Hành vi tuân thủ và hiệu quả an toàn thông tin kế toán: Một nghiên cứu thực nghiệm tại Việt Nam

Chia sẻ: _ _ | Ngày: | Loại File: PDF | Số trang:23

Thêm vào BST

Báo xấu

4
lượt xem 2
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Nghiên cứu này được thực hiện nhằm cung cấp các hiểu biết mới về yếu tố quan trọng tác động đến hành vi tuân thủ an toàn thông tin và hiệu quả an toàn thông tin kế toán trong các doanh nghiệp Việt Nam.

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Hành vi tuân thủ và hiệu quả an toàn thông tin kế toán: Một nghiên cứu thực nghiệm tại Việt Nam

15. Hành vi tuân thủ và hiệu quả an toàn thông tin kế toán: Một nghiên cứu thực nghiệm tại Việt Nam Accounting Information Security Behavior and Performance: An Empirical Study in Vietnam Phạm Trà Lam* - Nguyễn Văn Hải* *Khoa Kế toán, Trường Kinh doanh - Đại học Kinh tế Thành phố Hồ Chí Minh Tóm tắt Trong bối cảnh nguy cơ an toàn thông tin ngày càng gia tăng và các chiến lược đảm bảo an toàn thông tin, đặc biệt là thông tin kế toán ngày càng được quan tâm. Mang bản chất khoa học và cả nghệ thuật, an toàn thông tin đòi hỏi sự tích hợp các biện pháp kiểm soát liên quan đến yếu tố con người, những người vận hành và sử dụng thông tin được tạo ra từ hệ thống thông tin. Do đó, các giải pháp phát triển và thúc đẩy hành vi tuân thủ an toàn thông tin của nhân viên trong doanh nghiệp (DN) đóng một vai trò rất quan trọng. Tuy nhiên, các nghiên cứu về vấn đề này chưa được thực hiện thấu đáo, đặc biệt tại một thị trường đang trên đà hội nhập sâu rộng như Việt Nam. Do đó, nghiên cứu này được thực hiện, nhằm kiểm tra các yếu tố ảnh hưởng đến hành vi an toàn thông tin kế toán (ANTTKT). Nghiên cứu cũng khám phá tác động của hành vi ANTTKT đến hiệu quả của nó. Kết quả phân tích PLS dựa trên dữ liệu thu thập từ 218 nhân viên kế toán cho thấy, thái độ tuân thủ và khả năng bị trừng phạt có tác động đáng kể đến ý đinh tuân thủ an toàn thông tin của nhân viên kế toán. Các khám phá cũng cho thấy, ý định có chi phối mạnh đến hành vi an toàn thông tin đến lượt nó, hành vi an toàn thông tin của nhân viên kế toán được chứng minh là ảnh hưởng lớn đến hiệu quả ANTTKT. Những hàm ý quản trị được phát triển trong nghiên cứu này có ý nghĩa quan trọng cho các nhà quản trị DN nhằm nâng cao hiệu quả ANTTKT. Từ khóa: an toàn thông tin kế toán, hành vi an toàn, hiệu quả an toàn, Việt Nam. Abstract Strategies to ensure information security, especially accounting information, are becoming increasingly important in the context of increasing information security risks. Being both a science and an art, information security requires the integration of control measures related to human factors - those who operate and use information created from information systems. Therefore, solutions to develop and promote employees’ information security behavior are significant. However, studies on this issue have not been thoroughly conducted, especially in a market that is on the path of deep integration like Vietnam. Therefore, this study examines the determinants of accounting information security behavior. Our work also explores the 1
impact of accounting information security behavior on its performance. The PLS analysis based on data collected from 218 accountants shows that attitudes and the possibility of being punished significantly impact accountants' information security intentions. We also found that intention has a strong influence on accounting information security behavior, in turn, the information security behavior of accountants is proven to have a significant impact on information security performance. The managerial implications developed in this study are important for business administrators in improving accounting information security performance. Keywords: accounting information security, security behavior, security performance, Vietnam. JEL Classifications: M40, M42, M49. 1. Giới thiệu Trong bối cảnh Cách mạng Công nghiệp 4.0, hiện nay các DN sử dụng công nghệ thông tin và truyền thông (ICTs) để thu thập, lưu trữ và chia sẻ các thông tin cần thiết ngày càng trở nên phổ biến. Các mối đe dọa như thông tin bị truy cập trái phép, làm gián đoạn, sửa đổi, bị sai lệch hoặc phá huỷ bất hợp pháp ngày càng trở nên nghiêm trọng và khó lường. Do đó, an toàn thông tin là cần thiết đối với sự phát triển của các DN. Theo báo cáo của VSEC năm 2023, thế giới ước tính thiệt hại bởi các cuộc tấn công mạng khoảng 8.000 tỷ USD (tương đương gần 21 tỷ USD/ngày), con số này dự kiến sẽ tăng lên 9.500 tỷ USD trong năm 2024. Tại Việt Nam, năm 2023 có 13.900 cuộc tấn công mạng, trung bình mỗi tháng xảy ra 1.160 vụ, thiệt hại hơn 390.000 tỷ đồng (tương đương 3,6% GPD) và tăng 9,5% so với năm 2022. Các DN đang phải đối mặt với rất nhiều mối đe dọa đối với các hệ thống thông tin, trong đó có hệ thống thông tin kế toán HTTTKT. HTTTKT là một hệ thống con trong hệ thống thông tin của DN được thiết kế nhằm thu thập, xử lý, lưu trữ và cung cấp thông tin hữu ích hỗ trợ việc ra quyết định của ngư ời sử dụng thông tin (Romney và cộng sự, 2021). Với quy mô ngày càng mở rộng của HTTTKT, hệ thống này quản lý cả những thông tin liên quan đến khách hàng và nhà cung cấp. Trong khi đó, những thông tin này đang được lưu trữ trên không gian mạng và điện toán đám mây. Do đó, đảm bảo ANTTKT là ưu tiên hàng đầu đối với hầu hết mọi DN (Eaton, 2019). Tuân thủ an toàn thông tin là vấn đề hành vi của con người. Nhiều nhà nghiên cứu đã cố gắng đưa ra giải pháp với sự trợ giúp của các lý thuyết tâm lý học (D’Arcy và cộng sự, 2011; Ifinedo, 2012). Các nghiên cứu về an toàn thông tin chủ yếu tập trung vào khía cạnh các yếu tố tác động đến ý định và hành vi an toàn thông tin. Các yếu tố được khám phá như mức độ nghiêm trọng của hình phạt (Johnston và Warkentin, 2010), hành vi không tuân thủ 2
