社会情報学

第８巻３号

2020

原著論文
組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―Develop a Model of Behavior of Personal Information Protection in
Organizations
キーワード：
個人情報保護，アンケート調査，人間行動モデル，情報管理，共分散構造分析
keyword：P ersonal information protection, Questionnaire, Human behavior model, Information
management, Covariance Structure Analysis

東京都市大学梅原Tokyo City University

株式会社日本能率協会総合研究所

加

藤

諏
小
杉

Kyoto Tachibana University


原稿受付：2019年５月27日
掲載決定：2019年12月11日

81

博

彦

Hirohiko SUWA

川

Ritsumeikan University

京都橘大学

菜美絵
Namie KATO

訪

Nara Institute of Science and Technology

立命館大学

一

Eiichi UMEHARAJMA Research Institute Inc.

奈良先端科学技術大学院大学

英

祐

樹

Yuki OGAWA

浦昌

Masashi SUGIURA

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―要梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦昌

約
個人情報は，管理や取扱いに十分な注意が必要な情報である。多くの組織では，個人情報を保護するための組織内の規則およびルールが策定されている。さらに従業員に個人情報保護に関する教育と訓練を行っている組織も多い。組織では個人情報保護に対する注目が高まっている。しかし，情報漏洩や紛失などの事故は依然として発生している。そこで本研究では，組織に所属する従業員の個人情報保護行動モデルを構築する。600人の従業員にアンケート調査を実施し，探索的因子分析，検証的因子分析および共分散構造分析を用いて分析した。その結果，知識が態度に影響を与え，態度がスキルに影響を与え，個人情報保護行動につながる個人情報保護行動モデルを構築した。この結果を踏まえて，従業員の個人情報保護を促進する方法を提案する。
Abstract
Personal information needs to be carefully managed and handled in an organization. Rules inan organization and laws for protecting personal information have been developed. In addition,
many organizations provide employees with education and training on personal information
protection. A focus on such protection is increasing in organizations. However, incidents such as
information leakage and loss are still occurring. Therefore, our aim was to develop a personal
information protection behavior model of employees working in an organization. We conducted aquestionnaire survey on 600 employees. This questionnaire was analyzed using exploratory factor
analysis, confirmatory factor analysis and covariance structure analysis. As a result, we developed
a personal information protection behavior model in which knowledge affects attitudes, attitudes
influence skills, and leads to personal information protection behavior. On the basis of this result,
we propose how to promote personal information protection for employees.

82社会情報学

1

第８巻３号

2020

27001（ISMS）などのマネジメントシステム規

はじめに格との整合性を図るため，ISO規格に近接した規情報技術の進展により情報の入手は容易にな

格構成をとっている。これはOECD個人情報保護る。個人情報を利用することにより，企業はサーの８原則（OECD（2013）（）収容制限の原則，デー

ビス向上や売上，利益増を目指すことが可能にな

タ内容の原則，目的明確化の原則，利用制限の原る。しかし個人情報は流出してしまうと取り返し

則，安全保護の原則，公開の原則，個人参加の原のつかない被害になってしまう可能性もある。こ則，責任の原則）に対応する個人情報保護マネジのことから管理や取扱いには十分な注意が必要でメントシステムである。

ある。個人情報の保護法制として，「個人情報の実際に多くの組織では従業員に対して，個人情保護に関する法律（個人情報保護法）」が2003年

報保護に関する教育・研修を実施するなどの対策

５月に公布されている。また2015年９月の改正を講じており，個人情報保護に対する関心は高で個人情報の定義の明確化，新たに匿名加工情報

まっている。

および要配慮個人情報が定義され，第三者提供に

しかし，このような法律や規格及び教育等の組係る事項の追加等，その取扱いに関する規定も整

織的な対策があるにもかかわらず，個人情報の漏備された。経済産業省（2016）は，「この改正で洩事故は起こっている。NPO日本ネットワーク

は，特定の個人を識別することができないように

セキュリティ協会（2017）によると，2014年に加工された『匿名加工情報』を新たに定義し，本起こった個人情報漏洩件数は1,591件，2015年は人の同意に代わる一定の条件の下，ビッグデータ

78件，2016年は468件であった。近年減少してをはじめとするパーソナルデータの自由な利活用

いるようにみえるが，これは１件あたりの漏洩人を認めることにより，新産業・新サービスが創出

数が少ない場合や漏洩した個人情報が暗号化されできる環境を整えることとされた。
」と述べておていたもしくは機微な情報が漏洩していない場合

り，ビッグデータやAIへのデータ活用への道をは公表不要であると判断される場合があることに開いたと言える。しかし，大手就職情報サイトがよる影響も考えられると述べている。１件あたり学生の内定辞退率を人工知能（AI）で予測し，の漏洩人数は３万1,453人，１件あたりの平均想

