Phân tích 33 cuộc phỏng vấn (10 quản lý IS, 23 người dùng) và tài liệu nội bộ như poster, tin nhắn intranet.

   - Phân loại 3 ngân hàng theo cách tiếp cận ISA:

     • Alpha: tương tác cao, sử dụng nhân vật mô phỏng, quiz, phản hồi người dùng → hiệu quả cao

     • Beta: dựa trên sự kiện thực tế, truyền thông qua intranet, mô phỏng sự cố giả

     • Gamma: nhấn mạnh trách nhiệm, đánh giá định kỳ, danh sách đen người vi phạm

   - Đề xuất 5 giả thuyết (propositions) về thiết kế ISA hiệu quả:

     • P1: Kết hợp đa dạng các biện pháp ISA giúp tăng tuân thủ ISP

     • P2: Chiến lược dài hạn và chu trình PDCA cải thiện hành vi bảo mật

     • P3: Giao tiếp hai chiều, phi kỹ thuật giúp tăng nhận thức và tuân thủ

     • P4: Phân nhóm người dùng (trụ sở vs chi nhánh) giúp ISA phù hợp hơn

     • P5: ISA nên nhắm đến kỹ thuật trung hòa phổ biến ở từng nhóm người dùng

   - Các kỹ thuật trung hòa phổ biến: “biện hộ vì nghĩa vụ cao hơn”, “bào chữa vì cần thiết”, “phủ nhận hậu quả”.

   - Người dùng chi nhánh thường vi phạm do áp lực công việc và ưu tiên phục vụ khách hàng.

   - Người dùng trụ sở thường không nhận thức rõ vai trò của mình trong bảo mật thông tin.

   - Alpha bank là ví dụ điển hình về thiết kế ISA hiệu quả: truyền thông phi kỹ thuật, phản hồi người dùng, sử dụng nhân vật mô phỏng, quiz, đánh giá định kỳ.