Does Context Always Matter?

The Critical Role of Contextual Differences in Information Security Policy Compliance Behavior Research

by Sebastian Hengstler
Cumulative thesis
Date of Examination:2024-09-24
Date of issue:2025-01-07
Advisor:Prof. Dr. Simon Trang
Referee:Prof. Dr. Simon Trang
Referee:Prof. Dr. Lutz M. Kolbe
Referee:Prof. Dr. Michael Wolff
Persistent Address: http://dx.doi.org/10.53846/goediss-10864

 

 

Files in this item

Name:Dissertation_SebastianHengstler_upload.pdf
Size:1.80Mb
Format:PDF

The following license files are associated with this item:

Abstract

English

The risk of information security breaches in companies is escalating due to the increasing digitalization of business processes and employee activities within their daily work environment. While technical measures can mitigate the risk of damage to the company, they cannot offer complete protection. Employee behavior, particularly non-compliance with organizational information security policies, poses a significant risk. Therefore, non-technical measures are necessary to minimize or prevent such breaches. Neglecting this aspect of information security can lead to substantial damage, potentially jeopardizing the entire business operation. Research in the field of information security outlines strategies for defining information security policies, designing appropriate security measures, and conducting employee training programs. However, existing approaches often provide only generalized solutions. To achieve differentiation, the incorporation of cultural considerations is essential. In an international and multicultural workplace, companies face numerous challenges, including operating across global locations, collaborating within multicultural teams, and navigating industry-specific corporate cultures. Current research suggests that various contextual perspectives, such as culture, organizational dynamics, and job differences, may influence information security policy compliance behavior. Nonetheless, it does not offer clear insights into the specific areas of dependency or practical management strategies. This dissertation investigates the relationship between contextual differences and information security policy compliance behavior through four empirical studies. It demonstrates the diverse ways that contextual differences influence compliance behavior. The analysis is grounded in empirical research and applicable theories in the field of information security, presenting the results in a manner that is readily transferable to practice. The studies indicate that contextual differences can impact information security at multiple levels, including cultural variations, organizational aspects, different types of non-compliance behavior, and individual behavioral tendencies. Subsequent studies within this dissertation provide an in-depth analysis of these contextual aspects. Through the development of a taxonomy and corresponding archetypes, it was possible to illustrate that various types of information security breaches occur both domestically and internationally. Using social learning theory, the importance of cultural values concerning information security policy compliance behavior and the relevance of organizational aspects, such as work experience, are elucidated. A quantile regression analysis helped identify differences in individual behavioral tendencies of employees concerning compliance with information security policies. The findings of this dissertation have significant implications for both research and practice. Firstly, they underscore the importance of contextual aspects within the research context. Additionally, the insights gained highlight the necessity for differentiated information security measures and training that account for cultural and organizational differences, as well as varying types of behavior and individual behavioral values, rather than relying on generalized approaches. The published research articles identify potential areas for future research and provide internationally active companies and organizations with multicultural backgrounds with guidance on where differentiated approaches are necessary to ensure a robust level of information security.
Keywords: information security; information security policy compliance behavior; Behavioral related research