企業に販売していた問題で個人情報保護委員会か定被害賠償額は６億2,811万円である。個人情報

ら指摘を受け，その販売を一時休止した（2019漏洩による被害は，企業の信用を失うだけでなく，

年８月２日読売新聞）報道に見られるように，企企業の存続にも影響を与える。
これらの背景に基づき，本研究は組織に所属す

業の個人情報保護に対する行動が十分に確立される従業員が，個人情報保護行動をとるためのモデているとは言い難い。
個人情報保護マネジメントシステムは，2005年

ルを構築することを目的とする。このことは，従の個人情報保護法の施行を受けて，JIS Q15001：

業員が個人情報保護行動をとるためのメカニズム

2006として公表された。その後2015年の個人情を明らかにし，個人情報行動を促進するための示報保護法の改正を受けてJIS Q15001： 2017が公唆を提示することとなり，社会的意義があると考表された。この改正点は要配慮個人情報，トレーえる。

サビリティの確保，オプトアウト規制の強化，外本論文の構成を以下に示す。２章では関連研究

国事業者への第三者提供，個人データの消去の努を整理し，３章では関連研究の整理に基づき個人

力義務，匿名加工情報などがある。また，ISO

情報保護行動モデルの仮説を設定する。４章では9001（QMS）やISO 14001（EMS），ISO/IEC

調査概要について述べ，５章では調査結果を報告

83

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦昌する。
６章では結果に基づく考察について述べる。

感，貢献感，外部要請というセキュリティ態度に

７章で結論と今後の課題をまとめる。

影響を与えること，（２）セキュリティ行動には，
予防的セキュリティ行動，習慣的なセキュリティ

２

行動，および意識的なセキュリティ行動の３種類

関連研究があること，（３）セキュリティ態度が３つのセ

人間の社会的行動に関する研究は，社会心理学

キュリティ行動に影響を与えることを示している。

の分野で多くなされている。人間の行動を説明す井上ら（2017）は，これらの先行研究によっるモデルとして，Ajzen & Fishbein（1980）のて積み上げられた知見を個人情報保護の分野に適合理的行動理論や，Ajzen（1991）の計画的行動

用し，大学生に対するアンケート調査に基づいて理論がある。Ajzen & Fishbein（1980）は，人

個人情報保護の関心とそれに関連する行動との関間が行動にいたるまでの心理プロセスを段階的な係を分析している。その結果，彼らは関心が行動構造を持つとして，態度が行動意図を規定し，行に影響を与えることを明らかにしている。しかし動意図が行動を規定するモデルを構築している。

ながら，この調査の対象者の多くは大学生であり，このモデルは，消費行動やweb上のコミュニケーショ

組織における個人情報保護行動の対象者としてふン行動，環境配慮行動，情報セキュリティ行動など

さわしいとは言い難い。また，組織における情報

様々な分野で応用されている（廣瀬 1994，小池ら

セキュリティや個人情報保護行動へ影響を及ぼす

2003，三坂 2003，諏訪ら 2006，諏訪ら 2012）。

要因についても議論されてない。
組織における情報セキュリティの分野におい諏訪ら（2006）は，なぜ人々が環境配慮行動を示さないのかを明らかにするための研究を行って，浜屋（2009,2011）は，会社員を対象にアている。環境配慮行動は，環境保全に対する積極

ンケートを行い，情報セキュリティが組織に与え的な態度に関わらず行動に至らない「高態度低行る影響を分析している。その結果，職場の実態を動」の典型的な行動である。この図式はセキュリ

踏まえた情報セキュリティ対策が行われていない

ティ行動や個人情報保護行動にも当てはまる。すと，従業員の士気を低下させ，組織活性化を奪う

なわち，セキュリティや個人情報保護に対する知と述べている。さらに，浜屋（2009）は，従業識や態度は身についているものの，行動が伴わな員の情報セキュリティ行動の実効性を高めるためいという態度と行動の不一致が発生するのである。

には，組織風土を考慮した対策を講じる必要があ

この不一致を説明するために，諏訪ら（2006）

ると述べている。しかしながら，この研究では組

は，Ajzen & Fishbein（1980），Ajzen（1991）

織におけるセキュリティに着目しており，組織にらの理論に基づく「環境配慮行動の要因連関モデ

おける個人情報保護行動に着目しているわけではル（広瀬 1994）」，「環境問題認識の構造モデル（小ない。

池ら 2003）」，「環境問題の認知・行動モデル（三杉浦ら（2011）は，組織内でセキュリティ対

坂 2003）」などの先行研究に基づき，関心・動機・策を指示する立場のセキュリティ推進部門とその行動モデルを構築している。さらに，この関心・指示を受けて実施する立場の従業員の行動をモデ

動機・行動モデルを拡張して情報セキュリティ分

ル化し，組織内のセキュリティ対策をゲーム理論

野に適用し，なぜ人々は情報セキュリティ行動をにより分析している。この研究では事例の一部と示さないのかを調査している。その結果，（１）

して組織における個人情報保護行動を対象にしてセキュリティ知識，セキュリティスキルといったいるものの，ゲーム理論に基づいて従業員の行動

ユーザが持つ知識レベルが無力感，関心，コストを構造的にモデル化するものであり，行動を規定

84

社会情報学

第８巻３号

2020

する要因やその構造について調査したものではない。

は，「個人情報保護の知識・スキル・経験が態度組織の一員としての従業員の個人情報保護行動に影響を与え，これらの態度が個人情報保護行動を促進する」とする。これを図１に示す。