an toàn thông tin của đồng nghiệp (Padayachee, 2012), thái độ tuân thủ an toàn thông tin (Bulgurcu và cộng sự, 2010), phần thưởng (Chen và cộng sự, 2012), chương trình giáo dục, huấn luyện và nâng cao nhận thức về an toàn thông tin (SETA) (Hu và cộng sự, 2021). Bên cạnh đó, ý định hành vi an toàn thông tin được chứng minh là tác động đến hành vi an toàn thông tin (Siponen và cộng sự, 2006, 2010b; Son, 2011). Tuy nhiên, các nghiên cứu về mối quan hệ giữa hành vi tuân thủ và hiệu quả an toàn thông tin vẫn chưa được thực hiện nhiều. Các nghiên cứu như Rhee và cộng sự (2009), Guo (2013) đã chứng minh tác động đáng kể của hành vi đến hiệu quả an toàn thông tin trong các bối cảnh khác nhau. Tại Việt Nam, nghiên cứu chủ đề an toàn thông tin, đặc biệt là ANTTKT còn rất hạn chế. Nguyễn Quốc Trung (2023) đã khám phá ra rằng mức độ nghiêm trọng của răn đe, xu hướng né tránh sự bất trắc và thái độ tuân thủ chính sách an toàn (chính sách an toàn) HTTTKT có tác động cùng chiều đến ý định tuân thủ chính sách an toàn HTTTKT và ý định tuân thủ chính sách an toàn HTTTKT có tác động cùng chiều với hành vi tuân thủ chính sách an toàn HTTTKT tại Việt Nam. Nghiên cứu của Huỳnh Ngọc Ngân Nguyên (2023) đề cập đến các yếu tố tác động đến hiệu quả ANTTKT của các DN Việt Nam gồm mức độ hỗ trợ của nhà quản lý cấp cao, cấu trúc báo cáo về an toàn thông tin, chất lượng mối quan hệ giữa kiểm toán nội bộ và an toàn thông tin, tần suất đánh giá của kiểm toán nội bộ về an toàn thông tin, và kiến thức về công nghệ thông tin (CNTT) của kiểm toán nội bộ. Phát triển văn hóa an toàn thông tin được xem là một biện pháp mang tính hiệu quả cao để đảm bảo an toàn thông tin (Phạm Trà Lam, 2023). Tổng quan các nghiên cứu cho thấy các nghiên cứu về hành vi tuân thủ an toàn thông tin đã được thực hiện nhưng chưa phổ biến tại các quốc gia đang phát triển như Việt Nam. Đặc biệt, các nghiên cứu về vấn đề ANTTKT vẫn chưa được khám phá sâu rộng. Do đó, nghiên cứu này được thực hiện nhằm cung cấp các hiểu biết mới về yếu tố quan trọng tác động đến hành vi tuân thủ an toàn thông tin và hiệu quả ANTTKT trong các DN Việt Nam. 2.Phát triển giả thuyết và mô hình nghiên cứu 2.1. Hành vi tuân thủ an toàn thông tin và hiệu quả an toàn thông tin Thực hành an toàn thông tin có thể được định nghĩa là hành vi quản lý rủi ro an toàn thông tin của cá nhân liên quan đến hai khía cạnh: áp dụng công nghệ an toàn và hành vi quan tâm an toàn thông tin liên quan đến việc sử dụng máy tính và Internet. Cụ thể, áp dụng công nghệ an toàn chính là việc sử dụng các phần mềm và tính năng an toàn như phần mềm chống vi-rút, chống phần mềm gián điệp và chức ngăn chặn cửa sổ được bật lên. Hành vi tuân thủ an toàn khi sử dụng máy tính và Internet, chẳng hạn như sử dụng mật khẩu mạnh và tần suất tạo bản sao lưu. Cả hai khía cạnh của hành vi thực hành an toàn đều quan trọng để quản lý rủi ro an toàn thông tin hiệu quả hơn (Rhee và cộng sự, 2009). Mục tiêu của chính sách an toàn thông tin là cải thiện tính bảo mật thông tin của tổ chức và do đó, yếu tố đại 3
diện cho tính hiệu quả của chúng là mức độ thông tin được bảo mật. Hiệu quả an toàn thông tin trong một tổ chức phụ thuộc vào những nhân viên thực hiện các hành vi bảo mật (Guo, 2013). Tất nhiên, thông tin vẫn có thể không được bảo mật nếu chính sách an toàn thông tin không thể bao gồm tất cả các mối đe dọa mới. Khả năng thông tin không thể được bảo mật thậm chí còn cao hơn khi một số nhân viên không tuân theo chính sách an toàn thông tin. Tác hại đáng kể có thể gây ra bởi những hành vi bất cẩn của nhân viên ngay cả khi ý định của họ không có ác ý (Guo và cộng sự, 2011). Từ đó, nghiên cứu đề xuất giả thuyết: => H1. Hành vi tuân thủ an toàn thông tin tác động tích cực đến hiệu quả an toàn thông tin. 2.2. Ý định tuân thủ an toàn thông tin và hành vi tuân thủ an toàn thông tin Một số lý thuyết tâm lý xã hội, bao gồm: Lý thuyết hành động hợp lý (TRA) (Fishbein và Ajzen, 1975; Fishbein, 1980); Lý thuyết về hành vi có kế hoạch (Ajzen, 1985, 1991); Lý thuyết thái độ - hành vi (Triandis, 1980) và Lý thuyết động cơ bảo vệ (PMT) (Rogers, 1983) đều đồng nhất với đề xuất rằng, yếu tố dự báo ngay lập tức và quan trọng về hành vi của một người là ý định của người đó để thực hiện nó “Ý định hành vi là những hướng dẫn mà mọi người đưa ra cho mình để cư xử theo những cách nhất định” (Trandis, 1980). Theo TRA, ý định là những yếu tố dự báo gần nhất về hành vi và làm trung gian cho sự ảnh hưởng của các yếu tố dự đoán hành vi như thái độ, chuẩn chủ quan và các biến số không liên quan (ví dụ: tính cách) đối với hành vi của một cá nhân. Tương tự như vậy, PMT cho rằng, ý định hành vi làm trung gian cho mối quan hệ giữa các yếu tố dự đoán giả định (đánh giá mối đe dọa và đánh giá đối phó) và hành vi. TPB cũng khẳng định rằng, ý định là dự báo hành vi quan trọng nhất nhưng thừa nhận rằng mọi người có thể không luôn có đủ quyền kiểm