Security Culture and Its Boundary Conditions Explain Effective and Accountable Information Security Management in Vietnam
Deze studie van 358 Vietnamese organisaties toont aan dat beveiligingscultuur en -competentie dienen als een cruciaal mechanisme waardoor de toewijding van het topmanagement en externe institutionele druk effectief informatiebeveiligingsbeheer aansturen, terwijl het onthult dat de capaciteit van middelen direct werkt en dat deze dynamiek significant varieert op basis van de organisatiematuriteit en de teamgrootte.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de moderne wereld opereert bijna elk bedrijf als onderdeel van een uitgestrekt, onzichtbaar web. Een fabriek in het ene land is afhankelijk van software uit een ander land, die op zijn beurt weer afhankelijk is van gegevens uit een derde. Deze digitale onderlinge verbondenheid betekent dat een beveiligingsfout bij één klein bedrijf kan uitwaaieren tot een verstoring van een wereldwijde toeleveringsketen. Decennialang was het standaardantwoord op dit probleem het bouwen van hogere digitale muren. Organisaties kochten dure software, installeerden firewalls en vinkten vakjes aan om te bewijzen dat ze aan veiligheidsnormen voldeden. Maar naarmate cyberdreigingen complexer zijn geworden, hebben experts beseft dat technologie alleen niet genoeg is. Een fort met een vergrendelde deur is nutteloos als de mensen binnen per ongeluk de poort open laten staan. De nieuwe uitdaging gaat niet alleen over het kopen van betere tools, maar over het begrijpen van hoe organisaties daadwerkelijk werken, hoe hun leiders zich gedragen en hoe de mensen binnen hen elke dag over veiligheid denken.
Een team van onderzoekers van universiteiten in Vietnam zette zich in om precies te begrijpen hoe deze verschillende onderdelen in elkaar grijpen. Ze wilden weten wat een bedrijf werkelijk veilig maakt. Is het de hoeveelheid geld die aan technologie wordt uitgegeven? Is het de druk van overheidsinstanties? Of is het de houding van de leiders van het bedrijf? Om het antwoord te vinden, onderzochten zij 358 organisaties in Vietnam, variërend van kleine startups tot grote staatsbedrijven. Ze ondervroegen managers en beveiligingspersoneel over hun budgetten, de betrokkenheid van hun leiderschap, de druk die zij voelden van buitenaf, en hoe goed hun werknemers de veiligheidsregels daadwerkelijk opvolgden. Het doel was om te zien welke factoren daadwerkelijk leidden tot minder beveiligingsincidenten en betere bedrijfsprestaties, en om te ontdekken of er een enkele formule bestond die voor iedereen werkte.
De studie onthulde een verrassende waarheid over hoe beveiliging werkt. Veel mensen gaan ervan uit dat als een bedrijf een groot budget en een team van experts heeft, het vanzelf een sterke beveiligingscultuur zal ontwikkelen. De onderzoekers kwamen tot de conclusie dat dit onjuist is. Het hebben van geld en personeel veranderde niet automatisch hoe werknemers dachten of handelden. In plaats daarvan toonde de studie aan dat een sterke beveiligingscultuur voornamelijk wordt opgebouwd door twee zaken: de zichtbare toewijding van de top van het management en de druk van externe krachten zoals toezichthouders en zakenpartners. Wanneer leiders veiligheid actief prioriteit geven en wanneer bedrijven een oprechte behoefte voelen om aan externe standaarden te voldoen, beginnen werknemers beveiliging te internaliseren als een gedeelde waarde. Deze verschuiving in mindset, die de onderzoekers beveiligingscultuur en -bekwaamheid noemen, is wat de effectiviteit daadwerkelijk aanstuurt. Het is de brug die een belofte van een leider of een regel van een toezichthouder omzet in tastbare bescherming in de echte wereld.
Hoewel geld en technologie de cultuur niet opbouwden, waren ze nog steeds belangrijk, zij het op een andere manier. De gegevens toonden aan dat het hebben van de juiste middelen, zoals gekwalificeerd personeel en geavanceerde tools, de beveiligingsresultaten direct verbeterde. Een bedrijf met uitstekende technologie kon een dreiging onmiddellijk stoppen, zelfs als de werknemers nog niet volledig overtuigd waren van het belang van veiligheid. Dit betekent dat er twee verschillende paden naar beveiliging zijn. Eén pad is cultureel, waarbij leiderschap en externe druk het menselijk gedrag vormen om een veerkrachtige organisatie te creëren. Het andere pad is mechanisch, waarbij middelen zorgen voor directe, tastbare bescherming. De studie vond dat de meest effectieve organisaties vaak beide gebruikten, maar dat ze niet alleen op middelen konden vertrouwen om een gebrekkige cultuur te herstellen.
De onderzoekers ontdekten ook dat er geen enkele "beste" manier is om veilig te zijn. De factoren die het belangrijkst zijn, veranderen afhankelijk van de omvang en de leeftijd van de organisatie. In kleinere bedrijven met zeer kleine beveiligingsteams was de toewijding van de hoogste baas de meest cruciale drijfveer voor de cultuur. In grotere organisaties met grotere teams werd de externe druk van de markt en toezichthouders de dominante kracht. Op dezelfde manier reageerden jongere bedrijven sterker op externe druk, terwijl oudere, meer gevestigde bedrijven meer vertrouwden op hun interne leiderschap om de veiligheidsnormen te handhaven. Dit betekent dat een strategie die werkt voor een enorme, decennia oude corporatie, volledig kan falen voor een kleine, nieuwe startup. De studie gebruikte geavanceerde methoden om aan te tonen dat er meerdere, even geldige combinaties van leiderschap, middelen en druk zijn die kunnen leiden tot een zeer concurrerend en veilig bedrijf.
Uiteindelijk suggereert dit onderzoek dat het bouwen van een veilige organisatie niet gaat over het kopen van de duurste checklist. Het gaat erom te begrijpen dat beveiliging een menselijke en organisatorische capaciteit is, en niet alleen een technische. Geld kan de tools kopen, maar het kan de mindset niet kopen. Die mindset komt van leiders die om geven en van een zakelijke omgeving die daarom vraagt. Voor organisaties die worstelen met beveiliging is de les duidelijk: gooi niet alleen meer geld tegen het probleem aan. Kijk in plaats daarvan naar hoe het leiderschap communiceert en hoe de organisatie reageert op de wereld om zich heen. Door zich te richten op deze menselijke en relationele elementen, kunnen bedrijven een verdediging opbouwen die even veerkrachtig is als de digitale netwerken waarvan zij afhankelijk zijn.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.