を議論するには，社会心理学の知見に基づく人間
行動モデルが必要であるが，モデル構築にあたり組織においては，ある程度の個人情報保護に関組織風土などの組織特有の要因を検討する必要がする教育が行われていることが想定されるため，ある。本研究では，従業員が個人情報保護行動を

従業員は個人情報保護に関する知識・スキル・経示すためのメカニズムを明らかにするために，諏

験を保有している。それらの知識・スキル・経験

訪ら（2012）の情報セキュリティモデルを拡張し，から個人情報保護に関する態度に影響を与える。

組織風土を含めた組織における個人情報保護行動

この態度が個人情報保護行動を促進するというモモデルを構築することを目的とする。

デルである。

３

仮説の構築

本章では，個人情報保護行動に影響を与える要因について先行研究に基づき検討し，個人情報保
護行動モデルの仮説を構築する。
3.1

従業員の個人情報保護行動モデル

本研究では，諏訪ら（2012）の一般個人を対

図１

仮説：従業員の個人情報保護行動モデル

象とした情報セキュリティ行動モデルを拡張し，
3.2

従業員の個人情報保護行動モデルを構築する。彼

個人情報保護行動の要因

らの合理的行動理論および計画的行動理論に基づ

3.1節の仮説における３つの要因（（１）知識（知く情報セキュリティ行動のモデルは，情報セキュ

識，スキル，経験），（２）態度（関心，リスク認

リティに関する知識・スキルが態度（情報セキュ

知，有効性認知，コスト感，組織風土），（３）行

リティに関するコスト感，貢献感，外部要請）に動（人的，技術的））を説明する。

影響を与え，
この態度が情報セキュリティ行動（予防的，習慣的，意識的行動）に影響を与えていた。

3.2.1

知識（知識，スキル，経験）本研究でも，知識（知識，スキル，経験）が個人

本研究では，諏訪ら（2012）のモデルと同様に，情報保護に関する態度に影響を与え，個人情報保

個人情報保護行動には，個人情報保護や情報セ

護に関する態度が，組織内の個人情報保護行動をキュリティに関する知識やスキルが必要であると促進すると仮定する。このために（１）知識（知仮定する。また彼らのモデルと同様に，このよう識，スキル，経験），（２）態度（関心，リスク認な知識やスキルには，従業員自身またはそれらの知，有効性認知，コスト感，組織風土），（３）行近くにいる人々によって引き起こされる個人情報動（人的，技術的）という３つの要因を設定した。

漏洩事件の経験も含まれると考える。所属する組

これらの要因を用いて，諏訪ら（2012）の一織の個人情報保護に対する組織風土や自身や身近

般個人の情報セキュリティ行動の仮説を拡張し，な人（同僚や先輩，上司）が個人情報に関する被組織の従業員を対象とした個人情報保護行動モデ

害を受けたことがある，被害を与えたことがある

ルを構築した。その結果，本研究の基本的な仮説

といった経験も要因に含まれると考えた。

85

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦

3.2.2

昌

態 度（関心，リスク認知，有効性認知，保護に関する知識」，「個人情報保護に関するスキ

コスト感，組織風土）

ル」，「個人情報保護に関する経験」，「個人情報保本研究では，諏訪ら（2012）のモデルを組織

護に関する態度及び所属する組織の組織風土」，の従業員を想定して拡張し，個人情報保護の態度「個人情報保護に関する行動」に大別される。

に対する要因として５つ設定した。
（１）個人情報保護に対する従業員の「関心」，（２）脅威に対

4.1

調査方法

する危機感などの従業員の「リスク認知」，（３）

調査方法は，インターネット調査とし，2017

個人情報に対する「有効性認知」，（４）個人情報年９月１日～25日に実施した。調査対象は，正保護にかける従業員の「コスト感（時間や努力）」，社員または契約社員として就業し，業務で個人情（５）「組織風土」である。

報を扱う20歳～59歳のインターネットモニター

諏訪ら（2012）は，態度の要因として情報セキュである。回答者が600人になった時点で回収を終リティに対する「関心」，脅威への危機感といっ了している。なおサンプルが偏らないように，回た「リスク認知」，セキュリティ対策への「有効収時に性別／年代での割付を実施し，各75名ず性認知」，「お金がかかる」「手間がかかり，面倒

つ回収を行った。表１に被験者の特徴を示す。

である」といった「コスト感」，他者からセキュ表１

リティ行動を要請される「外部要請」の５つを仮

被験者の特徴定した。本研究ではこのうち「外部要請」を除外した。これは従業員の個人情報保護は，一般個人と異なり業務として取り扱うため「外部要請」ではなく，強制と考えたためである。
一方，浜屋（2011）は，組織における情報セキュ
リティ対策には，情報セキュリティポリシーの策
定や情報セキュリティ教育などの正式な対策だけ
でなく，情報セキュリティに関する組織風土の開発も必要であると述べている。そこで本研究では個人情報保護に対する組織的な態度の要因として組織風土を設定した。
3.2.3