soát việc thực hiện hành vi để thực sự thực hiện ý định của họ (Ajzen, 1985, 1991). Từ những lập luận trên, nghiên cứu đề xuất giả thuyết: => H2. Ý định tuân thủ an toàn thông tin tác động tích cực đến hành vi tuân thủ an toàn thông tin. 2.3. Thái độ tuân thủ an toàn thông tin và ý định tuân thủ an toàn thông tin Lý thuyết hành vi hoạch định (TPB) thừa nhận rằng, thái độ tích cực ảnh hưởng ý định hành vi an toàn thông tin; ngược lại, thái độ tiêu cực sẽ làm giảm ý định hành vi an toàn thông tin. Vì vậy, những nhân viên có niềm tin tích cực về chính sách an toàn thông tin của tổ chức của họ sẽ có xu hướng thuận lợi để tuân thủ các quy tắc và hướng dẫn đó (Ng và cộng sự, 2009; Sasse và cộng sự, 2004). Mặt khác, những người thiếu thái độ thuận lợi như vậy sẽ không sẵn sàng tuân thủ với những chính sách như vậy. Các nghiên cứu khác cho thấy, thái độ hướng tới việc tuân thủ các hành vi an toàn thông tin được chấp nhận có ảnh hưởng tích cực ý định hành vi an toàn 4
thông tin (Anderson và cộng sự, 2010; Bulgurcu và cộng sự, 2010; Pahnila và cộng sự, 2007). Do đó, giả thuyết sau đây được đề xuất: => H3. Thái độ tuân thủ an toàn thông tin tác động tích cực đến ý định tuân thủ an toàn thông tin. 2.4. Khả năng bị trừng phạt và ý định tuân thủ an toàn thông tin Lý thuyết răn đe đề xuất rằng, khi một hình phạt chắc chắn xảy ra và mức độ trừng phạt ngày càng tăng lên thì mức độ hành vi không thể chấp nhận được giảm đi. Về bản chất, hành vi không mong muốn có thể bị ngăn chặn thông qua một số hành vi nhất định hoặc có sự đe dọa trừng phạt nghiêm khắc (Williams & Hawkins, 1986; Akers, 1990). Ehrlich (1996) đưa ra bằng chứng thực nghiệm hình phạt, có tác dụng răn đe đối với người phạm tội. Trong bối cảnh hiện tại, một số nghiên cứu đã ghi nhận tác dụng ngăn chặn các hoạt động tính toán bất hợp pháp trong các tổ chức. Straub (1990) lưu ý rằng, các biện pháp ngăn chặn là chiến lược hữu ích hàng đầu để giảm lạm dụng máy tính. Mức độ nghiêm trọng của hình phạt ảnh hưởng đáng kể đến thái độ vi phạm bản quyền trong tổ chức vi phạm bản quyền phần mềm. Tương tự, việc không tuân thủ chính sách an toàn thông tin có thể bị ngăn chặn bằng cách áp đặt các hình phạt. Nếu hành động của nhân viên khiến tổ chức phải đối mặt với vi phạm an toàn, tổ chức đó có thể điều tra nguyên nhân vi phạm an toàn và trừng phạt nhân viên bằng cách áp dụng hình phạt. Nếu cá nhân nhận thức được rằng, mức độ nghiêm trọng của hình phạt đối với việc không tuân thủ cao, ý định thực hiện những hành vi không mong muốn của họ có khả năng giảm (Peace và cộng sự, 2003). Dựa vào các cơ sở trên, chúng tôi phát triển giả thuyết: => H4. Khả năng bị trừng phạt tác động tích cực đến ý định tuân thủ an toàn thông tin. 2.5. Khả năng được khen thưởng và ý định tuân thủ an toàn thông tin Mặc dù việc khen thưởng các hành vi tuân thủ có thể chưa phổ biến trong thực tế, nhưng các nghiên cứu gần đây đã thảo luận về vai trò có thể có của các động cơ trong việc khuyến khích các hành vi mong muốn trong bối cảnh bảo mật thông tin (Boss và Kirsch 2007; Pahnila và cộng sự 2007). Hơn nữa, phần thưởng như một động cơ đã được phát hiện là một cơ chế quan trọng để thay đổi hành vi trong nhiều bối cảnh khác nhau trong giáo dục, hành vi tổ chức và tâm lý học. Trong hầu hết các nghiên cứu, thì phần thưởng được sử dụng như một động lực để thay đổi hành vi (Eisenhardt,1988; Luft, 1994). Luft (1994) cho rằng, các tình huống trong đó phần thưởng được sử dụng như một động lực để cá nhân vượt lên trên mức lương hiện tại của họ để thực hiện công việc của họ (cố gắng giữ cho hệ thống máy tính của họ an toàn) và dường như không có tác động mong muốn. Phần thưởng ảnh hưởng đến thái độ của nhân viên đối với việc tuân thủ an toàn thông tin (Bulgurcu và cộng sự, 2010). Từ những lập luận trên, nghiên cứu đề xuất giả thuyết: 5
=> H5. Khả năng được khen thưởng tác động tích cực đến ý định tuân thủ an toàn thông tin. 2.6. Sự trung lập và ý định tuân thủ an toàn thông tin Trong một nghiên cứu về việc lạm dụng máy tính của nhân viên hệ thống thông tin, Harrington, (1996) nhận thấy rằng, các quy tắc đạo đức áp dụng cho DN nói chung không ảnh hưởng đến phán đoán hoặc ý định của nhân viên về việc lạm dụng máy tính. Tuy nhiên, đặc điểm chung của đạo đức ảnh hưởng đến những nhân viên có thái độ chối bỏ trách nhiệm cao, một hình thức trung lập. Việc kiểm tra vai trò của tính trung lập trong nghiên cứu tuân thủ an toàn thông tin là hạn chế (Siponen và Vance, 2010; Barlow và cộng sự, 2013; Nicho và Kamoun, 2014). Siponen và Vance, (2010) áp dụng lý thuyết trung lập vào nghiên cứu an toàn thông tin. Họ thực hiện nghiên cứu sự trung lập một cách cụ thể và nhận thấy, chúng mạnh hơn các biện pháp trừng phạt trong việc dự đoán hành vi vi phạm của nhân viên đối với chính sách an toàn thông tin. Sự trung lập thường mạnh hơn các biện pháp trừng phạt trong việc dự đoán hành vi của nhân viên (Barlow và cộng sự, 2013). Dựa trên những khám phá trên, nghiên cứu đề xuất giả thuyết: => H6. Sự trung lập tác động tiêu cực đến ý định tuân thủ an toàn thông tin. 2.7. Trở ngại trong công việc và ý định tuân thủ an toàn thông tin Nhân viên cố gắng hoàn thành các mục tiêu nhiệm vụ cá nhân của họ và việc sử dụng hệ thống thông tin là một yếu tố quan trọng giúp họ đạt được những mục tiêu này (Carr, 2003). Mặt khác, các hoạt động an toàn có thể đặt ra các hạn chế đối