Subjective norm in password selection

Abstract

Salasanoja käytetään yleisesti pääasiallisena todentamismenetelmänä ja siksi ne ovat näyttelevt suurta roolia käyttäjän tietoturvassa. Epäturvalliset salasanat voivat monin tavoin vaarantaa käyttäjän tietoturvan. Tässä tutkielmassa pyritään selvittämään miten subjektiiviset normit vaikuttavat käyttäjän salasanavalintaan. Subjektiivinen normi on osatekijä useissa käyttäytymistieteiden teorioissa ja sillä tarkoitetaan sosiaalisen ympäristön luomia odotuksia, joita yksilö kokee sekä tämän motivaatiota toimia näiden odotusen mukaisesti (Fishbein & Ajzen, 1975). Subjektiivisen normin merkitystä kyseenalaistettu (Ahtola 1976) ja sitä koskeva tutkimus on tuottanut vaihtelevia tuloksia (Sommestad et al. 2014). Tässä tutkielmassa tarkasteltiin subjektiivisten normien merkitystä salasanan valintaan kirjallisuuskatsauksella sekä tätä seuranneella käsitteellis-analyyttisellä tutkimuksmenetelmällä. Käsitteellis-analyyttisessä osiossa kirjallisuuskatsauksen löydöksiä analysoitiin kolmen erillisen skenaarion kautta. Tutkimuksessa ilmeni että subjektiivisten normien merkittävyys salasanan valintaa selittävänä osatekijänä on kyseenalainen. Aikaisempi tutkimusnäyttö sen merkityksestä on vaihtelevaa ja osittain ristiriitaista. Subjektiivisten normien merkitys näyttää riippuvan vahvasti myös asiayhteydestä sekä tilanteesta. Näistä seikoista johtuen tutkielman johtopäätöksissä todetaan että subjektiivinen normi voi joissain olosuhteissa vaikuttaa salasanan valintaan, mutta se ei useimmiten ole luotettavin tai merkittävin osatekijä.

Passwords play a significant role in users’ information security and serve as the primary means of authentication. Insecure choice of passwords can compromise information security in several ways. This study aimed to increase the understanding of how can subjective norm, a construct of several behavioural models and theories that has also been used to explain information security related behaviour, affect individuals’ selection of passwords. Subjective norm is defined a “perceived expectations of the specific referent individuals or groups, and by the person’s motivation to comply with those expectations”(Fishbein & Ajzen, 1975, p. 302). The use of subjective norm as a construct has been questioned (Ahtola, 1976) and the use of it in studies has yielded varying results (Sommestad et al. 2014). This paper studied the role of subjective norm in password selection by a literature review that considered the results of over 40 previous studies of which 10 were chosen for an in-depth examination. The literature review was followed by a conceptual analysis. In this phase the findings of the literature review were analysed in three different scenarios. This study found that the use of subjective norm as a construct and a predictor for password selection can be seen questionable due to varying and sometimes contradicting results in previous studies. The significance of subjective norm in password selection appeared to differ considerably depending on the context in which it was used. Therefore, this study concluded that while under certain circumstances subjective norm can be used to explain individuals’ selection of passwords, it is often not the relevant predictor.