行動（人的，技術的）本研究では個人情報保護行動には，人的側面を

4.2

調査項目

含む個人情報保護行動と，ITの利用など技術面を本調査では，個人情報保護行動モデルに基づき含む情報セキュリティ行動の２種類があると仮定

調査項目を設定した。なお知識以外の要因は，基した。

本的に本人がどう考える／思うかが問題となる。
よって，これらの要因については，諏訪ら（2012）

４などの従来研究を参考に質問紙を設定し，本人の調査概要

考え・思いを収集したうえで因子分析を用いて潜３章で設定した仮説を検証するために，アン

在変数を作成する。一方で，知識は本人が考えケート調査を実施した。質問項目は，「個人情報る／思うのではなく，正しい答えが存在し，それに86社会情報学

第８巻３号

2020

対して本人が正しい答え（知識）を所持しているかい」から「とてもそう思う」までの５段階で回答が問題になる。そのため，正誤の存在する問題のをした。

正当総数により指標化する。
4.2.4
4.2.1

個人情報保護に関する態度・組織風土

個人情報保護に対する態度および個人情報保護

個人情報保護に関する知識

個人情報保護士認定公式テキスト（2016）をに対する組織風土について27項目の質問を設定

参考に個人情報と要配慮個人情報を問う23項目した。それぞれの項目について，あてはまるかどを作成した。被験者に対し，各項目に対して書いうかを「あてはまらない」から「あてはまる」まてある内容が個人情報にあてはまると思えば「はでの５段階で回答を依頼した。

い」あてはまらないと思えば「いいえ」の回答を
4.2.5

依頼した。

個人情報保護に関する行動

t検定を使用して，管理グループ（役員，部長，

4.2.2節の「個人情報保護に関するスキル」で課長，係長）と非管理グループ（その他）の間で設定した31項目について，実際に実施している

個人情報保護に関する知識に統計的に有意な差がかどうかを，「全く実施していない」から「とてあるかどうかを調べた。 その結果，管理職の正もよく実施している」までの４段階で回答を依頼

解率は83.5％，非管理職の正解率は83.6％であした。実施しているかどうか分からない場合は，り，両者の間に有意差は見られなかった。そのた「実施しているか分からない」を選択するようにめ，従業員の個人情報保護に関する知識は，役職依頼した。

によって異ならないことがわかった。
4.2.2

５

個人情報保護に関するスキル

調査結果

個人情報保護行動は情報セキュリティ行動を含

本章では，４節で設定した項目の分析結果を述むので，諏訪ら（2012）の情報セキュリティス

べる。分析方法として，個人情報保護に関する知キルの質問項目に加え，個人情報保護士認定公式

識については，スコアとして23問中の正解総数

テキスト（2016）を参考に「一定時間以上にわたっを使用した。そのほかの要因については因子分析て席を離れる場合は机上の書類は引き出しに保管を用いた。探索的および検証的因子分析を用いて，するか，施錠管理のできるロッカーに保管するこ

観察変数および潜在変数を特定した。その後，知とができる」といった個人情報保護行動特有の項

識スコアを加えて共分散構造分析を行い，パス図目を追加し，合計31項目を設定した。それぞれを作成した。

の項目について，実際にスキルを持っているかど
うかを「全くそう思わない」から「とてもそう思

5.1

う」までの５段階で回答を依頼した。

個人情報保護に関する知識

図２に個人情報保護に関する知識に対する被験者の正解数の分布を示す。個人情報に関する平均

4.2.3

個人情報保護に関する経験点は12.4点（15点満点），標準偏差は1.6であった。

従業員自身や身近な人（同僚や先輩，上司）の要配慮個人情報に関する平均値は6.9点（８点満

個人情報漏洩や被害を受けた経験について10項点），標準偏差は1.7であった。この二つを合計し目を設定した。各質問に対して，被験者は，実際た平均は19.2点（23点満点），標準偏差は2.7でに経験したかどうかに関して，「全くそう思わなあった。本研究では各被験者の合計点を知識の説

87

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦昌

分析（最尤法，プロマックス回転）を行った。その結果，固有値１以上の因子が６因子抽出された。
累積寄与率は61.6％であった。この因子を「個
人情報は重要（関心，有効性認知）
」
，
「個人情報
保護対策は面倒（コスト感）」，「職場が個人情報保護に熱心（組織風土）」，「被害を避けたい（リ
スク認知）
」
，
「関心がない」，「個人情報保護対策
は効果がない」とすることにした。
図２

