要旨わが国では、情報セキュリティポリシーの策定やセキュリティ教育の実施など組織的に情報セキュリティ対策を行っている企業が多いが、それにもかかわらず情報セキュリティの事故は後を絶たない。これは、情報セキュリティ対策の実効性を高めるためには、ルールの策定や教育の実施など形式的な対応を行うだけでは不十分なことを示唆している。形式的な対策だけでなく、ルールが守りやすいような運営を行うと同時に、形式化できない組織風土や組織文化を考慮し、それに合った対策を実施する必要があるのではないだろうか。よる違いを考慮することなく、どのような組織でも同じような形式的なルールを遵守するべきものと考えられているが、そのような認識は間違っているかもしれない。注目し、情報セキュリティのルールからの逸脱行為について、以下の3つの仮説を設定した。情報セキュリティのルールを破る行為(逸脱行為)の程度は、情報セキュリティに関する形式的な対策が実施されているかということに影響を受ける。情報セキュリティに関する逸脱行為の程度は、形式的な情報セキュリティ対策だけでなく、上司の態度や職場の雰囲気といった形式化できない組織的な要因に影響を受ける。アンケート調査で収集したデータを分析して、セキュリティ・ルールからの逸脱行為や形式的対策の実施状況などについて国内の企業の実態を分析した。上記3つの仮説を検証するために共分散構造分析を行った結果、これらの仮説はすべて成り立っていることが検証された。合った対策を行うことが必要である。全文はPDFファイルをご参照ください。