A Associação Entre a Divulgação e a Realização de Fatores de Risco de Segurança da Informação

As empresas frequentemente divulgam fatores de risco de segurança da informação em documentos públicos, como relatórios 10-K. As informações internas associadas às divulgações podem ser positivas ou negativas. Neste artigo, avaliamos como a natureza dos fatores de risco de segurança divulgados, considerados como representativos das informações internas da empresa sobre segurança da informação, está associada a anúncios de violações futuros reportados na mídia. Para isso, construímos um modelo de árvore de decisão, que classifica a ocorrência de futuras violações de segurança com base no conteúdo textual dos fatores de risco de segurança divulgados. O modelo é capaz de associar características da divulgação com anúncios de violações em cerca de 77% das vezes. Além disso, exploramos o conteúdo dos fatores de risco de segurança usando técnicas de mineração de texto para fornecer uma interpretação mais rica dos resultados. Os resultados mostram que os fatores de risco de segurança divulgados com temas de mitigação de risco têm menos probabilidade de estarem relacionados a anúncios de violações futuras. Também investigamos como o mercado interpreta a natureza dos fatores de risco de segurança da informação em relatórios anuais. Descobrimos que a reação do mercado após o anúncio de uma violação de segurança é diferente dependendo da natureza da divulgação anterior. Assim, nosso artigo contribui para a literatura em segurança da informação e lança luz sobre como os participantes do mercado podem interpretar melhor os fatores de risco de segurança divulgados em relatórios financeiros no momento em que os relatórios financeiros são liberados.