個人情報保護に関する知識の正解数

5.2.4

個人情報保護に関する行動

行動に関する質問項目に対して因子分析（最尤法，プロマックス回転）を行った。その結果，固明変数として用いる。

有値１以上の因子が４因子抽出された。累積寄与
5.2

率は65.4％であった。この因子を「人的セキュ

探索的因子分析

アンケートから要因を特定するために，SPSS

リティ行動」，「個人情報保護行動」，「システムセ

Statistics Ver.22を用いて，スキル，経験，態度・

キュリティ行動」，「不審な物には気をつける行動」

組織風土，行動のそれぞれについて探索的因子分とすることにした。

析を行った。
5.3
5.2.1

検証的因子分析

探索的因子分析の結果に基づき，共分散構造分

個人情報保護に関するスキル

スキルに関する項目に対して因子分析（最尤法，

析に使う潜在変数とそれに対応する観測変数を特定

プロマックス回転）を行った。その結果，固有値する。統計ソフトはSPSS Amos Ver.22を使用した。

１以上の因子が４因子抽出された。累積寄与率は
5.3.1

69.9％であった。この４因子を「情報セキュリ

個人情報保護に関するスキル

ティスキル」，「人的セキュリティスキル」，「個人

本 モ デ ル の 適 合 度 指 標 はGFIが0.935，CFIが情報保護スキル」「システムセキュリティスキル」，

0.971，P値が0.01未満で統計的に有意であった。

とすることにした。

潜在変数は４つで，「情報セキュリティスキル」
で５つの測定変数，「人的セキュリティスキル」

5.2.2

で４つの測定変数，「個人情報保護スキル」で４

個人情報保護に関する経験

経験に関する項目に対して因子分析（最尤法，

つの測定変数，「システムセキュリティスキル」

プロマックス回転）を行った。その結果，固有値

で２つの測定変数が抽出された。
これを表２に示す。

１以上の因子が２因子抽出された。累積寄与率は
5.3.2

56.1％であった。この因子を「他人の被害を聞

個人情報保護に関する経験

本 モ デ ル の 適 合 度 指 標 はGFIが0.905，CFIがいた事がある」，「被害を与えた経験がある」とす

0.930，P値が0.01未満で統計的に有意であった。

ることにした。

潜在変数は２つで，「他人の被害を聞いた事があ個人情報保護に関する態度・組織風土る」に７つの測定変数，「被害を与えた経験がある」

態度と組織風土に関する質問項目に対して因子に２つの測定変数が抽出された。
これを表３に示す。

5.2.3

88

社会情報学表２

スキルの潜在変数と測定変数

第８巻３号

2020

0.939，P値が0.01未満で統計的に有意であった。
潜在変数は６つ抽出された。第１が「個人情報保護は重要（関心，有効性認知）」という態度で測定変数が６つ，第２に「個人情報保護対策は面倒（コスト感）」という態度で測定変数が５つ，第３に「職場が個人情報保護に熱心（組織風土）」という組織風土で測定変数４つ，第４に「被害を避けたい（リスク認知）」という態度で測定変数が３つ，第５に「関心がない」という態度で測定
変数が２つ，第６に「個人情報保護対策は効果がない」という態度で測定変数が２つである。これを表４に示す。

表４

表３

 人情報保護に関する経験の潜在変数と測定
個
変数

5.3.3

個人情報保護に関する態度・組織風土

本 モ デ ル の 適 合 度 指 標 はGFIが0.896，CFIが89

 人情報保護に関する態度・組織風土の潜在個変数と測定変数組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦

5.3.4

昌

の測定変数，「不審な物には気をつける行動」に

個人情報保護に関する行動

３つの測定変数が抽出された。これを表５に示す。

本 モ デ ル の 適 合 度 指標 はGFIが0.902，CFIが0.954，P値が0.01未満で統計的に有意であった。

5.4

潜在変数は４つで，「人的セキュリティ行動」に共分散構造分析

６つの測定変数，「個人情報保護行動」に８つの5.3節で抽出した潜在変数を用いて因果関係を

測定変数，「システムセキュリティ行動」に５つモデル化するために共分散構造分析を行った。その結果を図３に示す。GFIが0.773，CFIが0.766，

表５

P値が0.01未満であった。この結果から個人情報

 人情報保護に関する行動の潜在変数と測定個
変数保護に関する知識が従業員の態度や組織風土に影響を与える。次にこれらの態度や組織風土によりスキルの向上が図られる。最終的に，これらのス
キルを用いて個人情報保護行動を示すということが明らかになった。
￼ 図３は，図１に示した仮説及び諏訪ら（2012）の一般的な被検者を対象とした情報セキュリティ
行動モデルと異なった。参考までに，諏訪らと同様の知識―スキル―態度―行動モデルで共分散構造的分析を行ったが有意な結果は得られなかった。この点に関しては，本研究の被験者が一般的な個人ではなく，組織の従業員であったことによる可能性が考えられる。
また，態度・組織風土―知識―スキル―行動モ
デルも検討したが，GFIが0.725と低下したために採用しなかった。
5.5