với hoạt động của nhân viên, chẳng hạn như thông qua việc bỏ qua các thủ tục phê duyệt an toàn để dễ dàng chia sẻ tài nguyên thông tin hoặc bằng cách sử dụng chương trình nhắn tin không được chính sách công ty cho phép chia sẻ nguồn thông tin nội bộ với đồng nghiệp (Pahnila và cộng sự, 2007). Hành vi tuân thủ đòi hỏi thời gian và công sức có thể được dành cho các hoạt động kinh doanh khác, nên nhân viên thường coi việc tuân thủ chính sách an toàn thông tin là rào cản đối với năng suất (Siponen và Vance 2010; Warkentin và cộng sự 2004). Trở ngại trong công việc làm giảm lợi ích có thể thu được từ việc tuân chính sách an toàn thông tin (Jeon và Hovav, 2015). Dựa trên những lập luận trên, nghiên cứu đề xuất giả thuyết => H7. Trở ngại trong công việc tác động tiêu cực đến ý định tuân thủ an toàn thông tin. 2.8. Sự lo lắng đối với an toàn thông tin và ý định tuân thủ an toàn thông tin Nhân viên có thể phải xác định xem họ có nên báo cáo cho người phụ trách chính sách an toàn thông tin của DN trước khi trao đổi và cung cấp thông tin và sử dụng ứng dụng mới để nâng cao năng suất làm việc (West, 2008). Họ có thể bày tỏ sự lo lắng về hành động của mình, vì họ không biết rõ cách giải quyết những vấn đề đó. Lo lắng là yếu tố quan trọng ảnh 6
hưởng đến động lực nội tại của một cá nhân khi sử dụng hệ thống CNTT. Nó là một yếu tố quan trọng làm giảm thái độ, ý định và hành động sử dụng hệ thống thông tin và cuối cùng có thể làm giảm hiệu quả công việc (Compeau và Higgins, 1995; Venkatesh, 2000; Wilfong, 2006). Sự lo lắng trong lĩnh vực an toàn thông tin được biết là có tác động tiêu cực đến các hoạt động bảo mật, môi trường và văn hóa (Padayachee, 2012). Nhân viên trở nên lo lắng hơn về vấn đề an toàn thông tin, khi họ cảm nhận được sự khó khăn trong việc sử dụng hệ thống thông tin và khi các chính sách an toàn thông tin khó hiểu và nghiêm ngặt (Brown, 2000). Lo lắng về an toàn được cho là cản trở việc ra quyết định và làm giảm ý định tuân thủ của nhân viên (West, 2008). Từ những lập luận trên, nghiên cứu phát triển giả thuyết: => H8. Sự lo lắng đối với an toàn thông tin tác động tiêu cực đến ý định tuân thủ an toàn thông tin. 2.9. Hành vi không tuân thủ an toàn thông tin của đồng nghiệp và ý định tuân thủ an toàn thông tin Nhân viên được hướng dẫn ngầm phải tuân theo các quy tắc của tổ chức bởi những áp lực xung quanh. Venkatesh và cộng sự, (2003) cho rằng, ảnh hưởng xã hội có tác động đáng kể đến ý định sử dụng hệ thống thông tin. Nhân viên trở nên tự tin với hành động của mình thông qua các hoạt động tương tự của các đồng nghiệp trong tổ chức (Thomson và cộng sự, 1994). Họ thiết lập các thói quen của họ dựa trên một tham khảo thực tiễn của các đồng nghiệp của họ để giảm bớt sự không chắc chắn trong hành động của họ và nỗi sợ không tuân thủ. Nói cách khác, tiêu chuẩn tuân thủ an toàn của nhân viên được xác định bởi đồng nghiệp (Padayachee, 2012). Chan và cộng sự, (2005) cho rằng, các hành vi tuân thủ an toàn thông tin xuất phát từ hành vi của một tổ chức, môi trường an toàn và dựa trên hành vi tuân thủ thực tế của đồng nghiệp. Để giảm thiểu việc nhân viên lạm dụng hệ thống an toàn, cần phải tăng cường tính chủ quan của các chuẩn mực tăng lên thông qua nỗ lực của đồng nghiệp trong việc tuân thủ an toàn thông tin (Lee và Lee, 2002). Do đó, khi các đồng nghiệp không tuân thủ an toàn thông tin thì nhân viên sẽ có ý định hành động tương tự. Vì vậy, nghiên cứu đề xuất giả thuyết: => H9. Hành vi không tuân thủ an toàn thông tin của đồng nghiệp tác động tiêu cực đến ý định tuân thủ an toàn thông tin. Biến kiểm soát Một DN được đặc trưng bởi loại hình, quy mô, lịch sử ứng dụng CNTT, cơ sở hạ tầng CNTT và những đặc điểm này có thể đóng vai trò là yếu tố quyết định chính cho chính sách chung của tổ chức (Ryan & Bordoloi, 1997; Loch, 1992; Blacharski, 1998). Nói cách khác, các đặc điểm của tổ chức có thể ảnh hưởng đến quyết định xây dựng chính sách an toàn 7
thông tin của DN hay điều này có thể ảnh hưởng đến hiệu quả an toàn thông tin của DN. Goodhue và Straub, (1991) cũng đề xuất rằng, loại hình ngành là một yếu tố quan trọng ảnh hưởng đến quản lý an toàn thông tin. Theo Bandari, (2023), các DN thường sử dụng mã hóa, tường lửa, kiểm soát truy cập và hệ thống phát hiện xâm nhập để bảo mật dữ liệu của mình. Tuy nhiên, hiệu quả của các biện pháp này khác nhau tùy thuộc vào ngành và loại hình tổ chức. Bandari, (2023) cũng đã phát hiện ra rằng, các cơ quan chính phủ và các tập đoàn lớn có xu hướng đầu tư nhiều hơn vào các biện pháp bảo mật dữ liệu so với các DN nhỏ. Từ những lập luận trên, chúng tôi xem các yếu tố bao gồm loại hình DN, vốn chủ sở hữu và số lao động bình quân là các biến kiểm soát nhằm loại bỏ tác động gây nhiễu nếu có của chúng đến hiệu quả ANTTKT. Hình 1: Mô hình nghiên cứu Nguồn: Tác giả tổng hợp 3. Phương pháp nghiên cứu 3.1. Đo lường Thang đo của các khái niệm trong nghiên cứu này đều được kế thừa từ các nghiên cứu trước. Tuy nhiên, các biến đều đã được sửa đổi để phù hợp với bối cảnh nghiên cứu ANTTKT tại Việt Nam. Cụ thể, năm biến quan sát về hành vi tuân thủ ANTTKT (BC) được kế thừa từ nghiên cứu của Son, (2011) và năm biến quan sát về hiệu quả ANTTKT (ISE) đã được chấp nhận dựa vào Hsu và cộng sự, (2015). Thang đo của khả năng bị trừng phạt (PS) (ba biến quan sát) và khả năng được khen thưởng (RE) (hai biến quan sát) được kế thừa từ Bansal và cộng sự, (2020). Ý định tuân thủ an toàn thông tin (INT) (năm biến quan sát) và hành vi không tuân thủ an toàn thông tin của đồng nghiệp (PEER) (ba biến quan sát) được đo lường theo đề xuất của Herath và Rao, (2009). 8
