطلاعات به فرهنگ‌ سازمانی یک سازمان، حفاظت از اطلاعات باید بخشی از فعالیت‌های روزمره و رفتار دوم شخصیت کارکنان باشد.

مطالعات پیشین عوامل متعددی را در زمینۀ عوامل انسانی نقض یا حفاظت از امنیت اطلاعات بررسی کرده‌اند؛ اما هیچ کدام از آنها، رابطۀ آگاهی از امنیت اطلاعات با قصد نقض امنیت اطلاعات با نقش میانجی هنجارهای فردی و خودکنترلی را مطالعه نکرده‌اند.

چارچوب نظری پژوهش

نظریۀ بازدارندگی عمومی‌ به‌طور گسترده‌ای برای مطالعۀ انطباق رفتار کارکنان در سازمان استفاده می‌شود. این نظریه به استفاده از راهبرد فشار منفی (مجازات) برای پرهیز از رفتارهای غیرایمن و ناخواسته با افزایش شدت و قطعیت مجازت اشاره دارد (Straub & Welke, 1998; Straub, 1990). برخی پژوهشگران استدلال می‌کنند که پاداش (تشویقی و انگیزه) اگر به‌‌منزلۀ راهبرد اجرایی مثبت به کار گرفته شود، ممکن است به دست‌یابی رفتار انطباقی بهتر کمک کند. به‌طور مشابه اگر پاداش با تحریم همراه باشد، بر ارزیابی هزینه - فایدۀ کارکنان از رفتار انطباقی و رفتار غیرانطباقی تأثیر می‌گذارد (Bulgurcu et al., 2010). اجرای مؤثر سازوکار کنترل به چگونگی اجرا و شیوۀ به‌کارگیری آن بستگی دارد. به ‌هر حال تا به امروز مطالعه‌ای برای تحلیل تعامل مؤثر بین مجازات و پاداش دربارۀ موضوع پیروی و سیاست‌های امنیتی انجام نشده است. با مرور مقالات و پژوهش‌ها، تضادهایی در ادبیات مربوط به تطابق امنیت یافت می‌شود. تأثیر پاداش در پیروی از سیاست‌های امنیتی در سازمان‌ها به نظر متناقض است: سیاست پاداش در تأثیرگذاری بر قصد کارکنان به پیروی جواب نمی‌دهد (Mikko et al., 2014)؛ این در حالی است که برخی مطالعات نشان می‌دهند پاداش، ابزاری مثبت در جهت مشارکت کارکنان در پیروی از امنیت است (Bulgurcu et al., 2010). اگرچه استفاده از مجازات و پاداش موضوعی بسیار جالب در حوزه‌هایی مانند جامعه‌شناسی، روان‌شناسی اجتماعی و رفتار سازمانی است، هیچ مدرکی در مستندات مربوط به پیروی از سیاست‌های امنیتی سیستم‌های اطلاعاتی و حفظ اطلاعات حساس مشتریان وجود ندارد که تأیید کند این مسئله به‌طور واقعی عمل خواهد کرد (Fehr & Schmidt, 2007; Andreoni et al., 2003).

نظریۀ بازدارندگی فرض می‌کند افراد دراساس انتخاب عقلانی و منطقی دارند و انتخاب آنها برای ارتکاب جرم به منفعتی بستگی دارد که آن جرم یا جنایت ممکن است برای آنها داشته باشد و افراد کمتر مستعد به مشارکت در یک رفتار مجرمانه‌اند؛ از این‌ جهت که قطعیت، شدت و سرعت مجازاتی که علیه آن جرم تعیین‌ شده است، از منافع آن بیشتر است (Hu et al., 2011; Siponen et al., 2010). نظریۀ بازدارندگی عمومی ‌که در خط‌مشی سیستم‌های اطلاعاتی و حفظ حریم شخصی مشتریان به‌ کار رفته است، بیان می‌کند که با استفاده از فن‌‌های بازدارندگی عمومی‌ مانند منع‌‎کردن، پیشگیری، تشخیص و ارائۀ راه‌ حل، امکان کاهش تهدیدها و کاهش یا حذف ریسک وجود دارد (Subramaniam et al., 2008).