分析結果

本研究で得られた従業員の個人情報保護モデル
は「知識―態度・組織風土―個人情報保護スキル―個人情報保護行動」となった。
第１に，個人情報保護の知識があると，現代社
会は個人情報保護を求めている，個人情報保護に関心を持っているというような「個人情報保護は重要（関心，有効性認知）」，個人情報保護対策を
行 う と 被 害 の 規 模 を 小 さ く す る 効 果 が あ る，
Windows Update等によるセキュリティパッチの更新は，安全性を高める効果があるといった「被害を避けたい（リスク認知）」という態度に正の影響を与えるだけでなく，職場から個人情報保護90

社会情報学

第８巻３号

2020

第３に，これら態度や組織風土は，「個人情報保護スキル」，「人的セキュリティスキル」，「システムセキュリティスキル」という３つのスキルに影響を与える。「個人情報保護スキル」は，「個人情報保護は重要（関心，有効性認知）」および「被害を避けたい（リスク認知）」という態度と正の相関があった。
「人的セキュリティスキル」および「システム
セキュリティスキル」は，「個人情報保護は重要（関心，有効性認知）」，「被害を避けたい（リスク認知）」及び「職場が個人情報保護に熱心（組織風土）」と正の相関があった。また，「システムセキュリ
ティスキル」のみは「個人情報保護対策は面倒（コスト感）」と負の相関が見られた。
第４に，従業員がこのようなスキルを身につけると，「個人情報保護行動」「人的セキュリティ行
動」「システムセキュリティ行動」「不審な物には
図３

気をつける行動」につながる。
「個人情報保護行動」

従業員の個人情報保護行動モデルと「不審なものに気をつける行動」は，「個人情対策を求められている，職場の同僚や先輩，上司

報保護スキル」および「人的セキュリティスキル」

は個人情報保護対策をしている人が多いといったと正の相関があった。「人的セキュリティ行動」「職場が個人情報保護に熱心（組織風土）」にもと「システムセキュリティ行動」は，「人的セキュ

正の影響によりを与えていたことがわかった。そリティスキル」および「システムセキュリティス

の結果，従業員は「私の職場から個人情報保護がキル」と正の相関があった。

要求される」こと，および「職場の同僚，先輩，

結論として，従業員の知識を向上させることが上司の多くが個人情報を保護すること」を認識す不可欠である。さらに，個人情報保護に対する従るようになる。

業員の態度を改善し，組織内の個人情報を保護す

第２に，知識の有無に関わらず，個人情報保護るための組織風土を改善する必要がある。その結対策を行うと，利便性が損なわれる，複数のパス

果，従業員の個人情報保護に関するスキルが向上

ワードの管理は面倒くさいといった「個人情報保する。このスキルを使用することで，従業員は個

護対策は面倒（コスト感）」という否定的な態度

人情報保護行動をすると考えられる。

があることが分かった。このような手間を厭う態
度は，人間が本来持っているものである可能性が６ある。この否定的な態度がシステムセキュリティ

考察

スキルに悪影響を及ぼしている事が分かった。し本章では，従業員に個人情報保護行動を促進さかしながら，「関心がない」および「個人情報保せる対策，および先行研究の情報セキュリティ行

護対策は効果がない」は有意な潜在変数とはなら動モデルとの比較について述べる。

なかった。

91

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦昌

組織における個人情報保護行動の促進対策

ル，「個人情報保護対策は面倒」はシステムセキュ

分析の結果，個人情報保護に関する知識が，従リティスキルと有意な関係があった。３つのスキ

業員の態度や組織風土に影響を与え，それがスキルを高めるためには，個人情報保護の重要性とそルの向上につながり，個人情報保護行動をするとのリスク認識をまず従業員に周知させる必要があいうことが明らかになった。そこで従業員に対しる。その上で，個人情報保護に対する組織風土のて個人情報保護行動を促進する方策を提案する。

向上および対策が面倒というコスト感を低減さ

第１に従業員に個人情報保護に関する知識を完せ，セキュリティスキルの向上を促進すべきである。

全に理解させる必要がある。本研究のアンケート第３に，従業員の態度や社内風土を改善した上で個人情報に関する知識を問う問題がある。業務

で，従業員に個人情報保護に関するスキルを身にで個人情報を扱う従業員は完全に理解すべき問題つけさせる必要がある。スキルは３因子が抽出さである。しかし不正解の比率が10％を超えていれた。個人情報保護スキルは「個人情報保護行動」

るものがある。以下（）内が不正解率である。

および「不審なものに気をつける行動」，人的セ

個人情報に関する知識では，「官報，電話帳，職キュリティスキルは「不審なものに気をつける行

員録等で公にされている情報」（33.5％），「防犯動」，「人的セキュリティ行動」および「システムカメラに記録された情報等，本人が判別できる映

セキュリティ行動」，システムセキュリティスキ像情報」（14.3％），「特定個人を識別できる情報

ルは「システムセキュリティ行動」を向上させる。

が記述されていなくても，周知の情報を補って識

従業員にはこれら３つのスキルをすべて身につけ別することにより特定の個人を識別できる情報」

させる必要がある。

6.1（10.8％），「企業の財務情報等，法人等の団体
6.2

そのものに関する情報」（63.8％），「記号や数字

仮説との比較

等の文字列だけから特定個人の情報であるかどう

5.4節で述べたように，本研究の個人情報保護

か の 区 別 が つ か な い メ ー ル ア ド レ ス 情 報」

行 動 モ デ ル は， 図 １ に 示 し た 仮 説 及 び 諏 訪 ら（10.8％）の不正解率が10％を超えた。また，（2012）の一般的な被検者を対象とした情報セ

