Security Culture and Its Boundary Conditions Explain Effective and Accountable Information Security Management in Vietnam
تُظهر هذه الدراسة التي شملت 358 منظمة فيتنامية أن ثقافة الأمن والكفاءة تعملان كآلية حاسمة من خلالها يدفع التزام الإدارة العليا والضغط المؤسسي الخارجي نحو إدارة فعالة لأمن المعلومات، بينما تكشف أن القدرة الموردية تؤثر بشكل مباشر، وأن هذه الديناميكيات تختلف اختلافاً كبيراً بناءً على النضج التنظيمي وحجم الفريق.
المؤلفون الأصليون:Hieu Trung Tran, Nguyen Trong Gia Nguyen, Khanh Ngoc Phuong Nguyen, Bao Nguyen Nhat Dang, Linh Thi Hai Tran, Long Nguyen Phi Duong, Cuong Hong Le, Uyen Le Tu Pham
المؤلفون الأصليون: Hieu Trung Tran, Nguyen Trong Gia Nguyen, Khanh Ngoc Phuong Nguyen, Bao Nguyen Nhat Dang, Linh Thi Hai Tran, Long Nguyen Phi Duong, Cuong Hong Le, Uyen Le Tu Pham
في العالم الحديث، تعمل كل شركة تقريباً كجزء من شبكة واسعة وغير مرئية. فالمصنع في بلد ما يعتمد على برمجيات من بلد آخر، والتي تعتمد بدورها على بيانات من بلد ثالث. هذا الترابط الرقمي يعني أن فشلاً أمنياً في شركة صغيرة واحدة يمكن أن يمتد ليؤدي إلى تعطيل سلاسل التوريد العالمية. لعقود من الزمن، كان الرد التقليدي على هذه المشكلة هو بناء جدران رقمية أعلى؛ حيث اشترت المؤسسات برمجيات باهظة الثمن، وثبّتت جدران حماية، واستوفت معايير السلامة لمجرد إثبات الامتثال. ولكن مع ازدياد تعقيد التهديدات السيبرانية، أدرك الخبراء أن التكنولوجيا وحدها لا تكفي. فالقلعة ذات الباب المغلق لا فائدة منها إذا ترك الأشخاص بداخلها البوابة مفتوحة عن طريق الخطأ. التحدي الجديد لا يقتصر فقط على شراء أدوات أفضل، بل يتعلق بفهم كيفية عمل المؤسسات فعلياً، وكيف يتصرف قادتها، وكيف يفكر موظفوها بشأن السلامة في كل يوم.
لقد وضع فريق من الباحثين من جامعات في فيتنام هدفاً لفهم كيفية ترابط هذه الأجزاء المختلفة معاً بدقة. أرادوا معرفة ما الذي يجعل الشركة آمنة حقاً. هل هو حجم الأموال المنفقة على التكنولوجيا؟ أم هو الضغط من الجهات التنظيمية الحكومية؟ أم هي توجهات قادة الشركة؟ ولإيجاد الإجابة، استقصوا 358 مؤسسة في جميع أنحاء فيتنام، تراوحت بين الشركات الناشئة الصغيرة والمؤسسات الكبيرة المملوكة للدولة. وقد سألوا المديرين وموظفي الأمن عن ميزانياتهم، ومدى مشاركة القيادة، والضغط الذي يشعرون به من الخارج، ومدى التزام موظفيهم فعلياً بقواعد السلامة. كان الهدف هو معرفة أي العوامل تؤدي فعلياً إلى تقليل الخروقات الأمنية وتحسين أداء الأعمال، واكتشاف ما إذا كانت هناك صيغة واحدة ناجحة للجميع.
كشفت الدراسة عن حقيقة مفاجئة حول كيفية عمل الأمن. يفترض الكثيرون أنه إذا امتلكت الشركة ميزانية ضخمة وفريقاً من الخبراء، فإنها ستطور طبيعياً ثقافة أمنية قوية. ووجد الباحثون أن هذا غير صحيح؛ فامتلاك المال والموظفين لم يغير تلقائياً طريقة تفكير الموظفين أو تصرفاتهم. بدلاً من ذلك، أظهرت الدراسة أن الثقافة الأمنية القوية تُبنى أساساً من خلال أمرين: الالتزام المرئي من القادة في أعلى الهرم، والضغط من القوى الخارجية مثل المنظمين وشركاء الأعمال. فعندما تضع القيادات السلامة كأولوية نشطة، وعندما تشعر الشركات بحاجة حقيقية لتلبية المعايب الخارجية، يبدأ الموظفون في استيعاب الأمن كقيمة مشتركة. هذا التحول في العقلية، والذي يسميه الباحثون "الثقافة والكفاءة الأمنية"، هو ما يقود الفعالية في الواقع. إنه الجسر الذي يحول وعد القائد أو قاعدة المنظم إلى حماية ملموسة في أرض الواقع.
