資訊主管對企業資訊安全之風險控管決策

CIO's Risk Control Decision-making for Business Information Security

李東峰(Michael Tung-Feng Lee) ； 林子銘(Jim T. M. Lin)

《資訊管理研究》 4卷2期 (2002/07) Pp. 1-42

https://doi.org/10.6188/JEB.2002.4(2).01

摘要

資訊科技使企業的管理資訊順暢的穿流過其組織邊際。但是，隨著企業對資訊科技依賴程度的提高，資訊安全也成為企業經營的新興風險。儘管理論模式與最佳實務，普遍建議企業決策者以理性決策模式來進行企業的資訊安全控管決策。但是本研究對於資訊主管訪談的結果，卻發現我國企業的決策者，很少採用機率估計及成本效益分析的方式來進行決策，而常依賴決策者的主觀認知，來進行企業的資訊安全風險控管決策。綜合文獻探討與探索性研究的結果，本文以行為決策理論做為基礎，提出決策者認知對於企業資訊安全風險控管決策影響之研究模式，俾供後續研究的參考。由於行為決策研究的結果，一致指出決策者的認知偏誤，會對決策的有效性產生負面的影響。因此，本文也提醒管理實務工作者，注意依賴決策者認知來進行企業資訊安全風險控管決策的可能隱憂。

關鍵字

資訊安全 ； 不確定性 ； 風險管理 ； 行為決策 ； 探索性研究

並列摘要

Information technologies have enabled the business to streamline their management information flow through their organizational boundaries. However, the ever-increasing dependency on IT also made information security an emerging risk. Theoretical model suggests that rational decision-making paradigm should be followed in order to deal with such problems. However, this study interviewed nine high-level MIS managers in five Taiwanese publicly-listed companies and found otherwise. When those CIOs deal with management problems related to information security risk, they seemed rarely make decisions based on probability estimation of risks or cost-benefit-analysis of security control alternatives. Rather, they relied on subjective perception and decision shortcuts. Based on the results of literature review and this exploratory research, we propose a research model for the relationship between CIO's risk perception and business information security risk management. To prevent insidious impact of information security risk control decisions based on personal cognitive biases and errors, we would like to bring attentions to CIOs.

並列關鍵字

Information Security ； Uncertainty ； Risk Management ； Behavioral Decision-making ； Exploratory Research

參考文獻

李東峰 Lee, Michael Tung-Feng、林子銘 Lin, Jim T. M.(1999)。第五屆國際資訊管理研究暨實務研討會論文集。

林子銘 Lin, Jim T. M.、李東峰 Lee, Michael Tung-Feng、連俊瑋 Lian, Allen J. W.(2002)。台灣人在不確定性環境下倫理決策行為研究 Ethical Decision-making Behavior under Uncertain Environment in Taiwan。資訊管理研究（中央大學） Information Management Research。

林震岩 Lin, Jan-Yan(1996)。資訊系統與組織配合關係之研究。行政院國家科學委員會。

黃明達 Huang, Ming-Ta、孔令娟(1999)。第十屆國際資訊管理學術研討會文集。國立中央警察大學。

Anthony, R. N.(1965).Planning and Control Systems: Framework for Analysis.Boston:Graduate School of Business Administration, Harvard University.