📄 social_science

Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

Este estudo desenvolve e valida psicometricamente a Escala de Percepção de Cibersegurança Organizacional (PMT-OCPS), um instrumento de 27 itens e seis fatores fundamentado na Teoria da Motivação de Proteção e contextualizado pelo NIST CSF 2.0, que mede eficazmente as avaliações cognitivas dos funcionários sobre ameaças e capacidades de cibersegurança organizacional por meio de análises estatísticas robustas e de grupos conhecidos.

Autores originais: Soner Çankaya, Fatih Samet Atasoy, Muhammet Kusan, Mustafa Tolga Bayraktar, Hakan Can Altunay, Erkan Faruk Şirin

Publicado 2026-07-28

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Soner Çankaya, Fatih Samet Atasoy, Muhammet Kusan, Mustafa Tolga Bayraktar, Hakan Can Altunay, Erkan Faruk Şirin

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine o mundo digital como uma cidade enorme e movimentada onde cada edifício é uma empresa, cada estrada é um cabo de dados e cada cidadão é um funcionário. Nesta cidade, monstros invisíveis chamados "ameaças cibernéticas" estão constantemente tentando invadir, roubar tesouros ou causar o caos. Durante muito tempo, os planejadores urbanos (os especialistas em tecnologia) pensaram que a única maneira de manter a cidade segura era construir muros mais fortes, instalar trancas melhores e contratar mais guardas. Mas eles perceberam algo importante: até o castelo mais forte cai se as pessoas que vivem dentro dele não acreditarem que os muros são reais, ou se acharem que os guardas são inúteis, ou se sentirem que as regras são irritantes demais para seguir.

É aqui que entra uma ideia famosa chamada Teoria da Motivação de Proteção. Pense nela como um checklist mental que nossos cérebios executam quando enfrentamos um perigo. Primeiro, perguntamos: "Quão ruim seria se isso acontecesse?" (Avaliação da Ameaça). Depois, perguntamos: "Eu consigo impedir isso? Existe um plano? É trabalho demais?" (Avaliação do Enfrentamento). Se a resposta para a segunda parte for "Sim, eu consigo lidar com isso", nos sentimos motivados a agir. No entanto, a maioria dos estudos focou apenas em como os indivíduos se sentem em relação às suas próprias senhas ou ao clicar em links. Eles não perguntaram realmente: "Como um funcionário se sente em relação à capacidade de toda a empresa de combater esses monstros?"

Entra o Framework de Cibersegurança do NIST, que é como um grande projeto oficial de como uma cidade deve gerenciar sua segurança. Ele não diz o que você deve sentir, mas lista os seis trabalhos que uma cidade precisa realizar: Governar (criar regras), Identificar (encontrar os pontos fracos), Proteger (construir muros), Detectar (identificar os intrusos), Responder (contra-atacar) e Recuperar (consertar a bagunça). A grande questão que esta equipe de pesquisa queria responder era: Podemos criar uma ferramenta para medir exatamente como os funcionários percebem a segurança de sua cidade, usando o checklist mental da Teoria da Motivação de Proteção, mas preenchendo-o com os trabalhos específicos do blueprint do NIST?

A Grande Ideia: Um Novo "Radar de Segurança" para Empresas

Uma equipe de pesquisadores da Turquia decidiu construir uma nova ferramenta, que eles chamam de Escala de Percepção de Cibersegurança Organizacional (PMT-OCPS). Você pode pensar nesta escala como um "Radar de Segurança" que as empresas podem usar para escanear a mente de seus funcionários. Em vez de perguntar "Você sabe como mudar sua senha?" (que é um teste técnico), este radar pergunta: "Você acredita que a equipe de segurança da sua empresa é realmente boa em deter hackers?" e "Você sente que as regras de segurança são irritantes demais para seguir?".

Os pesquisadores começaram com uma enorme pilha de 46 perguntas. Eles pediram a um painel de especialistas — psicólogos, profissionais de cibersegurança e magos da linguagem — que revisassem as questões. Os especialistas disseram: "Estas são boas, mas vamos torná-las mais claras e cortar o excesso". Após algum polimento e um pequeno teste com 47 pessoas, eles reduziram a lista para 29 perguntas e, finalmente, para um "Radar de Segurança" enxuto de 27 perguntas.