وبينما لم تبنِ الأموال والتكنولوجيا تلك الثقافة، إلا أنها ظلت مهمة، ولكن بطريقة مختلفة. فقد أظهرت البيانات أن امتلاك الموارد المناسبة، مثل الموظفين المهرة والأدوات المتقدمة، يحسن النتائج الأمنية بشكل مباشر. فالشركة التي تمتلك تكنولوجيا ممتازة يمكنها إيقاف التهديد فوراً، حتى لو لم يكن موظفوها مقتنعين تماماً بأهمية السلامة بعد. وهذا يعني أن هناك مسارين متميزين للأمن: المسار الأول هو مسار ثقافي، حيث تشكل القيادة والضغط الخارجي السلوك البشري لخلق مؤسسة مرنة. والمسار الآخر هو مسار ميكانيكي، حيث توفر الموارد حماية ملموسة وفورية. ووجدت الدراسة أن المؤسسات الأكثر فعالية غالباً ما تستخدم كلا المسارين، لكنها لا تستطيع الاعتماد على الموارد وحدها لإصلاح ثقافة محطمة.
اكتشف الباحثون أيضاً أنه لا توجد طريقة واحدة "مثلى" لتكون آمناً. فالعوامل الأكثر أهمية تتغير اعتماداً على حجم المؤسسة وعمرها. ففي الشركات الصغيرة التي تمتلك فرق أمنية صغيرة جداً، كان التزام المدير الأعلى هو المحرك الأكثر حيوية للثقافة. أما في المؤسسات الكبيرة ذات الفرق الأكبر، فقد أصبح الضغط الخارجي من السوق والمنظمين هو القوة المهيمنة. وبالمثل، استجابت الشركات الناشئة (الأصغر سناً) بقوة أكبر للضغط الخارجي، بينما اعتمدت الشركات القديدة والأكثر عراقة على قيادتها الداخلية للحفاظ على معايير السلامة. وهذا يعني أن الاستراتيجية التي تنجح مع شركة ضخمة عريقة قد تفشل تماماً مع شركة ناشلة صغيرة. وقد استخدمت الدراسة أساليب متقدمة لإظهار أن هناك تركيبات متعددة وصحيحة بالتساوي من القيادة والموارد والضغط يمكن أن تؤدي إلى عمل تجاري تنافسي وآمن للغاية.
في النهاية، تشير هذه الدراسة إلى أن بناء مؤسسة آمنة لا يتعلق بشراء قائمة تدقيق الأكثر تكلفة. بل يتعلق بفهم أن الأمن هو قدرة بشرية وتنظيمية، وليس مجرد قدرة تقنية. يمكن للمال أن يشتري الأدوات، لكنه لا يستطيع شراء العقلية. وهذه العقلية تأتي من القادة الذين يهتمون ومن بيئة أعمال تتطلب ذلك. وبالنسبة للمؤسسات التي تعاني من أجل تحقيق الأمن، فإن الدرس واضح: لا تكتفوا بمجرد ضخ المزيد من الأموال في المشكلة. بدلاً من ذلك، انظروا إلى كيفية تواصل القيادة وكيفية استجابة المؤسسة للعالم من حولها. فمن خلال التركيز على هذه العناصر البشرية والعلائقية، يمكن للشركات بناء دفاع يتسم بالمرونة تماماً مثل الشبكات الرقمية التي تعتمد عليها.
ملخص تقني: الثقافة الأمنية وشروطها الحدية في فيتنام
بيان المشكلة وسياق البحث على الرغم من رقمنة سلاسل التوريد وتزايد تعقيد التهديدات السيبرانية، تتعامل العديد من المؤسسات مع أمن المعلومات مجرد قائمة تحقق للامتثال (مثل شهادة ISO/IEC 2701) بدلاً من كونه قدرة تنظيمية ديناميكية. هذا المنظور المتمحور حول الامتثال يفشل في تفسير سبب تحقيق مؤسسات ذات استثمارات تقنية متشابهة لنتائج أمنية متفاوتة للغاية. وبينما تدرس الأدبيات الحالية بشكل منفصل المنظور القائم على الموارد (RBV) — الذي يركز على الموارد الداخلية مثل الميزانية والخبرة — والنظرية المؤسسية — التي تركز على الضغوط الخارجية من المنظمين والأقران — هناك نقص في النماذج المتكاملة التي تشرح كيف تترجم هذه المسببات مجتمعة إلى فعالية إدارة أمن المعلومات (ISME). علاوة على ذلك، فإن الآلية التنظيمية المحددة التي تحول هذه المدخلات إلى ممارسة فعالة، وتحديداً الثقافة والكفاءة الأمنية (SCC)، نادراً ما تم نمذجتها كوسيط ضمن إطار هيكلي واحد. تعالج هذه الدراسة هذه الفجوات من خلال استقصاء أدوار قدرة الموارد (RC)، والتزام الإدارة العليا (TMC)، والضغط المؤسسي الخارجي (EIP) في تشكيل فعالية إدارة أمن المعلومات (ISME) من خلال الثقافة والكفاءة الأمنية (SCC)، مع فحص كيفية عمل النضج التنظيمي (حجم فريق الأمن ومدة الخدمة) كشرط حدي.
