适读人群
信息安全管理研究领域的学者、教师及研究生，政府部门、企事业单位的相关管理者和咨询者
作者简介

王小龙，男，山东省莱州市人，工学博士，副教授，毕业于大连理工大学经济管理学院管理科学与工程专业，香港大学商学院访问博士生。研究领域为博弈论与信息经济学、信息安全行为，以及电子商务与物流管理。曾主持或参与多项省级、国级课题，在核刊发表多篇论文。

精彩摘要
　　1.5 主要研究内容概述
　　本书所研究的信息安全遵从行为的正式控制机制可分为既相互联系又相互独立的两部分:激励机制与评估机制。其中,关于信息安全遵从行为激励机制的研究内容在一定程度上体现了“赏罚分明”的组织控制思想；而关于信息安全遵从行为评估机制的研究内容则在一定程度上体现了“选贤任能”的组织控制思想。因而,本书的主要研究内容可简述为:“赏罚分明,选贤任能”。
　　
　　1.5.1 信息安全遵从行为的正式控制机制之一:激励机制
　　鉴于在组织委派雇员遵从信息安全制度的过程中存在着信息不对称问题与道德风险问题,因此,有必要研究信息安全遵从行为的激励机制。相应的三个研究子内容如下。
　　1)惩罚的确定性与适度性对信息安全遵从行为的激励机制。
　　虽然惩罚是一种消极的激励方法(Negative Incentive Method),一些相关研究工作仍然探索了惩罚的确定性与严重性对组织内部雇员的信息安全遵从意图或不遵从意图的影响作用。 然而,针对“惩罚的确定性与严重性是否会显著地影响组织内部雇员的信息安全遵从意图或不遵从意图”这个问题,已有的相关研究结论尚存在着严重分歧。为了继续探索惩罚对信息安全遵从行为的影响作用及激励机制,作者先构建了信息安全遵从博弈模型。然后,依据该模型与存在道德风险的委托人—代理人理论模型,分析和论证了惩罚的确定性及适度性对信息安全遵从行为的激励机制,并对惩罚适度性的可行域进行了数值模拟。具体研究内容请见第2章。
　　2)心理收入(Psychic Income)与货币奖励(Monetary Reward)对信息安全遵从行为的组合激励机制。
　　关于工作行为激励机制,已有研究工作几乎都侧重于分析货币奖励对雇员工作行为的努力水平的影响作用。然而,需求层次理论(Needs- hierarchy Theory)及其他一些相关研究结果表明:归属感(Belonging)、自尊需要(Respect & Esteem Needs)、自我实现需要(Self-actualization Needs)、工作意义(The Meaning of Work)及努力认可(Effort Appreciation)等非货币形式(Non-pecuniary)的心理收入也可能会影响雇员工作行为的努力程度。因此,作者将心理收入引入经典的委托人—代理人理论模型中来研究心理收入与货币奖励对信息安全遵从行为的组合激励机制。具体研究内容请见第3章。
　　3)基于多任务委托人—代理人理论模型来探索信息安全遵从行为的激励机制。
　　在某些组织情境下,雇主(委托人)会委派其雇员(代理人)在完成本职工作任务的同期内还必须去完成信息安全遵从任务。即使雇主只要求雇员去完成信息安全遵从任务,该任务也很可能包含多个子任务。雇员在不同的任务或子任务之间分配的努力水平可能是不同的。当雇员在同期内从事多个不同的任务时,雇主对这些的任务的监督能力也可能是不相同的。另外,某些任务可能比其他任务更难以监督与观测。雇主对易于观测的任务的过度激励可能会诱使雇员把过多的努力付诸这些易被观测的任务, 却规避其他任务。因此,基于多任务委托人—代理人理论模型来探索信息安全遵从行为与本职工作行为的关联激励机制具有比较重要的理论意义与管理实践意义。具体研究内容见第4章。
　　……

编辑推荐

本书主要采用基于博弈论等理论建立模型及数值模拟的方法来研究信息安全遵从行为的正式控制机制，即信息安全遵从行为的激励机制和评估机制。本书的理论水平较高，所提出的信息安全遵从行为的正式控制机制，以及所获得的定性与定量结果可为信息安全相关的企业管理者采纳使用，既有利于管理者深入理解组织内部雇员的信息安全遵从或不遵从行为本身，又有利于管理者深入理解若干逻辑前置因素对这类行为的组织控制原理，以期实现对组织内部雇员的信息安全遵从行为的科学管理，对企业发展有一定的实践指导意义。

内容简介

信息安全遵从行为是指组织内部雇员在执行信息安全制度过程中的具体遵守行为。近年来的相关调查研究表明，组织内部雇员不遵从信息安全制度的行为导致了非常多的信息安全事件，甚至仅仅一个雇员的不遵从行为就足以给其组织的资产、声誉与竞争力等造成灾难性的危害。在信息安全遵从行为的管理实践过程中，合理、有效的正式控制机制及相应的正式控制方法的应用将有利于各组织科学地管理其内部雇员的信息安全遵从行为及不遵从行为。受控的信息安全遵从行为不仅有利于信息安全制度的具体实施，也有利于信息安全保障技术更有效地被内部雇员所采纳使用，从而阻止或减少信息安全事件的发生，并使组织在信息安全保障上的投资产生良性的预期效果，进而实现组织的信息安全管理目标。

目前，关于信息安全遵从行为的研究大多采用实证方法，主要论证逻辑前置因素对此类行为意图的影响。本书从信息安全制度、信息安全行为和信息安全技术等几个方面来阐述信息安全遵从行为的正式控制机制，专业性较强，可为信息安全管理者、咨询者提供一定的参考。