آگاهی از امنیت اطلاعات و ارزش‌های فردی

چنانکه پیش از این بیان شد، نظریۀ یادگیری اجتماعی، نظریۀ عمومی جرم و نظریۀ کنترل رابطۀ بین دو متغیر آگاهی از امنیت اطلاعات در سازمان با ارزش‌های شخصی (خودکنترلی و هنجارهای شخصی) و قصد نقض اطلاعات را ازحیث نظری توجیه می‌کنند (Skinner & Fream, 1997; Park et al., 2017).

پژوهش‌های انجام‌شده نشان می‌دهند هنجارهای شخصی بر رفتارهای انحرافی به‌صورتی مستقیم تأثیر می‌گذارند (Song et al., 2016). در مطالعات پیشین گزارش ‌شده است که آگاهی با هنجار فردی رابطه دارد؛ چنانکه ایفندو (2014) گزارش داد در صورتی‌ که آگاهی دانش‌آموزان در زمینۀ رفتارهای ضداجتماعی افزایش یابد، این امر بر ارزش‌ها و هنجارهای آنها تأثیر خواهد داشت. کارمندانی که آگاهی از امنیت ‌‌اطلاعات سطح بالا دارند، ممکن است هنجارهای فردی سطح بالا هم داشته باشند که این هنجارها ازطریق به‌کارگیری روش‌های آموزشی در بانک‌ها شکل ‌گرفته‌اند. آموزش عاملی حیاتی و تأثیرگذار در شکل‌گیری هنجارهای فردی کارمندان است. کارمندان می‌توانند ارزش‌ها و دیدگاه‌های خود را دربارۀ محرمانه نگه‌داشتن اطلاعات بانکی - مالی افراد ازطریق گذراندن برنامه‌های تنظیم‌شده دربارۀ اطلاع و آگاهی‌ها از امنیت اطلاعات در درۀ آموزشی شکل دهند؛ بنابراین، فرضیه‌های فرعی این پژوهش به شکل زیر خواهند بود:

فرضیۀ 1- آگاهی از امنیت ‌‌اطلاعات با هنجارهای فردی رابطۀ معناداری دارد.

 نظریۀ بازدارندگی تمرکزی ویژه بر خودکنترلی در رفتارهای انحرافی دارد. فرض اساسی مطالعات پیشین بر این است که افرادی که خودکنترلی پایینی دارند، رفتارهای ضداجتماعی از خود نشان می‌دهند؛ بنابراین، یکی از اهداف آموزش باید کمک به افراد در توسعۀ خودکنترلی‌شان ‌باشد (Park et al., 2017). براساس نظر اودونگو و رابین[8] (2001)، آگاهی بر رفتار خودکنترلی افراد تأثیر دارد؛ درواقع، افرادی که ازطریق برنامه‌های مختلف آگاهی از امینت اطلاعات پزشکی به سطوح بالایی از آگاهی از امنیت ‌‌اطلاعات دست ‌یافته‌اند، خودکنترلی بالاتری دارند (Park et al., 2017)؛ ازاین‌رو، در فرضیۀ فرعی دوم چنین ادعا می‌شود:

فرضیۀ 2- آگاهی از امنیت ‌‌اطلاعات با خودکنترلی رابطۀ معناداری دارد.