المنهجية استخدمت الدراسة تصميماً بحثياً كمياً قائماً على المسح استهدف 358 مؤسسة في فيتنام، وهي سوق ناشئة تشهد رقمنة سريعة وتفاوت في النضج الأمني.
جمع البيانات: تم إجراء استبيان مهيكل استهدف المديرين والموظفين الذين لديهم مسؤوليات أمنية مباشرة. وقِيست البناءات باستخدام مقاييس متعددة العناصر مقتبسة من الأدبيات الراسخة باستخدام مقياس ليكرت سباعي النقاط.
النهج التحليلي: استخدمت الدراسة استراتيجية تحليلية متعددة المراحل:
نمذجة المعادلات الهيكلية القائمة على التباين (CB-SEM): استُخدمت في برنامج AMOS مع تقدير الاحتمال الأقصى لاختبار المسارات المفترضة، والوساطة، والاعتدال.
اختبارات المتانة: استُخدمت طريقة "البوتستراب" (5,000 عينة إعادة تعيين) للتحقق من دلالة المسارات.
تحليل الشروط الحدية: أُجري اختبار التباين، واختبارات "تشو" (Chow tests)، والتحليل متعدد المجموعات (MGA) لمقارنة العلاقات الهيكلية عبر أحجام الفرق الأمنية (أقل من 5 مقابل 5 أو أكثر أعضاء) ومدة العمل التنظيمي (أقل من 10 سنوات مقابل أكثر من 10 سنوات).
التحليل التكويني: تم استخدام التحليل النوعي المقارن للمجموعات الضبابية (fsQCA) لتحديد المسارات المتكافئة (مجموعات متميزة مختلفة من المسببات) التي تؤدي إلى تنافسية عالية مقابل منخفضة للشركات، مما يكمل نتائج نموذج المعادلات الهيكلية المتماثل.
النتائج الرئيسية أظهر النموذج الهيكلي قوة تفسيرية قوية، حيث فسّر 69.5% من التباين في الثقافة والكفاءة الأمنية (SCC) و73.3% من التباين في فعالية إدارة أمن المعلومات (ISME).
مسببات الثقافة الأمنية: خلافاً للافتراض بأن الموارد هي التي تقود الثقافة، لم تتنبأ قدرة الموارد (RC) بشكل معنوي بالثقافة والكفاءة الأمنية (رفض الفرضية الأولى H1). وبدلاً من ذلك، كان التزام الإدارة العليا (TMC) والضغط المؤسسي الخارجي (EIP) هما المحركين الأساسيين للثقافة والكفاءة الأمنية (دعم الفرضيتين الثانية والثالثة H2 وH3)، مع كون الضغط المؤسسي الخارجي هو المتنبئ الأقوى (β=.587).
دوافع الفعالية: كانت الثقافة والكفاءة الأمنية (SCC) متنبئاً قوياً ومعنوياً لفعالية إدارة أمن المعلومات (ISME) (β=.393)، مما يؤكد دورها كآلية لتحويل القدرات.
الوساطة: أثر التزام الإدارة العليا (TMC) على فعالية إدارة أمن المعلومات (ISME) بشكل غير مباشر بالكامل تقريباً من خلال الثقافة والكفاءة الأمنية (فسر 74.88% من التباين)، دون وجود تأثير مباشر معنوي. كما أثر الضغط المؤسسي الخارجي (EIP) على فعالية إدارة أمن المعلومات (ISME) جزئياً من خلال الثقافة والكفاءة الأمنية (فسر 47.05% من التباين).
التأثيرات المباشرة: أثرت قدرة الموارد (RC) على فعالية إدارة أمن المعلومات (ISME) بشكل مباشر (β=.236) دون وساطة ذات معنى من خلال الثقافة، مما يشير إلى أن الموارد يمكن أن تحقق فعالية تشغيلية بشكل مستقل عن التجذر الثقافي.