要 配 慮 個 人 情 報 で は 人 種（22.8％ ），信 条

キュリティ行動モデルと異なった。異なる点は２（30.3％），社会的身分（21.8％）の不正解率がつである。

10％を超えた。これはどれも基礎的な知識であ第１に，図１の仮説及び諏訪ら（2012）のモる。これは社内研修などで従業員に必ず周知させ

デルは知識とスキルが態度に正の影響を与える。

なければならない。

この態度が情報セキュリティ行動を引き起こすと第２に知識をベースに従業員の個人情報を保護いうモデルであった。一方，本研究のモデルは知することに対する態度を徹底しなければならな識が態度や組織風土に影響を与える。その結果，い。態度や組織風土では，「個人情報保護は重要（関従業員のスキルが向上し，個人情報保護行動を引心，有効性認知）」，「被害を避けたい（リスク認

き起こすというものである。

知）」，「職場が個人情報保護に熱心（組織風土）」，

この点に関しては，本研究の被験者が組織で個「個人情報保護対策は面倒（コスト感）」の４因

人情報を業務で取り扱っている人に限定したこと子が抽出された。パス図より「個人情報保護は重による可能性がある。彼ら全員が個人情報につい要」および「被害を避けたい」も３つのスキルすてある程度の知識を持っていた可能性が高い。さ

べてに，「職場が個人情報保護に熱心」は人的セらに業務として扱っているので，組織内の個人情

キュリティスキルとシステムセキュリティスキ

報保護に関するマニュアルや社内規則が整備され

92

社会情報学

第８巻３号

2020

ていた可能性が高い。故に，事前に研修等で取扱

ルのGFIは0.748と低下したので，本論文では採規程が周知されている可能性が高い。つまり，知用しなかった。経験が個人情報保護に関する知識

識のみならず態度・組織風土も事前に周知されて及び組織風土にどのように影響を与えるかの詳細いる可能性が高い。その個人情報保護に関する知な分析についても今後の検討課題としたい。

識や態度及び組織風土が高ければ，従業員の個人情報保護に関するスキルが向上する可能性があ７る。以上の点から，個人情報保護行動が組織内で結論と今後の課題

行われている可能性がある。その結果，本研究で本研究は，諏訪ら（2012）が提示した合理的得られた知識―態度・組織風土―スキル―行動モ

行動理論および計画的行動理論に基づく個人の情

デルが統計的に有意になった可能性がある。この報セキュリティ保護行動モデルを拡張し，組織の点に関する詳細な調査は今後の研究課題とする。

従業員の個人情報保護行動モデルを仮説として設第２に，個人情報保護に関する態度・組織風土定した。これは，知識・スキルおよび経験が個人の潜在的変数である「関心がない」と「個人情報情報保護に対する態度に影響を与え，それが個人保護対策は効果がない」の２つはスキルや行動と情報保護行動に影響を与えるというモデルであっ有意な関係が得られなかった。同様に，個人情報た。本研究ではこの仮説を検証するために600名保護に関する経験の２つの潜在変数である「他人の個人情報保護を扱う組織の従業員にアンケートの被害を聞いた事がある」と「被害を与えた経験調査を実施し，共分散構造分析によりモデルを構がある」もスキルや行動と有意な関係が得られな築した。しかしながら本研究では，仮説として提かった。この点に関しても，諏訪ら（2012）の情示したモデルは統計的に有意にならなかった。ま報セキュリティに関するモデルと異なる点である。

た個人情報保護に関する経験など一部の要因も統「関心がない」や「個人情報保護対策は効果が計的に有意とはならなかった。

ない」と言った態度，「他人の被害を聞いた事が本研究で統計的有意となったモデルは，知識のある」，「被害を与えた経験がある」が統計的に有向上が従業員の個人情報保護に対する態度や個人意にならなかったことは，本研究の被験者が「組情報保護に関する組織風土を向上させる。その態

織で個人情報を業務にとして扱っている従業員」

度や組織風土が従業員の個人情報保護のスキル向に限定したことによるものと考えられる。諏訪ら上を促す。そのスキルが向上すると従業員の個人（2012）の研究の被験者は一般的な個人である

情報保護行動が促進されるというモデルであった。

のに対し，本研究の被験者は業務で個人情報をこの差異の原因としては，諏訪ら（2012）の扱っている。つまり，個人情報保護の重要性は理モデルが一般個人の情報セキュリティ行動を対象解していた可能性が高かったと思われる。この点としたのに対し，本研究のモデルは個人情報保護に関しても詳細な分析は今後の検討課題とする。

