Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

Stel je de digitale wereld voor als een enorme, bruisende stad waar elk gebouw een bedrijf is, elke weg een datakabel en elke burger een werknemer. In deze stad proberen onzichtbare monsters, genaamd "cyberdreigingen", constant binnen te dringen, schatten te stelen of chaos te veroorzaken. Lange tijd dachten stadsplanners (de tech-experts) dat de enige manier om de stad veilig te houden het bouwen van sterkere muren, het installeren van betere sloten en het inhuren van meer bewakers was. Maar ze realiseerden zich iets belangrijks: zelfs het sterkste kasteel valt als de mensen die er wonen niet geloven dat de muren echt zijn, of als ze denken dat de bewakers nutteloos zijn, of als ze het gevoel hebben dat de regels gewoon te irritant zijn om te volgen.

Hier komt een beroemd idee genaamd Protection Motivation Theory (Beschermingsmotivatie-theorie) in beeld. Zie dit als een mentale checklist die onze hersenen draaien wanneer we met gevaar worden geconfronteerd. Eerst vragen we: "Hoe erg zou het zijn als dit gebeurt?" (Threat Appraisal/Bedreigingsbeoordeling). Vervolgens vragen we: "Kan ik het stoppen? Is er een plan? Is het te veel werk?" (Coping Appraisal/Copingbeoordeling). Als het antwoord op het tweede deel "Ja, ik kan het aan" is, voelen we ons gemotiveerd om in actie te komen. Echter, de meeste studies hebben alleen gekeken naar hoe individuen over hun eigen wachtwoorden of het klikken op links denken. Ze hebben niet echt gevraagd: "Hoe voelt een werknemer zich over de bekwaamheid van het gehele bedrijf om deze monsters te bestrijden?"

Dit is waar het NIST Cybersecurity Framework om de hoek komt kijken, wat een soort gigantisch, officieel blauwdruk is voor hoe een stad haar veiligheid moet beheren. Het vertelt je niet wat je moet voelen, maar het somt de zes taken op die een stad moet uitvoeren: Besturen (regels maken), Identificeren (zwakke plekken vinden), Beschermen (muren bouwen), Detecteren (indringers opsporen), Reageren (terugvechten) en Herstellen (de puinhoop opruimen). De grote vraag die dit onderzoeksteam wilde beantwoorden was: Kunnen we een instrument creëren om precies te meten hoe werknemers de veiligheid van hun stad waarnemen, gebruikmakend van de mentale checklist van de Protection Motivation Theory, maar ingevuld met de specifieke taken uit de NIST-blauwdruk?

---

Het Grote Idee: Een Nieuwe "Veiligheidsradar" voor Bedrijven

Een team van onderzoekers uit Turkije besloot een nieuw instrument te bouwen, dat zij de Organizational Cybersecurity Perception Scale (PM-OCPS) noemen. Je kunt deze schaal zien als een "Veiligheidsradar" die bedrijven kunnen gebruiken om de gedachten van hun werknemers te scannen. In plaats van te vragen: "Weet je hoe je je wachtwoord moet wijzigen?" (wat een technische test is), vraagt deze radar: "Geloof je dat het beveiligingsteam van jouw bedrijf daadwerkelijk goed is in het stoppen van hackers?" en "Heb je het gevoel dat de beveiligingsregels te irritant zijn om te volgen?"

De onderzoekers begonnen met een enorme stapel van 46 vragen. Ze vroegen een panel van experts — psychologen, cybersecurity-professionals en taalwizards — om deze te beoordelen. De experts zeiden: "Deze zijn goed, maar laten we ze duidelijker maken en de overbodige zaken eruit halen." Na wat polijsten en een kleine testronde met 47 mensen, brachten ze de lijst terug naar 29 vragen, en uiteindelijk naar een compacte, 27-vragen tellende "Veiligheidsradar".

Wat Ze Vonden: De Zes Zuilen van Veilig Voelen

Toen ze deze nieuwe radar testten op twee grote groepen mensen (519 mensen voor de eerste test, en 400 andere mensen om de resultaten te bevestigen), ontdekten ze dat werknemers niet zomaar één groot gevoel over veiligheid hebben. In plaats daarvan verdelen hun hersenen het gevoel in zes duidelijke zuilen. Het is alsof je zes verschillende sensoren op een ruimteschip hebt, die elk een ander systeem controleren:

1. Perceived Severity (Waargenomen Ernst): "Hoe eng is het monster?" Dit meet hoe erg werknemers denken dat een cyberaanval voor het bedrijf zou zijn (bijv. geld verliezen, aangeklaagd worden of reputatieschade oplopen).
2. Perceived Vulnerability (Waargenomen Kwetsbaarheid): "Hoe waarschijnlijk is het dat het monster ons krijgt?" Dit gaat over hoe blootgesteld werknemers denken dat de digitale systemen van hun bedrijf zijn voor aanvallen.
3. Preventive Efficacy (Preventieve Effectiviteit): "Werken de schilden?" Dit meet of werknemers geloven dat de preventieve maatregelen van het bedrijf (zoals software-updates, training en sloten) daadwerkelijk effectief zijn in het stoppen van aanvallen voordat ze beginnen.
4. Intervention Capability (Interventiebekwaamheid): "Kunnen we terugvechten?" Dit is een gloednieuwe ontdekking! De onderzoekers ontdekten dat werknemers onderscheid maken tussen het "voorkomen" van een aanval en het "bestrijden" ervan. Deze zuil meet of werknemers vertrouwen op het vermogen van het bedrijf om een aanval te detecteren, er snel op te reageren en te herstellen na de schade.
5. Self-Efficacy (Eigen Effectiviteit): "Kan ik helpen?" Dit gaat niet over het bedrijf, maar over de werknemer zelf. Voelen zij zich in staat om een phishing-e-mail te herkennen of een probleem te melden?
6. Response Cost (Reactiekosten): "Is het te veel moeite?" Dit meet hoe irritant of belastend werknemers de beveiligingsregels vinden. Als de regels aanvoelen als een zware rugzak, gaat deze score omhoog en zijn mensen minder geneigd ze op te volgen.

Het "Aha!"-Moment: Preventie versus Interventie

Het meest opwindende deel van deze studie is wat er gebeurde met het onderdeel "Response Efficacy" van de oorspronkelijke theorie. In de oude dagen dachten wetenschappers dat "Response Efficacy" gewoon één grote emmer was: "Werken de veiligheidsmaatregelen?". Maar deze studie liet zien dat in een bedrijf die emmer eigenlijk splitst in twee aparte emmers: Preventie (de boeven bij de poort stoppen) en Interventie (de rommel opruimen als ze toch binnen zijn).

De onderzoekers suggereren dat werknemers slim genoeg zijn om te weten dat een goed slot op de deur (Preventie) iets heel anders is dan een goed noodteam dat klaarstaat om een brand te blussen als deze uitbreekt (Interventie). Deze splitsing is cruciaal, omdat een bedrijf uitstekend kan zijn in het ene, maar verschrikkelijk in het andere, en deze nieuwe radar kan het verschil aangeven.

Hoe Goed is de Radar?

De onderzoekers waren zeer zorgvuldig. Ze gokten niet zomaar; ze hebben de cijfers geanalyseerd.

• Betrouwbaarheid: De radar is consistent. Als je de test vandaag doet en over drie weken opnieuw, krijg je bijna dezelfde score (een stabiliteitsscore van .882).
• Nauwkeurigheid: De zes zuilen die ze vonden zijn echt en onderscheidend. De data lieten zien dat "Preventie" en "Interventie" inderdaad verschillende gevoelens zijn, en niet slechts herhalingen van hetzelfde.
• Praktijkcheck: Ze testten de radar op twee verschillende groepen: werknemers van sportinstellingen en personeel van universiteiten. Ze ontdekten dat mensen die cybersecuritytraining hadden gevolgd, zich zelfverzekerder voelden (hogere Self-Efficacy) en de regels minder irritant vonden (lagere Response Cost). Mensen die op de hoogte waren van een specifieke "Cybersecurity Unit" binnen hun bedrijf, vonden dat het bedrijf beter in staat was om terug te vechten (hogere Intervention Capability). Dit bewijst dat de radar daadwerkelijk de verschillen oppikt in hoe mensen zich voelen.

Wat Dit Betekent (en Wat Het Niet Betekent)

Deze nieuwe schaal is een krachtig instrument voor organisaties. Het vertelt je niet of een computer besmet is met een virus; het vertelt je of de mensen zich veilig en bekwaam voelen. Als een bedrijf deze radar gebruikt en ontdekt dat de score voor "Intervention Capability" laag is, weten ze dat ze hun werknemers moeten laten zien hoe goed hun noodteam werkt. Als de "Response Cost" hoog is, weten ze dat hun beveiligingsregels te ingewikkeld zijn en vereenvoudigd moeten worden.

De onderzoekers zijn echter eerlijk over de beperkingen. Deze studie werd uitgevoerd in Turkije, voornamelijk bij werknemers in de publieke sector, dus we weten niet zeker of de radar op exact dezelfde manier werkt bij een bank in New York of een fabriek in Tokio. Bovien vroeg deze studie alleen aan mensen hoe zij zich voelden; ze hebben hen niet geobserveerd om te zien of ze de regels ook daadwerkelijk opvolgen. Maar het suggereert sterk dat de manier waarop werknemers over de beveiliging van hun bedrijf denken, een enorme puzzelstuk is die we tot nu toe hebben gemist.

Kortom, dit artikel heeft een nieuwe, zesdelige kompas gebouwd om bedrijven te helpen navigeren door de menselijke kant van cybersecurity. Het laat zien dat je om de digitale stad veilig te houden, wel sterke muren moet bouwen, maar dat je ook moet zorgen dat de burgers geloven dat de muren werken, dat ze vertrouwen hebben in het noodteam en dat ze niet het gevoel hebben dat de veiligheidsregels te zwaar zijn om te dragen.