آگاهی از محرمانه‌بودن و قصد نقض امنیت اطلاعات بانکی - مالی

در مطالعات مربوط به امنیت اطلاعات رفتاری، نظریۀ بازدارندگی عمومی اهمیت بسزایی دارد. در این زمینه و براساس نظریۀ بازدارندگی عمومی، یکی از جنبه‌‌ها و راه‌‌های مهم برای حفاظت و مدیریت امنیت اطلاعات، ارتقای آگاهی کاربران از امنیت اطلاعات است (D’arcy & Herath, 2011; D’arcy et al., 2009). بولگورسو و همکاران (2010) در بررسی‌های خود به این نتیجه رسیدند که هم آگاهی از امنیت اطلاعات عمومی‌ و هم آگاهی از ضوابط و سیاست‌های امنیت اطلاعاتی، تأثیری مثبت بر نگرش موافق با سیاست امنیتی اطلاعاتی دارند. در این صورت، افراد آگاهی‌‌های لازم و مربوط به نقش و مسئولیت خویش در حفظ امنیت اطلاعات در کار مربوط به خود را کسب می‌‌کنند. آگاهی از امنیت اطلاعات در افراد سبب تغییر رفتار و تقویت فعالیت‌‌های خوب امنیتی می‌‌شود و به افراد اجازه می‌‌دهد نسبت به امنیت فناوری اطلاعات نگران و پاسخگو باشند (Von Solms, 2014). برنامه‌‌های آموزش امنیت و آگاهی می‌توانند رفتارهای انحرافی مرتبط با امنیت اطلاعات بانکی را ازطریق آموزش کارکنان دربارۀ اهمیت امنیت اطلاعات عمومی، مجازات رفتارهای انحرافی و برخوردهای متقابل در سازمان‌ها کاهش دهند. دارسی و همکاران (2009) بدین نتیجه رسیده‌اند که برنامه‌‌های آموزش امنیت و آگاهی قادرند هم ‌سطح درک افراد از مجازات و هم ‌شدت درک‌شده از مجازات را افزایش دهند. در زمینۀ اطلاعات بانکی و مالی، ذی‌نفعان ازجمله کارمندان بانک - که به درجات بالایی از آگاهی از امنیت ‌‌اطلاعات ازطریق روش‌هایی که در بانک آموزش دیده‌اند، دست‌یافته‌اند - تمایل کمتری به رفتارهای انحرافی به‌ویژه افشای اطلاعاتی مشتریان دارند؛ بنابراین، در فرضیۀ فرعی سوم ادعا می‌شود که:

فرضیه 3- آگاهی از امنیت ‌‌اطلاعات با قصد نقض امنیت‌‌ اطلاعات رابطۀ معناداری دارد.

ارزش‌های فردی و تمایل به نقض امنیت اطلاعات بانکی - مالی

در مطالعۀ حاضر آگاهی از امنیت ‌‌اطلاعات به‌‌منزلۀ دانش عمومی ‌یک کارمند در زمینۀ امنیت اطلاعات و دانش دربارۀ قوانین و مقررات امنیتی و موانع مربوط به آن تعریف ‌شده است. در همین راستا، مطالعات قبلی نشان می‌‌دهند برنامه‌‌های آموزش و امنیت و آگاهی اثرات جالب‌‌توجه بازدارندۀ مهمی ‌در کنترل رفتارهای انحرافی دارند (کریمی‌ و پیکری، 1397). همچنین بلگورسو و همکاران (2010) دریافتند که آگاهی عمومی ‌از امنیت اطلاعات و آگاهی از سیاست امنیتی اطلاعات تأثیر مثبت بر نگرش کارکنان برای موافقت با سیاست‌های امنیتی شرکت دارند. همچنین، طبق نظریۀ عمل منطقی، ارزش‌ها و هنجارهای افراد با چگونگی رفتار آنها مرتبط است. افرادی که سطوح بالایی از هنجارهای شخصی (برای ‌مثال، اخلاق) را دارند، دانش کافی دربارۀ اخلاق، اینکه چه چیزی درست و چه چیزی نادرست است و اینکه کدامین رفتار مناسب است، دارند. ادبیات جرم‌شناسی چنین بیان می‌کند که هنجارهای شخصی اثر بازدارندگی قوی بر رفتارهای انحرافی افراد دارند. لی و همکاران[9] (2010) بدین نتیجه رسیده‌‌اند که هنجارهای فردی به‌طور معمول در زمینۀ این است که فرد از خود رفتارهای انحرافی نشان دهد یا ملاحظات اخلاقی خود را وارد رفتارهای خویش کند؛ درواقع، هنجارهای شخصی به‌صورتی مستقیم بر رفتارهای انحرافی تأثیر می‌گذارند. در مطالعۀ حاضر، اگر باورهای فردی بر این باشند که افشای اطلاعات بانکی افراد ازلحاظ اخلاقی نادرست است، فرد تمایل کمتری به افشای چنین اطلاعاتی خواهد داشت.

