信息安全遵从行为是指组织内部雇员在执行信息安全制度过程中的具体遵守行动。近年来的相关调查研究表明,组织内部雇员的不遵从信息安全制度的行为导致了非常多的信息安全事件,甚至仅仅一个雇员的不遵从行为就足以给其组织的资产、声誉与竞争力等造成灾难性的危害。目前,关于信息安全遵从行为的研究大多采用实证方法,主要论证逻辑前置因素对此类行为意图的影响。本研究主要采用基于博弈论等理论建立模型以及数值模拟的方法来研究信息安全遵从行为的正式控制机制,即信息安全遵从行为的激励机制和评估机制,以期深入理解并科学管理信息安全遵从行为。主要研究结果归纳如下：假设可以低成本地观测到信息安全遵从行为的产出结果,我们得到了如下三种激励机制：1)基于存在道德风险的委托人——代理人理论构建了信息安全遵从博弈模型,重点分析论证了惩罚的确定性与适度性对雇员个体的信息安全遵从行为的激励作用。研究结果表明：作为委托人的组织(或雇主)可以设计出最优的信息安全遵从激励契约,该契约中所蕴含的惩罚确定性与适度性能够促使作为代理人的雇员去选择组织所期望的信息安全遵从努力水平,同时组织也将获得最优的信息安全遵从收益。2)设计了一份同时包含心理收入与货币奖励的最优契约,用以激励雇员个体选择雇主所期望的信息安全遵从努力水平。研究结果表明：如果给予雇员个体的心理收入越高,那么雇主付给该雇员的货币奖励数额可以越小；当支付给雇员个体的货币奖励数额为某一确定值时,心理收入对该雇员的信息安全遵从努力水平具有正向的影响作用；如果给予雇员个体的心理收入越大,那么该雇员的信息安全遵从努力水平就越高；在外部条件有利的情况下,应该减少支付给雇员个体的货币奖励与心理收入,而在外部条件不利时应该增加支付给此雇员的货币奖励与心理收入。3)在同期内承担着信息安全遵从和本职工作两项任务的雇员个体可能会表现出信息安全不遵从行为。我们将表示雇员个体对任务执行细节的调度排程的重视程度的时间观变量引入多任务委托人——代理人模型,设计了最优关联激励契约,论证了这种时间观变量对最优激励强度以及最优激励策略的关联影响,并采用算例验证了激励强度系数与时间观变量之间的关联关系。该最优激励契约模型可帮助信息安全管理者来选择最优的激励强度以及激励策略,以促使雇员既努力去完成其本职工作,又愿意选择雇主所期望的信息安全遵从努力水平。假设可以低成本地观测到信息安全遵从行为的小样本数据,我们得到如下三种评估机制：1)构建了信息安全遵从伽罗瓦格图,实现了遵从模式的可视化表示,从格图中提取了六类信息安全遵从模式,并将这些遵从模式与利用社会网络分析方法所得到的结构特征进行了比较分析。研究结果表明,该格图能够实现对信息安全遵从模式的结构化表征,可被用于评估雇员群体与个体的信息安全遵从行为。2)将信息安全遵从非胜任力看作一个灰色系统,构建了信息安全遵从非胜任力的灰色模型,设置了十四个灰评估指标,并给出了相应的灰色评估方法。结合使用了信息安全遵从非胜任力灰色模型与层次分析方法来计算各个灰评估指标的权重值,并给出了灰分辨系数的赋值方法。计算结果表明了所提出的评估机制以及评估方法是合理的,也是有效的。3)为了量化评估雇员群体的信息安全遵从行为的整体态势,首先构建了信息安全遵从行为熵模型,但发现该模型不能区分某些序数型数据分布所对应的遵从整体态势。而采用灰熵均衡接近度计算方法对遵从整体态势进行量化存在同样的困难。因此,我们改进了熵模型和灰熵均衡接近度方法,计算了各小样本数据所对应的遵从均衡接近度和遵从行为离散熵,并分析验证了所提出的评估机制以及评估方法的合理性、有效性。本文所提出的信息安全遵从行为的正式控制机制,以及所获得的定性与定量结果可为信息安全管理者所采纳使用,以期实现对组织内部雇员的信息安全遵从行为的科学管理。