German

Durch die zunehmende Digitalisierung von Geschäftsprozessen und Mitarbeiteraktivitäten am Arbeitsplatz steigt das Risiko von Informationssicherheitsverletzungen in Unternehmen. Technische Maßnahmen können zwar das Schadensrisiko für das Unternehmen mindern, jedoch keinen vollständigen Schutz bieten. Das Verhalten der Mitarbeiter birgt ein erhebliches Risiko für Verletzungen der Informationssicherheit, insbesondere durch Nichteinhaltung der Informationssicherheitsrichtlinien. Zusätzliche nicht-technische Maßnahmen sind notwendig, um solche Verstöße zu minimieren oder zu verhindern. Die Vernachlässigung dieses Bereichs der Informationssicherheit kann zu erheblichen Schäden führen und die gesamte Geschäftstätigkeit eines Unternehmens gefährden. Die Forschung im Bereich der Informationssicherheit beschreibt Maßnahmen zur Definition von Sicherheitsrichtlinien, zur Gestaltung geeigneter Sicherheitsmaßnahmen und zur Schulung der Mitarbeiter. Bestehende Ansätze bieten jedoch oft nur verallgemeinerte Lösungen. Um differenzierte Maßnahmen zu entwickeln, sollten kulturelle Überlegungen einbezogen werden. In einer internationalen und multikulturellen Arbeitsumgebung ist die interkulturelle Zusammenarbeit zwischen Unternehmen mit vielen Herausforderungen verbunden. Diese Herausforderungen umfassen die Arbeit über globale Standorte hinweg, die Zusammenarbeit mit multikulturellen Teams und die Navigation durch branchenabhängige Unternehmenskulturen. Aktuelle Forschungsergebnisse deuten darauf hin, dass verschiedene kontextuelle Perspektiven wie Kultur, Organisationen oder Arbeitsplatzunterschiede das Verhalten bei der Einhaltung von Informationssicherheitsrichtlinien beeinflussen können. Klar definierte Erkenntnisse zu den spezifischen Abhängigkeitsbereichen oder deren praktischer Handhabung fehlen jedoch. In dieser Dissertation wird anhand von vier Studien die Beziehung zwischen kontextuellen Unterschieden und dem Verhalten bei der Einhaltung von Informationssicherheitsrichtlinien analysiert. Sie zeigt auf, in welcher Weise kontextuelle Unterschiede das Einhalten von Informationssicherheitsrichtlinien beeinflussen. Die Analyse stützt sich auf empirische Studien und spezifische Theorien, die auf den Bereich der Informationssicherheit anwendbar sind. Die Ergebnisse werden praxisnah präsentiert. Die Studien verdeutlichen, dass kontextuelle Unterschiede auf verschiedenen Ebenen die Informationssicherheit beeinflussen können, einschließlich kultureller Unterschiede, organisatorischer Aspekte, unterschiedlicher Arten von Non-Compliance-Verhalten und individueller Verhaltensmuster. Die nachfolgenden Studien der Dissertation analysieren diese kontextuellen Aspekte im Detail. Durch die Erstellung einer Taxonomie und entsprechender Archetypen konnte gezeigt werden, dass verschiedene Arten von Informationssicherheitsverletzungen sowohl national als auch international vorkommen. Die Anwendung der sozialen Lerntheorie verdeutlicht die Bedeutung kultureller Werte für das Verhalten bei der Einhaltung von Informationssicherheitsrichtlinien und die Relevanz organisatorischer Aspekte wie Berufserfahrung. Die Durchführung einer Quantils Regression half dabei, Unterschiede in den individuellen Verhaltensmustern der Mitarbeiter hinsichtlich der Einhaltung von Informationssicherheitsrichtlinien zu identifizieren. Die Ergebnisse dieser Dissertation haben sowohl für die Forschung als auch für die Praxis bedeutende Implikationen. Erstens weisen sie auf die Relevanz kontextueller Aspekte im Forschungskontext hin. Darüber hinaus zeigen die gewonnenen Erkenntnisse die Notwendigkeit differenzierter Informationssicherheitsmaßnahmen und Schulungen, die kulturelle und organisatorische Unterschiede sowie verschiedene Verhaltensweisen und individuelle Verhaltenswerte berücksichtigen, anstatt sich auf verallgemeinerte Ansätze zu verlassen. Die veröffentlichten Forschungsartikel identifizieren potenzielle Bereiche für zukünftige Forschung und bieten international tätigen Unternehmen und Organisationen mit multikulturellem Hintergrund Hinweise darauf, in welchen Bereichen differenzierte Ansätze notwendig sind, um Informationssicherheit zu gewährleisten.
 
Statistik