Dựa vào Bulgurcu và cộng sự (2010), thang đo thái độ tuân thủ an toàn thông tin (ACI) (bốn biến quan sát) và trở ngại trong công việc (WI) (bốn biến quan sát) được phát triển. Sự trung lập (NEUT) (bốn biến quan sát) và sự lo lắng đối với an toàn thông tin (bốn biến quan sát) lần lượt được chấp nhận từ D’Arcy và cộng sự, (2019) và Venkatesh và cộng sự, (2003). Mỗi biến được xác định bằng thang đo Likert bảy điểm, với các câu trả lời từ 1 “rất không đồng ý” đến 7 “rất đồng ý”. 3.2. Thu thập dữ liệu Dữ liệu được thu thập thông qua một cuộc khảo sát trực tuyến. Bảng câu hỏi khảo sát ban đầu được xây dựng bằng tiếng Anh và sau đó được dịch sang tiếng Việt. Bảng khảo sát được gửi đến những người trả lời tiềm năng là những nhân viên kế toán đang làm việc tại các DN. Kích thước mẫu chính thức được sử dụng trong nghiên cứu là 218 sau khi đã loại bỏ các phản hồi không hợp lệ và đáng ngờ (như địa chỉ email trùng lặp, phản hồi không đầy đủ và phản hồi lặp). Bảng 1 trình bày thông tin nhân khẩu học mang tính đa dạng của người tham gia khảo sát. Bảng 1. Thông tin nhân khẩu học của người trả lời 9
Mẫu = 218 Tần số Phần trăm Nhóm kiểm toán viên Chủ DN/ Giám đốc/partner (nhà quản 8 3,67% trị cấp cao) CFO/ Kế toán trưởng/ audit director 47 21,56% Chuyên viên kế toán 109 50,00% Chuyên viên kiểm toán/kiểm soát 7 3,21% Chuyên viên công nghệ thông tin 1 0,46% Khác 46 21,10% Giới tính Nam 174 80,18% Nữ 43 19,82% Độ tuổi Từ 20 đến 25 28 12,84% Từ 26 đến 35 89 40,83% Từ 36 đến 45 88 40,37% Từ 46 trở lên 13 5,96% Trình độ học vấn Trung cấp nghề/Cao đẳng 33 15,14% Đại học 148 67,89% Trên đại học 37 16,97% Khác 0 0,00% Chứng chỉ nghề nghiệp Không có chứng chỉ 57 26,15% Kế toán trưởng 75 34,40% CPA (Certified Public Accountants) 8 3,67% ACCA (the Association of Chartered 1 0,46% Certified Accountants) Khác …. 67 30,73% Tất cả (nhiều) 10 4,59% guồn: Tác giả tổng hợp 10
4. Kết quả nghiên cứu và thảo luận 4.1. Kết quả Kiểm tra mô hình đo lường Theo Hair và cộng sự, (2016), ba tiêu chí có thể được sử dụng để kiểm tra tính giá trị và độ tin cậy của cấu trúc: độ tin cậy của cấu trúc, giá trị hội tụ và giá trị phân biệt. Độ tin cậy của cấu trúc được đánh giá trước tiên bằng cách sử dụng Cronbach's Alpha (CA) và độ tin cậy tổng hợp (CR). Kết quả trình bày trong Bảng 2 chỉ ra rằng, tất cả các biến đều có chỉ số CA nằm trong khoảng từ 0,897 đến 1,000 cao hơn 0,7 và thỏa mãn độ tin cậy theo đề xuất của Nunnally (1978). Các hệ số CR nằm trong khoảng từ 0,766 đến 1,000, đều cao hơn 0,7 (Hair và cộng sự, 2016). Như vậy, tất cả các tiêu chí của mô hình đo lường bao gồm giá trị hội tụ và độ tin cậy của các biến quan sát và cấu trúc đã đạt được. Bên cạnh đó, AVE cho mỗi cấu trúc ít nhất là 0,598 (Loeser và cộng sự, 2017), xác nhận mức độ hội tụ cao của các cấu trúc đo lường. Bảng 2. Kết quả kiểm tra mô hình đo lường Average Cronbac Composite Variance rho_A h's Alpha Reliability Extracted (AVE) ACI (Thái độ tuân thủ quy định an toàn 0,900 0,910 0,931 0,770 thông tin) ANX (Sự lo lắng đối với an toàn thông 0,905 -0,988 0,766 0,473 tin) BC (Hành vi tuân thủ an toàn thông tin) 0,958 0,959 0,968 0,857 CAP (Vốn chủ sở hữu) 1,000 1,000 1,000 1,000 INT (Ý định tuân thủ quy định an toàn 0,951 0,954 0,962 0,836 thông tin) ISE (Hiệu quả an toàn thông tin) 0,946 0,949 0,959 0,823 NEUT (Sự trung lập) 0,897 0,944 0,926 0,760 NUMBER (Số lao động bình quân năm) 1,000 1,000 1,000 1,000 PEER (Hành vi không tuân thủ an toàn 0,915 0,921 0,946 0,854 thông tin của đồng nghiệp) PS (Khả năng bị trừng phạt) 1,000 1,000 1,000 1,000 RE (Khả năng được khen thưởng) 0,927 0,927 0,965 0,932 TYPE (Loại hình DN) 1,000 1,000 1,000 1,000 WI (Trở ngại trong công việc) 0,932 0,901 0,941 0,799 11
Nguồn: Tác giả tổng hợp Bảng 3 cho thấy, tất cả các giá trị HTMT (Heterotrait-Monotrait Ratio) của các cấu trúc đều < 1 (Henseler và cộng sự, 2016). Hệ số Fornell-Larker (Fornell và Larcker, 1981) của các cấu trúc tại đường chéo là cao nhất so với các hệ số tại các cấu trúc khác. Ngoài ra, hệ số tải chéo của các biến quan sát là cao nhất tại cấu trúc của nó so với các cấu trúc khác (cross- factor loadings). Kết quả này chứng minh giá trị phân biệt của tất cả các cấu trúc trong mô hình đo lường đã thỏa mãn. Những phân tích trên cho thấy, mô hình đo lường đạt kết quả cao hơn mức độ thỏa đáng về độ tin cậy và giá trị. Bảng 3. Hệ số HTMT ACI ANX BC CAP INT ISE NEUT NUMBER PEER PS RE TYPE WI ACI ANX 0,079 BC 0,750 0,099 CAP 0,080 0,136 0,069 INT 0,841 0,063 0,868 0,014 ISE 0,560 0,094 0,662 0,074 0,599 NEUT 0,225 0,506 0,155 0,036 0,209 0,039 NUMBER 0,078 0,144 0,132 0,084 0,109 0,042 0,114 PEER 0,206 0,605 0,144 0,153 0,148 0,065 0,467 0,164 PS 0,689 0,045 0,576 0,033 0,609 0,482 0,086 0,065 0,138 RE 0,263 0,216 0,160 0,022 0,193 0,295 0,164 0,160 0,139 0,290 TYPE 0,084 0,034 0,045 0,023 0,029 0,020 0,061 0,146 0,117 0,094 0,051 WI 0,081 0,692 0,101 0,052 0,084 0,078 0,616 0,068 0,591 0,037 0,109 0,054 Nguồn: Tác giả tổng hợp Bảng 4. Tiêu chí Fornell-Larker 12
