Security Culture and Its Boundary Conditions Explain Effective and Accountable Information Security Management in Vietnam
Diese Untersuchung von 358 vietnamesischen Organisationen zeigt, dass Sicherheitskultur und -kompetenz als ein kritischer Mechanismus dienen, durch den das Engagement der obersten Managementebene und externer institutioneller Druck ein effektives Informationssicherheitsmanagement vorantreiben, während gleichzeitig deutlich wird, dass die Ressourcenkapazität direkt wirkt und diese Dynamiken je nach Organisationsreife und Teamgröße signifikant variieren.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der modernen Welt operiert fast jedes Unternehmen als Teil eines riesigen, unsichtbaren Netzes. Eine Fabrik in einem Land verlässt sich auf Software aus einem anderen, die wiederum auf Daten aus einem dritten Land angewiesen ist. Diese digitale Vernetzung bedeutet, dass ein Sicherheitsversagen in einem kleinen Unternehmen Wellen schlagen und eine globale Lieferkette stören kann. Jahrzehntelang war die Standardantwort auf dieses Problem der Bau höherer digitaler Mauern. Organisationen kauften teure Software, installierten Firewalls und hakten Kästchen ab, um nachzuweisen, dass sie Sicherheitsstandards erfüllten. Doch da die Cyber-Bedrohungen komplexer geworden sind, haben Experten erkannt, dass Technologie allein nicht ausreicht. Eine Festung mit einer verschlossenen Tür ist nutzlos, wenn die Menschen darin das Tor versehentlich offen stehen lassen. Die neue Herausforderung besteht nicht nur darin, bessere Werkzeuge zu kaufen, sondern zu verstehen, wie Organisationen tatsächlich arbeiten, wie ihre Führungskräfte agieren und wie die Menschen in ihnen jeden Tag über Sicherheit denken.
Ein Team von Forschern von Universitäten in Vietnam setzte sich zum Ziel, genau zu verstehen, wie diese verschiedenen Teile zusammenpassen. Sie wollten wissen, was ein Unternehmen wirklich sicher macht. Ist es die Menge an Geld, die für Technologie ausgegeben wird? Ist es der Druck durch staatliche Regulierungsbehörden? Oder ist es die Einstellung der Unternehmensführung? Um die Antwort zu finden, befragten sie 358 Organisationen in ganz Vietnam, die von kleinen Startups bis hin zu großen Staatsunternehmen reichten. Sie befragten Manager und Sicherheitsmitarbeiter zu deren Budgets, der Einbindung der Führungsebene, dem Druck, den sie verspürten, und dazu, wie gut die Mitarbeiter tatsächlich die Sicherheitsregeln befolgten. Das Ziel war es zu sehen, welche Faktoren tatsächlich zu weniger Sicherheitsverletzungen und besserer Geschäftsleistung führten, und herauszufinden, ob es eine einzige Formel gab, die für alle funktionierte.
Die Studie deckte eine überraschende Wahrheit darüber auf, wie Sicherheit funktioniert. Viele Menschen nehmen an, dass ein Unternehmen von Natur aus eine starke Sicherheitskultur entwickelt, wenn es über ein großes Budget und ein Expertenteam verfügt. Die Forscher fanden heraus, dass dies nicht korrekt ist. Geld und Personal zu haben, änderte nicht automatisch die Denkweise oder das Handeln der Mitarbeiter. Stattdessen zeigte die Studie, dass eine starke Sicherheitskultur primär durch zwei Dinge aufgebaut wird: das sichtbare Engagement der obersten Führungsebene und den Druck durch externe Kräfte wie Regulierungsbehörden und Geschäftspartner. Wenn Führungskräfte Sicherheit aktiv priorisieren und wenn Unternehmen ein echtes Bedürfnis verspüren, externe Standards zu erfüllen, beginnen die Mitarbeiter, Sicherheit als gemeinsamen Wert zu verinnerlichen. Dieser Wandel in der Denkweise, den die Forscher als Sicherheitskultur und -kompetenz bezeichnen, ist das, was tatsächlich die Wirksamkeit vorantreibt. Es ist die Brücke, die das Versprechen einer Führungskraft oder die Regel eines Regulators in realen Schutz verwandelt.
Während Geld und Technologie die Kultur nicht aufbauten, waren sie dennoch wichtig, nur auf eine andere Weise. Die Daten zeigten, dass das Verfügen über die richtigen Ressourcen, wie etwa qualifiziertes Personal und fortschrittliche Werkzeuge, die Sicherheitsergebnisse direkt verbesserte. Ein Unternehmen mit exzellenter Technologie konnte eine Bedrohung sofort stoppen, selbst wenn seine Mitarbeiter noch nicht vollständig von der Wichtigkeit der Sicherheit überzeugt waren. Dies bedeutet, dass es zwei unterschiedliche Wege zur Sicherheit gibt. Ein Weg ist kulturell, wobei Führung und externer Druck das menschliche Verhalten formen, um eine belastbare Organisation zu schaffen. Der andere Weg ist mechanisch, wobei Ressourcen für unmittelbaren, greifbaren Schutz sorgen. Die Studie fand heraus, dass die effektivsten Organisationen oft beides nutzten, aber sie konnten sich nicht allein auf Ressourcen verlassen, um eine kaputte Kultur zu reparieren.
Die Forscher entdeckten auch, dass es nicht den einen „besten“ Weg gibt, sicher zu sein. Die Faktoren, die am meisten zählen, ändern sich je nach Größe und Alter der Organisation. In kleineren Unternehmen mit sehr kleinen Sicherheitsteams war das Engagement des obersten Chefs der kritischste Treiber für die Kultur. In größeren Organisationen mit größeren Teams wurde der externe Druck durch den Markt und die Regulierungsbehörden zur dominierenden Kraft. Ähnlich verhielten sich jüngere Unternehmen stärker auf externen Druck, während ältere, etablierte Firmen sich mehr auf ihre interne Führung verließen, um Sicherheitsstandards einzuhalten. Das bedeutet, dass eine Strategie, die für einen riesigen, jahrzehntealten Konzern funktioniert, bei einem kleinen, neuen Startup völlig scheitern kann. Die Studie nutzte fortgeschrittene Methoden, um zu zeigen, dass es mehrere, gleichermaßen valide Kombinationen aus Führung, Ressourcen und Druck gibt, die zu einem hochkompetitiven und sicheren Unternehmen führen können.
Letztendlich legt diese Forschung nahe, dass der Aufbau einer sicheren Organisation nicht darin besteht, die teuerste Checkliste zu kaufen. Es geht darum zu verstehen, dass Sicherheit eine menschliche und organisatorische Fähigkeit ist, nicht nur eine technische. Geld kann die Werkzeuge kaufen, aber es kann nicht die Denkweise kaufen. Diese Denkweise kommt von Führungskräften, denen es wichtig ist, und von einem Geschäftsumfeld, das sie einfordert. Für Organisationen, die mit der Sicherheit kämpfen, ist die Lektion klar: Werfen Sie nicht einfach mehr Geld auf das Problem. Schauen Sie stattdessen darauf, wie die Führung kommuniziert und wie die Organisation auf die Welt um sie herum reagiert. Indem sie sich auf diese menschlichen und relationalen Elemente konzentrieren, können Unternehmen eine Verteidigung aufbauen, die so belastbar ist wie die digitalen Netzwerke, auf die sie angewiesen sind.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.