الاعتدال: لم يكن التفاعل بين الثقافة والكفاءة الأمنية (SCC) والضغط المؤسسي الخارجي (EIP) معنوياً (β=−.061,p=.065)، مما فشل في دعم الفرضية القائلة بأن الضغط الخارجي يعزز فعالية الثقافة الأمنية.
الشروط الحدية: وُجد تباين معنوي عبر المجموعات:
حجم الفريق الأمني: في الفرق الصغيرة (أقل من 5)، كان التزام الإدارة العليا (TMC) هو المحرك المهيمن للثقافة. وفي الفرق الأكبر، أصبح الضغط المؤسسي الخارجي (EIP) هو المحرك المهيمن، وتضاعف تأثير الثقافة والكفاءة الأمنية (SCC) على فعالية إدارة أمن المعلومات (ISME) تقريباً.
مدة العمل التنظيمي: تنبأ التزام الإدارة العليا (TMC) بالثقافة بشكل معنوي فقط في المؤسسات الناضجة (أكثر من 10 سنوات)، بينما كان الضغط المؤسسي الخاري (EIP) هو المحرك الثقافي الأقوى في الشركات الناشئة.
المسارات التكوينية (fsQCA): أدت خمسة تكوينات متميزة إلى تنافسية عالية للشركات. ومن الجدير بالذكر أن "مسار تعويض الثقافة الأمنية" أظهر أن الثقافة والكفاءة الأمنية القوية يمكن أن تعوض غياب قدرة الموارد، بينما ارتبطت التنافسية المنخفضة باستمرار بالغياب المشترك لاثنين على الأقل من المسببات.
المساهمات الرئيسية
التكامل النظري: تدمج الدراسة المنظور القائم على الموارد (RBV) والنظرية المؤسسية في نموذج واحد، موضحة أنه بينما تعتبر الموارد ضرورية للفعالية التشغيلية المباشرة، فإن القيادة والضغوط المؤسسية هي القوى الأساسية التي تغرس الثقافة الأمنية المطلوبة لتحقيق فعالية إدارية أوسع.
تحديد الآلية: تحدد الدراسة تجريبياً أن الثقافة والكفاءة الأمنية (SCC) هي "آلية تحويل القدرات" الحاسمة التي تحول التزام القيادة والضغوط المؤسسية إلى نتائج أمنية ملموسة، مما يميز بين الاستثمارات "الورقية" والمعايب السلوكية الراسخة.
التقدم المنهجي: من خلال الجمع بين التحليلات المتماثلة (SEM) وغير المتماثلة (fsQCA)، توضح الدراسة أن الإدارة الأمنية الفعالة ليست صيغة "مقاس واحد يناسب الجميع"، بل يمكن تحقيقها من خلال تكوينات تنظيمية متعددة ومتساوية الصلاحية (التكافؤ النهائي).
الأهمية والادعاءات تزعم الورقة أن الإدارة الفعالة والمسؤولة لأمن المعلومات ليست مجرد وظيفة للميزانية أو الامتثال التقني، بل هي قدرة تنظيمية متجذرة ثقافياً ومكونة وفقاً للظروف.
الأثر العملي: يجب على المديرين وصناع السياسات إعطاء الأولوية لظهور القيادة والتفاعل البناء مع الضغوط المؤسسية (اللوائح، متطلبات الشركاء) كرافعات أساسية لبناء الثقافة الأمنية، بدلاً من افتراض أن زيادة الميزانيات وحدها ستخلق منظمة واعية أمنياً. يجب أن تكون الاستراتيجيات متمايزة بناءً على النضج التنظيمي (حجم الفريق ومدة العمل).
أهداف التنمية المستدامة (SDGs): تتماشى النتائج مع الهدف 16.6 من أهداف التنمية المستدامة (مؤسسات فعالة وخاضعة للمساءلة وشفافة) من خلال إظهار أن التزام القيادة وحده غير كافٍ بدون الترجمة الثقافية؛ والهدف 9.1 من أهداف التنمية المستدامة (بنية تحتية موثوقة ومرنة) من خلال تسليط الضوء على دور الاستثمار المباشر في الموارد في المرونة التشغيلية؛ والهدف 8.2 من أهداف التنمية المستدامة (الإنتاجية) من خلال ربط التكوينات الأمنية بتنافسية الشركات.
القيود: يشير المؤلفون بتواضع إلى أن التصميم المستعرض (cross-sectional) يحد من الادعاءات السببية فيما يتعلق بالتطور الزمني للثقافة، وأن الاعتماد على البيانات المبلغ عنها ذاتياً قد يؤدي إلى تحيز محتمل. كما أن العينة خاصة بفيتنام، مما يحد من إمكانية تعميم النتائج على سياقات ثقافية أخرى.