NUMB ACI ANX BC CAP INT ISE NEUT PEER PS RE TYPE WI ER ACI 0,878 ANX -0,165 0,688 BC 0,702 -0,121 0,926 CAP 0,075 0,115 -0,067 1,000 INT 0,784 -0,123 0,830 0,010 0,915 ISE 0,520 0,054 0,632 -0,072 0,569 0,907 NEUT -0,207 0,373 -0,155 0,017 -0,202 0,016 0,872 NUMBER 0,075 -0,112 0,130 -0,084 0,108 -0,017 -0,105 1,000 PEER -0,186 0,501 -0,135 0,147 -0,139 -0,054 0,428 -0,156 0,924 PS 0,659 -0,090 0,565 0,033 0,596 0,469 -0,089 0,065 -0,133 1,000 RE 0,241 0,075 0,150 -0,016 0,181 0,276 0,143 -0,154 0,128 0,279 0,965 TYPE 0,082 -0,059 -0,043 0,023 0,008 0,001 -0,031 0,146 -0,108 0,094 0,049 1,000 WI -0,096 0,491 -0,135 0,062 -0,103 0,045 0,560 -0,091 0,532 -0,055 0,117 -0,027 0,894 Nguồn: Tác giả tổng hợp Kiểm tra mô hình cấu trúc Kết quả phân tích Bootstrapping 5.000 lần trên SmartPLS được tổng hợp trong Hình 2. Hệ số đường dẫn (β) và giá trị p được sử dụng để đánh giá mối quan hệ giữa các biến nội sinh và ngoại sinh, dựa trên khuyến nghị của Hair và cộng sự, (2016). Hình 2 cho thấy, hành vi tuân thủ an toàn thông tin có tác động tích cực đến hiệu quả an toàn thông tin (β = 0,646; p = 0,000), chứng minh giả thuyết H1 được chấp nhận. Giả thuyết H2 (β = 0,830; p = 0,000) chứng minh ý định tuân thủ an toàn thông tin tác động cùng chiều đến hành vi tuân thủ an toàn thông tin. Ý định tuân thủ an toàn thông tin bị ảnh hưởng trực tiếp tích cực bởi ba biến ngoại sinh: thái độ tuân thủ an toàn thông tin (β = 0,688; p = 0,006); khả năng bị trừng phạt (β = 0,150; p = 0,000) chứng minh các giả thuyết H3, H4 được chấp 13
nhận. Các giả thuyết H5 (β = - 0,023; p = 0,619), H6 (β = -0,052 ; p = 0,357), H57 (β = - 0,026 ; p = 0,804), H8 (β = 0,018 ; p = 0,787), H9 (β = 0,039 ; p = 0,424) không được chấp nhận trong nghiên cứu này, chứng minh khả năng được khen thưởng, sự trung lập, trở ngại trong công việc, sự lo lắng đối với an toàn thông tin và hành vi không tuân thủ an toàn thông tin của đồng nghiệp không phải là yếu tố quan trọng tác động đến ý định tuân thủ an toàn thông tin. Biến kiểm soát loại hình DN (β = 0,046 ; p = 0,33032) và vốn chủ sở hữu (β = 0,039 ; p = 0,54751) chứng minh chúng không có tác động đến hiệu quả an toàn thông tin. Số lao động bình quân năm (β = - 0,111 ; p = 0,03398) là biến kiểm soát có tác động đến hiệu quả an toàn thông tin. Hình 2. Kết quả của mô hình cấu trúc Phân tích post-hoc Kiểm tra hệ số xác định R2 Kết quả kiểm tra hệ số xác định (coefficients of determination) cho thấy, mô hình cấu trúc có khả năng giải thích cho biến thiên của ý định tuân thủ an toàn thông tin, hành vi tuân thủ an toàn thông tin và hiệu quả an toàn thông tin đối với nhân viên kế toán. Cụ thể: các cấu trúc bao gồm gồm khả năng bị trừng phạt và thái độ tuân thủ an toàn thông tin có khả năng giải thích 63,0% biến thiên của ý định tuân thủ an toàn thông tin; ý định tuân thủ an toàn thông tin có khả năng giải thích 68,9% hành vi tuân thủ an toàn thông tin và hành vi tuân thủ an toàn thông tin có khả năng giải thích 41,3% hiệu quả an toàn thông tin, tại Hình 2. Hair và cộng sự, (2017). Kiểm tra hiện tượng cộng tuyến Kết quả kiểm tra cộng tuyến được trình bày trong Bảng 5 bên dưới. Mô hình cấu trúc của mô hình nghiên cứu có nhiều đường dẫn và hệ số VIF phải tính cho từng mô hình con. Các mô hình con của mô hình cấu trúc nghiên cứu được kiểm định, gồm: biến độc lập PS, 14
RE, NEUT, ACI, WI, ANX, PEER, biến phụ thuộc INT; biến độc lập INT, biến phụ thuộc BC; biến độc lập BC, biến phụ thuộc ISE. Bảng 5 cho thấy, tất cả các mô hình con, các biến độc lập đều có hệ số VIF < 2, tức là không tồn tại hiện tượng cộng tuyến trong mô hình cấu trúc của mô hình nghiên cứu và có thể tiếp tục kiểm tra các kết quả phân tích mô hình cấu trúc. Bảng 5. Kết quả kiểm tra chỉ số VIF BC INT ISE ACI 1,893 ANX 1,493 BC 1,024 CAP 1,011 INT 1,000 ISE NEUT 1,588 NUMBER 1,048 PEER 1,632 PS 1,826 RE 1,151 TYPE 1,027 WI 1,846 Kiểm tra hệ số quy mô tác động f2 Để xác định hệ số f2, cần chia mô hình cấu trúc trong nghiên cứu này thành các mô hình nhỏ có một biến phụ thuộc (hay còn gọi là biến nội sinh) với một số biến độc lập (biến ngoại sinh). Bảng 6 trình bày kết quả kiểm tra hệ số quy mô tác động. Bảng 6. Kết quả kiểm tra hệ số quy mô tác động 15
BC INT ISE ACI 0,676 ANX 0,001 BC 0,694 CAP 0,003 INT 2,219 ISE NEUT 0,005 NUMBER 0,020 PEER 0,003 PS 0,034 RE 0,001 TYPE 0,003 WI 0,001 Nguồn: Tác giả tổng hợp Các kết quả kiểm tra hệ số quy mô tác động của mô hình cạnh tranh, nhìn chung là cho kết quả tương đồng với mô hình lý thuyết. Cụ thể, đối với biến nội sinh là hành vi tuân thủ an toàn thông tin (BC) thì khái niệm ý định tuân thủ quy định an toàn thông tin tác động khá cao (f2 = 2.219); đối với biến ý định tuân thủ quy định an toàn thông tin (INT) thì khái niệm thái độ tuân thủ quy định an toàn thông tin (f2 = 0.676) có tác động đáng kể, khả năng bị trừng phạt (f2 = 0.034) có tác động nhỏ, còn các khái niệm còn lại bao gồm: sự lo lắng đối với an toàn thông tin, sự trung lập, hành vi không tuân thủ an toàn thông tin của đồng nghiệp, khả năng được khen thưởng và trở ngại trong công việc gần như không có tác động. Đối với biến hiệu quả an toàn thông tin (ISE) thì khái niệm hành vi tuân thủ an toàn thông tin có tác động đáng kể (f 2 = 0.694), còn các khái niệm còn lại vốn chủ sở hữu, loại hình DN và số lao động bình quân năm thì gần như không có tác động. Đánh giá khả năng dự báo của mô hình thông qua Q2 Kết quả phân tích PLS (Bảng 7) cho thấy, hệ số Q 2 của ý định tuân thủ an toàn thông tin, hành vi tuân thủ an toàn thông tin và hiệu quả an toàn thông tin lần lượt là 51,4%; 57,5% và 33,1%. Các chỉ số này > 0, do đó mô hình có khả năng dự báo tốt bởi các biến ngoại sinh (Hair và cộng sự, 2016). 4.2. Thảo luận 16