O Que Eles Descobriram: Os Seis Pilares de Sentir-se Seguro

Quando testaram este novo radar em dois grandes grupos de pessoas (519 pessoas para o primeiro teste e 400 pessoas diferentes para confirmar os resultados), descobriram que os funcionários não têm apenas um grande sentimento sobre segurança. Em vez disso, suas mentes dividem esse sentimento em seis pilares distintos. É como ter seis sensores diferentes em uma nave espacial, cada um verificando um sistema diferente:

Gravidade Percebida: "Quão assustador é o monstro?" Isso mede o quão ruim os funcionários acham que um ataque cibernético seria para a empresa (ex: perder dinheiro, ser processado ou arruinar sua reputação).
Vulnerabilidade Percebida: "Qual a probabilidade de o monstro nos pegar?" Trata-se de quão expostos os funcionários sentem que os sistemas digitais de sua empresa estão para ataques.
Eficácia Preventiva: "Os escudos funcionam?" Isso mede se os funcionários acreditam que as medidas preventivas da empresa (como atualizações de software, treinamento e trancas) são realmente eficazes para deter ataques antes que comecem.
Capacidade de Intervenção: "Podemos lutar contra isso?" Esta é uma descoberta inédita! Os pesquisadores descobriram que os funcionários distinguem entre "prevenir" um ataque e "combater" um. Este pilar mede se os funcionários confiam na capacidade da empresa de detectar um ataque, responder a ele rapidamente e recuperar-se após o dano causado.
Autoeficácia: "Posso eu ajudar?" Isso não é sobre a empresa; é sobre o funcionário. Eles se sentem capazes de identificar um e-mail de phishing ou relatar um problema?
Custo de Resposta: "É muito incômodo?" Isso mede o quão irritantes ou onerosas as regras de segurança são para os funcionários. Se as regras parecem uma mochila pesada, essa pontuação sobe e as pessoas são menos propensas a segui-las.

O Momento "Aha!": Prevenção vs. Intervenção

A parte mais emocionante deste estudo foi o que aconteceu com a parte de "Eficácia de Resposta" da teoria original. Antigamente, os cientistas pensavam que a "Eficácia de Resposta" era apenas um grande balde: "As medidas de segurança funcionam?". Mas este estudo mostrou que, em uma empresa, esse balde na verdade se divide em dois baldes separados: Prevenção (parar os vilões no portão) e Intervenção (lidar com a bagunça se eles entrarem).

Os pesquisadores sugerem que os funcionários são inteligentes o suficiente para saber que ter uma ótima tranca na porta (Prevenção) é diferente de ter uma ótima equipe de emergência pronta para apagar o fogo se ele começar (Intervenção). Essa divisão é crucial porque uma empresa pode ser ótima em um e terrível no outro, e este novo radar pode fazer a distinção.

Quão Bom é o Radar?

Os pesquisadores foram muito cuidadosos. Eles não apenas adivinharam; eles rodaram os números.

Confiabilidade: O radar é consistente. Se você fizer o teste hoje e novamente daqui a três semanas, obterá quase a mesma pontuação (um índice de estabilidade de .882).
Precisão: Os seis pilares que encontraram são reais e distintos. Os dados mostraram que "Prevenção" e "Intervenção" são, de fato, sentimentos diferentes, e não apenas a mesma coisa repetida.
Verificação no Mundo Real: Eles testaram o radar em dois grupos diferentes: funcionários de instituições esportivas e funcionários universitários. Descobriram que pessoas que haviam feito treinamento de cibersegurança sentiam-se mais confiantes (maior Autoeficácia) e achavam as regras menos irritantes (menor Custo de Resposta). Pessoas que conheciam uma "Unidade de Cibersegurança" específica em sua empresa sentiam que a empresa era melhor em combater ataques (maior Capacidade de Intervenção). Isso prova que o radar realmente capta diferenças reais na forma como as pessoas se sentem.

O Que Isso Significa (e o Que Não Significa)

Esta nova escala é uma ferramenta poderosa para as organizações. Ela não diz se um computador está infectado por um vírus; ela diz se as pessoas se sentem seguras e capazes. Se uma empresa usa este radar e descobre que sua pontuação de "Capacidade de Intervenção" é baixa, ela sabe que precisa mostrar aos seus funcionários como funciona sua equipe de resposta a emergências. Se a pontuação de "Custo de Resposta" for alta, ela sabe que suas regras de segurança são complicadas demais e precisam ser simplificadas.

No entanto, os pesquisadores são honestos sobre os limites. Este estudo foi realizado na Turquia, principalmente com trabalhadores do setor público, portanto, não sabemos com certeza se o radar funciona exatamente da mesma forma em um banco em Nova York ou em uma fábrica em Tóquio. Além disso, este estudo apenas perguntou às pessoas o que elas sentiam; não as observou para ver se elas realmente seguiam as regras. Mas, ele sugere fortemente que como os funcionários pensam sobre a segurança de sua empresa é uma peça enorme do quebra-cabeça que estivemos perdendo.

Em suma, este artigo construiu uma bússola de seis partes para ajudar as empresas a navegar pelo lado humano da cibersegurança. Ele mostra que, para manter a cidade digital segura, você precisa construir muros fortes, mas também precisa garantir que os cidadãos acreditem que os muros funcionam, confiem na equipe de emergência e não sintam que as regras de segurança são pesadas demais para carregar.

