（整理人：萧文龙、王啸群）

信息技术在给企业带来成功机会的同时，也给企业带来了安全隐患，信息安全事件近年来不断出现，威胁到组织。 Shiau et al. (2023)从最好的信息安全期刊和会议（由计算机科学研究的重要门户research.com发布），以及信息系统协会(AIS)编制的MIS期刊中筛选了发表在1996年至2021年间的8006篇信息安全研究论文进行共被引研究。研究表明：信息安全研究可以划分为八个核心知识群组，包括(1)入侵检测，(2)隐私保护，(3)安全机器学习，(4)密码系统，(5)数据服务安全，(6)恶意软件分析，(7)安全决策，(8)安全管理。Shiau et al. (2023) 的研究同时识别了信息安全领域内115篇高被引的重要论文。员工不遵守信息系统安全政策是信息技术安全管理者的主要关切，因为其带来的不利影响甚至比技术漏洞更为严重。Siponen and Vance (2010)发表在《MIS Quartely》上的 “Neutralization: New insights into the problem of employee information systems security policy violationsow to share a secret”从犯罪学中引入了中和理论来探讨信息安全政策问题，为信息安全研究开拓了新的视角。该文章在Google Scholar被引达1419次，而Web of Science平台上的引用也达到了596次，本期我们就介绍这篇论文如下。

中和理论认为,大多数犯罪人都具有传统的为社会普遍公认和接受的价值观和态度,而并不完全信奉犯罪的价值观, 所以也就不把自己看成是犯罪人。犯罪人会通过中和技术将其非法行为进行合理化,从而使自己摆脱道德约束。中和技术包括以下五项技能：⑴否认责任。犯罪人宁可认为自己是行为客体而不愿承认是行为主体，他只是环境的受害者。⑵否认损害。犯罪人不认为自己的行为对社会或他人造成损害，没有任何人因为他们的行为而遭受不幸。⑶否认被害人。犯罪人不认为自己对被害人实施的行为是违法的，而是认为被害人应该受到报复和惩罚。⑷ 谴责那些谴责他们的人。犯罪人认为所有谴责自己的人都是戴假面具的恶人。⑸ 高度效忠群体。即犯罪人对社会要求的破坏，被一个人以忠诚和顺从的名义对小集体所做的一切中和。基于中和理论，Siponen and Vance (2010) 构建了一个信息安全政策违反模型，提出：中和会积极影响违反信息安全政策的意图。并基于威慑理论提出正式制裁对违反安全政策的意图产生负面影响，非正式制裁对违反安全政策的意图产生负面影响，羞耻感负向影响违反安全政策的意图。作者对中和技术的效果与威慑理论所描述的制裁的效果一起进行实证检验，并证实了相关假设。这表明，中和技术是在制定和实施组织安全政策和实践时需要考虑的一个重要因素。

参考文献：

Shiau, W.-L., Wang, X., & Zheng, F. (2023). What are the trend and core knowledge of information security? A citation and co-citation analysis. Information & Management, Vol. 60 No. 3, doi: https://doi.org/10.1016/j.im.2023.103774.

Siponen, M., & Vance, A. (2010). Neutralization: new insights into the problem of employee information systems security policy violations. MIS Quarterly, Vol. 34 No. 3, pp. 487-502.