Mục đích nghiên cứu này, là kiểm tra những nhân tố tác động đến hành vi tuân thủ an toàn thông tin và tác động của hành vi an toàn thông tin đến hiệu quả an toàn thông tin. Kết quả của nghiên cứu cho thấy, các yếu tố khả năng bị trừng phạt có tác động đến ý định tuân thủ an toàn thông tin của nhân viên kế toán. Kết quả cũng phù hợp với nghiên cứu của Ehrlich (1996), Xue và cộng sự (2011). Ngoài ra, thái độ tuân thủ an toàn thông tin có tác động tích cực đến ý định tuân thủ an toàn thông tin của nhân viên kế toán. Khám phá này tương đồng với các nghiên cứu trước (Aurigemma & Mattson, 2017; Bulgurcu và cộng sự, 2010; Pahnila và cộng sự, 2007). Nghiên cứu này đã cung cấp các bằng chứng thực nghiệm về tác động của ý định tuân thủ an toàn thông tin sẽ có ảnh hưởng đến hành vi tuân thủ an toàn thông tin của nhân viên kế toán. Những nghiên cứu (Shropshire và cộng sự, 2015; Jenkins và cộng sự, 2021; Pahnila và cộng sự, 2007) cũng cung cấp các kết quả tương tự. Đồng thời, hành vi tuân thủ an toàn thông tin có tác động tích cực đến hiệu quả ANTTKT. Đây được xem là một khám phá mới của nghiên cứu trong bối cảnh tại Việt Nam và kết quả này cũng tương đồng với nghiên cứu của Hsu và cộng sự, (2015). Trong nghiên cứu này, khả năng được khen thưởng không tác động đến ý định tuân thủ an toàn thông tin, mâu thuẫn với nghiên cứu của Bulgurcu và cộng sự, (2010), Chen và cộng sự, (2012). Tuy nhiên, khám phá này phù hợp với nghiên cứu của Kirsch và Boss, (2007), Liang và cộng sự, (2013), Moody và cộng sự, (2018) và Pahnila và cộng sự, (2007). Sự trung lập cũng đã được chứng minh là không tác động đến ý định tuân thủ an toàn thông tin. Nó trái với một số nghiên cứu trước (Barlow và cộng sự, 2013; Silic và cộng sự 2017; Siponen và Vance 2010; Siponen và cộng sự 2012; Teh và cộng sự 2015) nhưng lại phù hợp với kết quả nghiên cứu của Soliman và Mohammadnazar (2022). Tương tự, trở ngại trong công việc không có tác động đến ý định tuân thủ an toàn thông tin. Kết quả này tương đồng với kết quả nghiên cứu của Kajtazi và Bulgurcu (2013). Mặc dù, nó khác với các nghiên cứu trước (Bulgurcu và cộng sự, 2010; Pahnila và cộng sự, 2007). Nghiên cứu này đã chứng minh rằng, sự lo lắng đối với an toàn thông tin không có tác động đến ý định tuân thủ an toàn thông tin, kết quả của nghiên cứu này ngược lại với kết quả các nghiên cứu trước (Venkatesh và cộng sự, 2003; West, 2008). Tuy nhiên, nó lại phù hợp với nghiên cứu của Rahmani và cộng sự (2024). Cuối cùng, hành vi không tuân thủ an toàn thông tin của đồng nghiệp không có tác động đến ý định tuân thủ an toàn thông tin. Kết quả này ngược lại với phần lớn kết quả các nghiên cứu của (Padayachee, 2012; Chan và cộng sự, 2005; Lee và Lee, 2002). Mặc dù vậy, kết quả lại có sự tương đồng với nghiên cứu của Rajab và Eydgahi (2019). Hàm ý quản trị 17
Nghiên cứu này đóng góp đáng kể cho các nghiên cứu về chủ đề an toàn thông tin. Những khám từ nghiên cứu có ý nghĩa cả về mặt lý thuyết và thực tiễn. Các kết quả này đóng góp vào cơ sở lý thuyết, bằng cách cung cấp hỗ trợ thực nghiệm ban đầu cho việc kết hợp PMT (Rogers,1975, 1983; Norman và cộng sự, 2005); TPB (Diev & Hu, 2007; Bulgurcu và cộng sự, 2010) và TRA (Fishbein và Ajzen, 1975; Fishbein, 1980) trong việc giải thích các nhân tố tác động đến ý định/hành vi tuân thủ ANTTKT, cũng như tác động của hành vi tuân thủ đến hiệu quả ANTTKT tại Việt Nam. Đây có thể được xem là một nghiên cứu tiên phong, trong việc tìm hiểu tác động của của hành vi tuân thủ an toàn thông tin đến hiệu quả an toàn thông tin trong HTTTKT tại Việt Nam. Nghiên cứu giúp cho các nhà quản lý có cái nhìn toàn diện hơn về các nhân tố tác động đến ý định/hành vi tuân thủ an toàn thông tin, để từ đó giúp nâng cao hiệu quả an toàn thông tin của DN, đặc biệt là trong HTTTKT. Từ đó, nghiên cứu có thể góp phần nâng cao năng lực cạnh tranh và uy tín của DN. 5. Kết luận Hành vi tuân thủ an toàn thông tin của người dùng cuối, là một phần quan trọng để đảm bảo an toàn thông tin trên toàn DN. Nghiên cứu này nhằm kiểm tra các yếu tố khuyến khích hành vi tuân thủ ANTTKT, đồng thời xem xét tác động của hành vi tuân thủ này đến hiệu quả ANTTKT của tổ chức. Đây có thể xem là nghiên cứu tiên phong trong việc kết hợp tìm hiểu các yếu tố tác động đến ý định/hành vi tuân thủ ANTTKT, với việc tìm hiểu tác động của hành vi tuân thủ này đến hiệu quả ANTTKT của DN tại Việt Nam. Nghiên cứu kết hợp giữa ba lý thuyết PMT, TPB và TRA, nhằm khám phá các yếu tố tác động đến ý định/hành vi tuân thủ an toàn thông tin. Kết quả nghiên cứu cho thấy, hành vi tuân thủ ANTTKT chịu tác động đáng kể bởi ý định tuân thủ ANTTKT, thái độ tuân thủ ANTTKT và khả năng bị trừng phạt có tác động đáng kể đến ý định tuân thủ ANTTKT. Cuối cùng, hành vi tuân thủ ANTTKT có tác động cùng chiều đến hiệu quả ANTTKT của DN. Dựa trên những phát hiện hiện tại, chúng tôi cũng nêu bật một số ý nghĩa thực tiễn hữu ích có thể giúp các DN trong việc khuyến khích hành vi tuân thủ ANTTKT của nhân viên và nâng cao hiệu quả ANTTKT của tổ chức. Nghiên cứu này tồn tại một số hạn chế: đầu tiên, do hạn chế về thời gian nên kích thước mẫu sử dụng trong nghiên cứu này là 218 nhân viên kế toán. Kích thước mẫu này đã đáp ứng ở mức tối thiểu khi phân tích PLS_SEM. Tuy nhiên, để củng cố các kết quả nghiên cứu thì các nghiên cứu trong tương lai có thể mở rộng kích thước mẫu; tiếp theo, nghiên cứu này đã kiểm tra tác động của hành vi tuân thủ ANTTKT đến hiệu quả ANTTKT. Các nghiên cứu trong tương lai có thể kiểm tra các yếu tố khác tác động đến hiệu quả ANTTKT. 18