を扱う組織の従業員を対象としたためという可能経験に関しては，知識及び態度・組織風土の中性が考えられる。従業員は業務の一環として個人

で，「被害を与えた経験がある」と「被害を避け情報を扱っている。故に，個人情報保護の重要性

たい（リスク認知）」は有意ではなかったが，そおよびそのリスクや過去の事故や他人の経験は，れ以外の潜在変数とは統計的に有意であった。故程度の差はあれ事前に認識していた可能性があに，経験が知識及び態度・組織風土に影響を与える。また知識も従業員教育等で従業員に周知されており，その結果として知識や態度・組織風土がていた可能性がある。この点に関する詳細な分析向上する可能性は捨てきれない。しかしこのモデは今後の検討課題としたい。

93

組織における個人情報保護行動モデルの構築―従業員の個人情報保護行動を促進するためには―

梅原英一・加藤菜美絵・諏訪博彦・小川祐樹・杉浦昌

privacy/downloadfiles/tokumeikakou.pdf>

また個人情報保護行動モデルの適合度はGFIがAccessed 2019, April 19.

0.773，CFIが0.766，RMSEAが0.090，P値が0.01未満である。一定の成果は出ているものの改善のNPO日本ネットワークセキュリティ協会（2017）

余地がある。豊田（2007）は，GFIが一般的に0.9

2016年情報セキュリティインシデントに関する調以上あれば説得力あるパス図であると判断すると査報告書～個人情報漏えい編～. <http://www.

述べている。RMSEAも当てはまりが悪いとされ

jnsa.org/result/incident/data/2016incident_

る0.1には達していないが，十分とされる0.05よsurvey_ver1.2.pdf.> Accessed 2019, April 19.

りも大きい。この点から，本研究のモデルの適合

広瀬幸雄（1994）「環境配慮行動の規定因について」，『社会心理学研究』10，No.1，pp.44-55．

度向上が課題であると考えられる。
本研究で得られたモデルによると，従業員に個

小池俊雄他（2003）「環境問題に対する心理プロ

人情報保護行動を行わせるためには，まず従業員

セスと行動に関する基礎的考察」，『水工学論文の知識を向上させることが不可欠である。本研究集』47，pp.361-366.

のアンケート結果でも知識の分野で正解率の悪い

諏訪博彦・山本仁志・岡田勇・太田敏澄（2006）「環項目が存在することが分かった。どの分野の知識

境配慮行動を促す環境教育プログラム開発のたが特に必要かを明らかにすることは今後の課題でめのパスモデルの構築」，『日本社会情報学会誌』ある。また同様に態度や組織風土に関しても「個18，No.1，pp.59-70．

人情報保護は重要（関心，有効性認知）」，「被害

三阪和弘（2003）「環境教育における心理プロセを避けたい（リスク認知）」，「職場が個人情報保ス モ デ ル の 検 討」，『環 境 教 育』13，No.1，

護に熱心（組織風土）」，「個人情報保護対策は面

pp.3-14．

倒（コスト感）」を改善するための具体的な施策を

諏訪博彦・原賢・関良明（2012）「情報セキュリ

開発する必要がある。この点も今後の課題である。

ティ行動モデルの構築―人はなぜセキュリティ
行動をしないのか」，『情報処理学会論文誌』

参考文献

53，No.9，pp.2204-2212.

Ajzen, I. and Fishbein, M.: Understanding

井上沙紀・梅原英一（2017）「個人情報の関心とAttitudes and Predicting Social Behavior,

知識及び行動の関係」，『電子情報通信学会技術

Englewood Cliffs, NJ: Prentice-Hall, Inc.

研究報告』116，No.488，pp.177-182.
浜屋敏（2009）「情報セキュリティと組織感情（1980）.
Ajzen, I.: The Theory of Planned Behavior,Enterprise2.0」，<https://www.fujitsu.com/jp/

Organizational Behavior and Humangroup/fri/report/research/2009/report-345.

Decision Processes, No.50: pp.179-211

html.> Accessed 2019, April 19.
浜屋敏（2011）「日本における情報セキュリティ（1991）.
OECD（2013）The OECD privacy framework.

逸 脱 行 為 と 組 織 文 化・ 風 土 と の 関 係」，<http://www.oecd.org/sti/ieconomy/oecd_<https://www.fujitsu.com/jp/group/fri/report/

privacy_framework.pdf> Accessed 2019,research/2011/report-373.html> Accessed

April 19.

2019, April 19.

経済産業省（2016）事業者が匿名加工情報の具体

杉浦昌・諏訪博彦・太田敏澄（2011）「組織のIT的な作成方法を 検討するにあたっての参考資料，

セキュリティ対策のゲーム理論による分析―セ<https://www.meti.go.jp/policy/it_policy/

キュリティ推進部門と従業員の間の指示と実施

94

社会情報学

第８巻３号

2020

メントセンター，393p.

のゲーム」，『情報処理学会論文誌』52，No.6，

豊田秀樹（2007）『共分散構造分析[Amos編]』

pp.2019-2030.

東京図書，254p.

中村博監修・柴原健次他（2016）『個人情報保護士認定試験公式テキスト』日本能率協会マネジ95