بنابراین، در فرضیۀ فرعی چهارم چنین ادعا می‌شود:

فرضیۀ 4- هنجارهای فردی با قصد نقض امنیت ‌‌اطلاعات رابطۀ معناداری دارند.

پژوهش‌های جرم‌شناسی همراه با فراتحلیل‌ها، اهمیت تأثیر خودکنترلی را بر رفتارهای انحرافی نشان داده‌اند. براساس نظریۀ یادگیری اجتماعی، نظریۀ عمومی‌ جرم و نظریۀ کنترل، انتظار می‌رود آگاهی از امنیت اطلاعات در سازمان، بر ارزش‌‌های شخصی مانند خودکنترلی و قصد نقض اطلاعات تأثیر بگذارد (Skinner & Fream, 1997; Park et al., 2017). افرادی که خودکنترلی پایینی دارند، تمایل بیشتری برای رفتن به‌دنبال ریسک و خطر، فعالیت‌های فیزیکی زیاد، ارتباطات غیرکلامی، کوته‌فکری و خلق‌وخوی تند دارند (McCombs, 2008). افرادی که ضمن داشتن چنین ویژگی‌هایی، خودکنترلی پایینی هم دارند، رفتارهای انحرافی مانند نقض امنیت اطلاعات را بیشتر از خود نشان می‌دهند. در این مقاله، چنین فرض شده است که اگر فردی خودکنترلی بالایی داشته باشد، تمایل کمتری به افشای اطلاعات پزشکی دارد؛ بنابراین، در فرضیۀ فرعی پنجم ادعا می‌شود که:

فرضیۀ 5- خودکنترلی رابطۀ منفی با تمایل کارکنان به افشای اطلاعات بانکی مشتریان دارد.

با توجه به 5 فرضیۀ فرعی ذکرشده، 2 فرضیه اصلی زیر پیشنهاد می‌شود:

فرضیۀ اصلی اول: آگاهی از امنیت اطلاعات با نقش میانجی کامل هنجارهای فردی با قصد نقض امنیت اطلاعات رابطه دارد.

فرضیۀ اصلی دوم: آگاهی از امنیت اطلاعات با نقش میانجی کامل خودکنترلی با قصد نقض امنیت اطلاعات رابطه دارد.

شکل 1– الگوی مفهومی ‌پژوهش

روش پژوهش

پژوهش حاضر از نوع کاربردی و یک مطالعۀ توصیفی - همبستگی است. جامعۀ آن، 350 نفر از کارکنان شعب بانک کشاورزی شهر اصفهان بود. دلیل انتخاب بانک به‌منزلۀ جامعۀ مطالعه‌شده این بود که چون موضوع این پژوهش دربارۀ عوامل مؤثر بر نقض امنیت اطلاعات بود، به‌طور طبیعی جامعۀ مطالعه‌شده باید به اطلاعات حساسی دسترسی داشته باشند تا حفاظت یا نقض آن موضوعیت یابد و مطالعۀ آن اهمیت داشته باشد. به عبارت دیگر، انجام این پژوهش با توجه به پدیدۀ مطالعه‌شده دربارۀ همۀ اعضای جامعه موضوعیت نداشت. ازطرفی، از آنجا که موضوع امنیت اطلاعات در بانک‌ها اهمیت بسزایی دارد، انجام این پژهش در بانک‌ها را توجیه می‌کرد. دلیل انتخاب یک بانک به‌منزلۀ جامعۀ مطالعه‌شده نیز این بود که پژوهشگران سعی داشتند با مطالعۀ موضوع بین کارمندان یک سازمان، نقش و دامنۀ تغییر عواملی مانند فرهنگ سازمانی، هنجارهای گروهی و عوامل مدیریتی را ثابت یا حداقل نگه دارند؛ در حالی که در صورت مطالعۀ چند بانک به‌طور همزمان، این عوامل ممکن بود از عوامل مؤثر در پیش‌بینی احتمال نقض امنیت اطلاعات محسوب شوند. بر همین اساس، نمونۀ پژوهش با استفاده از جدول مورگان 184 نفر بود که با استفاده از روش نمونه‌گیری غیرتصادفی تعیین شدند و پس از توزیع 215 پرسش‌‌نامه، تعداد 197 پرسش‌نامۀ کاربردی جمع‌آوری شد.