Tài liệu tham khảo Ajzen, I. (1991).“The theory of planned behavior”. Organizational Behavior and Human Decision Processes, Vol. 50 No. 2, pp. 179-211 Ajzen, I. (1985). From Intentions to Actions: A Theory of Planned Behavior, Springer. Hair Jr, J. F., Hult, G. T. M., Ringle, C., & Sarstedt, M. (2016). A primer on partial least squares structural equation modeling (PLS-SEM). Sage Publications. Akers, R. L., & Jensen, G. F. (2010). Social learning theory: Process and structure in criminal and deviant behavior. The SAGE handbook of criminological theory, 56-72. Anderson, C. L., & Agarwal, R. (2010). Practicing safe computing: A multimethod empirical examination of home computer user security behavioral intentions. MIS quarterly, 613-643 Bandari, V. (2023). Enterprise data security measures: a comparative review of effectiveness and risks across different industries and organization types. International Journal of Business Intelligence and Big Data Analytics, 6(1), 1-11. Barlow, J. B., Warkentin, M., Ormond, D., & Dennis, A. R. (2013). Don't make excuses! Discouraging neutralization to reduce IT policy violation. Computers & security, 39, 145- 159. Blacharski, D. (1998), Network security in a mixed environment: Hungry Minds, Tom Swan: California, USA Brown, W.S. (2000), “Ontological security, existential anxiety and workplace privacy”, Journal of Business Ethics, Vol. 23, No. 1, pp. 61-65. Bulgurcu, B., Cavusoglu, H. and Benbasat, I. (2010), “Information security policy compliance: an empirical study of rationality-based beliefs and information security awareness”, MIS Quarterly, Vol. 34 No. 3, pp. 523-548. Carr, N. G. (2003). IT Doesn’t Matter. Harvard Business Review, 81(5), 41 -49 Chan, M., Woon, I. and Kankanhalli, A. (2005), “Perceptions of information security in the workplace: linking information security climate to compliant behavior”, Journal of Information Privacy and Security, Vol. 1, No. 3, pp. 18-41 Chen, C. X., Williamson, M. G., & Zhou, F. H. (2012). Reward system design and group creativity: An experimental investigation. The Accounting Review, 87(6), 1885-1911. Compeau, D.R. and Higgins, C.A. (1995), “Computer self-efficacy: development of a measure and initial test”, MIS Quarterly, Vol. 19, No. 2, pp. 189-211 D'arcy, J., & Herath, T. (2011). A review and analysis of deterrence theory in the IS security literature: making sense of the disparate findings. European journal of information systems, 20(6), 643-658. 19
Eaton, T. V., Grenier, J. H., & Layman, D. (2019). Accounting and Cybersecurity Risk Management. Current Issues in Auditing. doi:10.2308/ciia-52419 Ehrlich I (1996) Crime, punishment, and the market for offenses. Journal of Economic Perspectives 10(1), 43–67 Eisenhardt, K. M. (1989). Building theories from case study research. Academy of management review, 14(4), 532-550. Ernest Chang, S., & Ho, C. B. (2006). Organizational factors to the effectiveness of implementing information security management. Industrial Management & Data Systems, 106(3), 345-361. Fishbein, M., Ajzen, I., & McArdle, J. (1980). Changing the behavior of alcoholics: Effects of persuasive communication, pp. 217–242. In I. Ajzen & M. Fishbein (Eds.), Understanding attitudes and predicting social behavior. Englewood Cliffs, NJ: Prentice Hall. Fishbein, M., & Ajzen, I. (1975). Belief, attitude, intention, and behavior: An introduction to theory and research. Reading, MA: Addison-Wesley Goodhue, D. L., & Straub, D. W. (1991). Security concerns of system users: A study of perceptions of the adequacy of security. Information & Management, 20(1), 13-27. Guo, K. H. (2013). Security-related behavior in using information systems in the workplace: A review and synthesis. Computers & Security, 32, 242-251. Hair Jr, J. F., Hult, G. T. M., Ringle, C., & Sarstedt, M. (2016). A primer on partial least squares structural equation modeling (PLS-SEM). Sage Publications. Herath, T., & Rao, H. R. (2009). Encouraging information security behaviors in organizations: Role of penalties, pressures and perceived effectiveness. Decision support systems, 47(2), 154-165. Hu, S., Hsu, C., & Zhou, Z. (2021). The impact of SETA event attributes on employees’ security-related Intentions: An event system theory perspective. Computers & Security, 109, 102404. Ifinedo, P. (2012). Understanding information systems security policy compliance: An integration of the theory of planned behavior and the protection motivation theory. Computers & Security, 31(1), 83-95. Jenkins, J. L., Durcikova, A., & Nunamaker, J. F. (2021). Mitigating the security intention-behavior gap: The moderating role of required effort on the intention-behavior relationship. Association for Information Systems. Jeon, S., & Hovav, A. (2015, January). Empowerment or control: Reconsidering employee security policy compliance in terms of authorization. In 2015 48th Hawaii International Conference on System Sciences (pp. 3473-3482). IEEE. 20