目录
第 1 章  绪论
1. 1 研究背景
1. 2 国内外研究进展
1. 3 主要研究思路
1. 4 研究意义
1. 5 主要研究内容概述
第 2 章  惩罚的确定性与适度性对信息安全遵从行为的激励机制
2. 1 信息安全遵从博弈模型
2. 2 惩罚的确定性与适度性对信息安全遵从行为的激励机制分析
2. 3 惩罚的适度性的可行域数值模拟
2. 4 数值算例
2. 5 本章小结
第 3 章  心理收入与货币奖励对信息安全遵从行为的组合激励机制
3. 1 最优的组合激励契约模型
3. 2 最优的组合激励契约模型的求解与分析
3. 3 本章小结
第 4 章  信息安全遵从行为与本职工作行为的最优关联激励机制
4. 1 最优关联激励契约模型的设计
4. 2 最优关联激励契约模型的求解与分析
4. 3 本章小结
第 5 章  基于伽罗瓦格图表征和评估信息安全遵从行为
5. 1 信息安全遵从伽罗瓦格图
5. 2 信息安全遵从行为模式
5. 3 对比分析
5. 4 本章小结
第 6 章  信息安全遵从非胜任力的灰色关联评估机制与方法
6. 1 信息安全遵从非胜任力
6. 2 信息安全遵从非胜任力灰色模型
6. 3 信息安全遵从非胜任力的灰评估指标
6. 4 信息安全遵从非胜任力的灰色关联评估机制分析
6. 5 信息安全遵从非胜任力的灰关联评估过程
6. 6 讨论与分析
6. 7 本章小结
第 7 章  基于灰色理论和信息熵理论量化信息安全遵从的整体态势
7. 1 信息安全遵从行为熵
7. 2 灰关联熵及均衡接近度计算方法中所存在的问题
7. 3 信息安全遵从行为的离散熵
7. 4 信息安全遵从行为整体态势的均衡接近度及离散熵评估过程
7. 5 信息安全遵从行为整体态势的离散熵评估结果及讨论
7. 6 本章小结
第 8 章  创新点
参考文献
附录  调查问卷
后记

前言
　　信息安全遵从行为是指组织内部雇员在执行信息安全制度过程中的具体遵守行动。组织内部雇员不遵从信息安全制度的行为导致众多信息安全事件,甚至仅仅一个雇员就足以给其组织的资产、声誉与竞争力等带来灾难性的危害。现有的关于信息安全遵从行为的研究工作大多采用实证方法,主要论证逻辑前置因素对此类行为意图的影响。而本书主要采用基于博弈论等理论建立模型的方法, 以及数值模拟的方法来研究信息安全遵从行为的正式控制机制,即信息安全遵从行为的激励机制和评估机制,以期深入理解并科学管理信息安全遵从行为。主要研究内容的概括归纳如下所述。
　　假设可以低成本地观测到信息安全遵从行为的产出结果,本书设计并论证了如下三种激励机制:
　　1) 基于存在道德风险的委托人—代理人理论构建了信息安全遵从博弈模型,重点分析并论证了惩罚的确定性与适度性对雇员个体的信息安全遵从行为的激励作用。
　　2) 设计了一份同时包含心理收入与货币奖励的最优契约,用以激励雇员个体选择雇主所期望的信息安全遵从努力水平。
　　3) 在同期内承担着信息安全遵从和本职工作两项任务的雇员个体可能会表现出信息安全不遵从行为。将雇员个体对任务执行细节的调度排程的重视程度这个时间观变量引入多任务委托人—代理人模型, 设计了最优关联激励契约, 论证了该时间观变量对最优激励强度及最优激励策略的关联影响,并采用数值算例验证了激励强度系数与时间观变量的关联关系。
　　假设可以低成本地观测信息安全遵从行为的样本数据,本书设计并论证了如下三种评估机制。
　　1) 建构信息安全遵从伽罗瓦格图,实现遵从模式的可视化表示,从格图中提取了六类信息安全遵从模式,并将这些遵从模式与利用社会网络分析方法所得到的结构特征进行了比较分析。
　　2) 将信息安全遵从非胜任力看作一个灰色系统, 构建信息安全遵从非胜任力的灰色模型,设置十四个灰评估指标,并给出相应的灰色评估方法.结合使用信息安全遵从非胜任力灰色模型与层次分析方法来计算各个灰评估指标的权重值,并给出灰分辨系数的赋值方法。
　　3) 为了量化评估雇员群体的信息安全遵从行为的整体态势, 首先构建信息安全遵从行为熵模型,但发现该模型不能区分相异的序数型数据分布所对应的遵从整体态势, 而采用灰熵均衡接近度计算方法对遵从整体态势进行量化存在着同样的困难。因此,改进了熵模型和灰熵均衡接近度方法,计算各小样本数据所对应的遵从均衡接近度和遵从行为离散熵,并分析验证所提出的评估机制及评估方法的合理性、有效性。
　　本书所提出的信息安全遵从行为正式控制机制可为信息安全管理者、咨询者所采纳使用,以期实现对组织内部雇员的信息安全遵从行为的科学管理。
　　本书中的研究工作是在大连理工大学经济管理学院李文立教授的指导下完成的,同时得到了国家自然科学基金项目(70972058,71272092,71431002)的支持与资助。责任编辑郑亮、寇俊玲、宋可力出色的专业能力和敬业精神使本书增色甚多。
　　限于时间与学识,书中难免存在瑕疵,敬请读者不吝赐教。
　　王小龙
　　2020 年 5 月 17 日