جدول 1– مشخصات ابزار، پایایی و روایی

چنانکه در جدول 1 نشان داده ‌شده است، پرسش‌نامۀ استفاده‌شده برای سنجش متغیرها از مقالات چاپ‌شده در مجلات معتبر بین‌المللی اقتباس و بومی‌سازی و در طیف لیکرت طراحی ‌شده‌ است. روایی صوری و محتوایی پرسش‎‌نامه با توجه به نظرهای تعدادی از افراد جامعۀ آماری و استادان و صاحب‌نظران سنجیده شد. روایی سازه با استفاده از تحلیل عاملی تأییدی و پایایی پرسش‌نامه با استفاده از آلفای کرونباخ سنجیده شد. برای بررسی روایی سازه از سه شاخص پایایی مرکب، متوسط واریانس استخراج‌شده و بار عاملی استفاده شد. مقادیر پایایی مرکب همۀ متغیرها از 7/0 و متوسط واریانس استخراج‌شده از 5/0 بیشتر شده است. به‌علاوه، بار عاملی تمام گویه‌ها از 5/0 بیشتر شده است. همچنین چنانکه در جدول 2 ذکر شده است، قاعدۀ فورنل-لارکر رعایت شده است؛ درنتیجه، روایی واگرا و همگرا تأیید شده است که این امر بیان‌کنندۀ روایی پذیرفتنی سازه در این مطالعه است. همچنین چنانکه در جدول 1 ذکر شده است، آلفای کرونباخ برای هر یک از متغیرها بیش از 7/0 است که بیان‌کنندۀ پایایی ابزار استفاده‌شده است. این مطالعه برای تحلیل داده‌ها از روش تحلیل توصیفی با نرم‌افزار SPSS و روش حداقل مربعات جزئی با نرم‌افزار SmartPLS استفاده کرده است.

جدول 2- قاعدۀ فورنل - لارکر

یافته‌ها

یافته‌های جمعیت‌شناختی

جدول 3- توصیف آماری ویژگی‌های جمعیت‌شناختی جامعه

نتایج حاصل از آمار توصیفی در جدول 3 نشان می‌دهند از مجموع 197 نفر، بیشترین تعداد پاسخ‌دهندگان کارکنان مرد و کمترین تعداد پاسخ‌دهندگان زن بودند. افراد دارای سن 31 تا 39 سال بیشترین نفرات از جامعۀ آماری پژوهش و افراد با سن 50 سال کمترین نفرات از جامعۀ آماری پژوهش را تشکیل دادند. کارکنان دارای سمت کارمند بیشترین تعداد و کارکنان دارای سمت رییس شعبه کمترین تعداد پاسخ‌دهندگان‌اند. افراد دارای تحصیلات کارشناسی بیشترین تعداد از جامعۀ آماری را تشکیل داده‌اند و افرادی کمترین نمونه را تشکیل داده‌اند که تحصیلات کارشناسی‌ارشد و بالاتر دارند. افراد متأهل بیشترین تعداد و افراد مجرد کمترین تعداد از جامعۀ آماری را تشکیل داده‌اند. میانگین آگاهی، خودکنترلی، هنجار فردی و قصد نقض امنیت اطلاعات در مقیاس 5، 95/2، 18/3، 36/3، و 72/2 بود.

نتایج فرضیه‌ها

نتایج فرضیه‌های اصلی

فرضیۀ اصلی اول: آگاهی از امنیت اطلاعات با نقش میانجی هنجارهای فردی با قصد نقض امنیت اطلاعات رابطه دارد.

