董坤祥, 谢宗晓, 甄 杰, 林润辉

（1. 山东财经大学 管理科学与工程学院，山东 济南 250014；2. 中国金融认证中心，北京 100054；3. 重庆工商大学 商务策划学院，重庆 400067；4. 南开大学 商学院，天津 300071）

一、引 言

现阶段，信息安全已经得到了前所未有的重视。随着2014年2月“中央网络安全和信息化领导小组”的成立以及2017年6月《中华人民共和国网络安全法》的施行，信息安全在国家层面上得到了前所未有的重视。在组织研究领域和企业实践中，信息技术和信息系统的应用对企业发展的促进作用已经得到证明，信息已经成为企业的关键资产，关乎企业的生存和发展。然而，层出不穷的企业信息安全事件引起了公众和社会各界对于信息安全的关注和担忧，企业如何应对信息安全风险也成为近几年管理信息系统领域的研究热点。

企业信息安全风险主要源自员工的信息安全违规行为，制度化则是降低企业信息安全风险的有效途径。2016年国家计算机病毒应急处理中心的统计报告显示，2015年64.22%的被调查企业发生过信息安全事件。企业信息安全的威胁主要有两个：一是内部员工的违规行为，多方统计资料表明，70%—80%的信息安全问题源自员工无意的信息安全违规行为，例如设置简单的登录密码，随意点击含有钓鱼链接的邮件；二是企业外部威胁的入侵。主要包括黑客行为、网络间谍活动、有组织的犯罪以及网络恐怖主义等（赵衍，2013；陈昊等，2016）。事实上，员工的违规行为已经超越外部威胁成为企业信息安全风险的主要来源（D’Arcy等，2009；……