آزمون سوبل برای انجام استنباط دربارۀ ضریب اثر غیرمستقیم استفاده می‌شود. با داشتن برآوردی از خطای استاندارد مسیرها می‌توان p-value را محاسبه کرد.

در این رابطه:
a  ضریب مسیر میان متغیر مستقل و میانجی (امنیت اطلاعات بر هنجارهای فردی) (67/0)؛
b  ضریب مسیر میان متغیر میانجی و وابسته (هنجارهای فردی بر قصد نقض امنیت اطلاعات) (54/0-)؛
Sa  خطای استاندارد مسیر متغیر مستقل و میانجی (06/0)؛
Sb  خطای استاندارد مسیر متغیر میانجی و وابسته (01/0).

طبق فرمول ذکرشده مقدار آزمون 9/10- است و از آنجا که از 96/1- بیشتر است، اثر غیرمستقیم معنی‌دار دارد.

برای تعیین اثر غیرمستقیم از آمارۀVAF  استفاده می‌شود که مقداری بین 0 تا 1 است و هرچه به عدد یک نزدیک‌تر باشد، نشان‌دهندۀ اثر قوی متغیر میانجی است.

در این فرمولC  ضریب مسیر میان متغیر مستقل و وابسته است.

VAF = 40

یعنی 40 درصد رابطۀ امنیت با نقض اطلاعات ازطریق اثر غیرمستقیم هنجار فردی صورت می‌گیرد.

فرضیۀ اصلی دوم: آگاهی از امنیت اطلاعات با نقش میانجی خودکنترلی بر قصد نقض امنیت اطلاعات تأثیر دارد.

در این رابطه:
a  ضریب مسیر میان متغیر مستقل و میانجی (امنیت اطلاعات بر خودکنترلی) (71/0)؛
b  ضریب مسیر میان متغیر میانجی و وابسته (خودکنترلی بر قصد نقض امنیت) (48/0-)؛

Sa  خطای استاندارد مسیر متغیر مستقل و میانجی (03/0)؛
Sb  خطای استاندارد مسیر متغیر میانجی و وابسته (05/0).

Z-value = -8/8

طبق فرمول ذکرشده مقدار آزمون 8/8– است و از آنجا که از 96/1- بیشتر است، اثر غیرمستقیم معنی‌دار دارد.

برای تعیین اثر غیرمستقیم از آمارۀVAF  استفاده شد.

در این فرمولC  ضریب مسیر میان متغیر مستقل و وابسته است (آگاهی از امنیت اطلاعات بر نقض اطلاعات)

53/0=c

VAF=38

یعنی 38 درصد رابطۀ آگاهی از امنیت اطلاعات با نقض اطلاعات ازطریق اثر غیرمستقیم خودکنترلی صورت می‌گیرد.

نتایج فرضیه‌های فرعی

چنانکه در جدول 4 نشان داده ‌شده است، نتایج تحلیل معادلۀ ساختاری نشان می‌دهند ضریب معناداری مسیر میان تمام متغیرها از 96/1 بیشتر است که معناداری مسیر و تأیید تمام فرضیه‌ها را نشان می‌دهد. با توجه به مقدار ضریب استانداردشده می‌توان گفت یک واحد تغییر متغیر آگاهی از امنیت اطلاعات 67/0 واحد تغییر در متغیر هنجارهای فردی، 71/0 واحد تغییر در خودکنترلی و 53/0- واحد تغییر در قصد نقض امنیت اطلاعات بین کارمندان بانک ایجاد می‌کند. نتایج تحلیل معادلۀ ساختاری نشان می‌دهند یک واحد تغییر در هنجارهای فردی و خودکنترلی به ترتیب 54/0- و 48/0- واحد تغییر در قصد نقض امنیت اطلاعات بین کارمندان بانک ایجاد می‌کند.

جدول 4- نتایج فرضیه‌های فرعی پژوهش

شکل 2- ضرایب مسیر و بارهای عاملی