Resumo Técnico: Desenvolvimento e Validação da Escala de Percepção de Cibersegurança Organizacional (PMT-OCPS)

Problema de Pesquisa
Os instrumentos de medição de cibersegurança existentes concentram-se predominantemente na conscientização individual, conformidade, intenções comportamentais ou conhecimento técnico. Existe uma lacuna significativa em ferramentas psicometricamente validadas que avaliem as avaliações cognitivas mais amplas dos funcionários sobre os processos de cibersegurança organizacionais. Especificamente, a literatura atual carece de um instrumento fundamentado na Teoria da Motivação de Proteção (PMT) que avalie como os funcionários percebem a severidade das ameaças organizacionais, a vulnerabilidade institucional, as capacidades protetivas, as capacidades de gestão de incidentes e os custos percebidos das práticas de segurança. Além disso, embora o NIST Cybersecurity Framework (CSF) 2.0 forneça um vocabulário operacional robusto para a cibersegurança organizacional, ele não foi efetivamente integrado como uma referência contextual para modelos de medição psicológica sem confundir funções operacionais com construtos psicológicos latentes.

Metodologia
O estudo empregou um processo rigoroso de desenvolvimento e validação de escala em múltiplas etapas, envolvendo duas amostras independentes de diversos setores institucionais na Turquia (educação, saúde, banca, administração pública, etc.):

Desenvolvimento de Itens: Um conjunto inicial de 46 itens foi gerado com base na PMT (avaliação de ameaça e de enfrentamento) e contextualizado utilizando as funções do NIST CSF 2.0 (Governar, Identificar, Proteger, Detectar, Responder, Recuperar). O NIST CSF 2.0 serviu estritamente como uma referência contextual para o conteúdo dos itens, não como uma estrutura de fator latente.
Validação por Especialistas: Um painel de oito especialistas avaliou os itens quanto à validade de conteúdo, resultando em um formulário piloto de 32 itens.
Estudo Piloto: Um piloto com 4 de 47 participantes avaliou a clareza e a estabilidade temporal (teste-reteste), levando à remoção de três itens e resultando em um formulário de 29 itens.
Análise Fatorial Exploratória (EFA): Realizada em uma amostra de $n=519$ . A adequação dos dados foi confirmada (KMO = .872). A fatoração por eixo principal com rotação Direct Oblimin revelou uma estrutura de seis fatores.
Análise Fatorial Confirmatória (CFA): Realizada em uma amostra independente de $n=400$ . O modelo foi refinado através da remoção do Item 10 (baixa carga) e da especificação de covariâncias de erro teoricamente justificadas dentro dos construtos latentes.
Verificações de Validade e Confiabilidade: O estudo avaliou a consistência interna (alfa de Cronbach), confiabilidade composta (CR), variância média extraída (AVE), validade discriminante (razões HTMT) e viés de método comum (teste de fator único de Harman e VIF de colinearidade total).
Validade de Grupos Conhecidos: Análises adicionais foram realizadas em dois subgrupos específicos (instituições esportivas públicas, $n=188$ ; funcionários universitários, $n=113$ ) para testar se a escala diferenciava grupos com base em treinamento de cibersegurança, consciência de incidentes e consciência de políticas.

Principais Resultados

Estrutura Fatorial: A escala final, a Escala de Percepção de Cibersegurança Organizacional (PMT-OCPS), consiste em 27 itens distribuídos em seis dimensões:
1. Severidade Percebida (Avaliação de Ameaça)
2. Vulnerabilidade Percebida (Avaliação de Ameaça)
3. Eficácia Preventiva (Avaliação de Enfrentamento)
4. Capacidade de Intervenção (Avaliação de Enfrentamento)
5. Autoeficácia (Avaliação de Enfrentamento)
6. Custo de Resposta (Avaliação de Enfrentamento)
Ajuste do Modelo: O modelo de CFA modificado demonstrou bons índices de ajuste ( $\chi^2/df = 1.761$ , RMSEA = .044, CFI = .952, IFI = .953).
Confiabilidade: A consistência interna foi de boa a excelente, com o alfa de Cronbach variando de .762 a .862 para as subdimensões e .863 para a escala total. Os valores de confiabilidade composta (CR) variaram de .727 a .866.
Validade:
- Validade Convergente: Sustentada por valores de CR > .70. Os valores de AVE variaram de .480 a .532; embora duas dimensões (Vulnerabilidade Percebida e Eficácia Preventiva) estivessem ligeiramente abaixo do limiar de .50, os autores argumentam que a validade é mantida devido ao CR adequado e à coerência teórica.
- Validade Discriminante: As razões HTMT ficaram todas abaixo do limiar de .85, confirmando construtos distintos.
- Validade de Grupos Conhecidos: A escala diferenciou com sucesso os grupos. Por exemplo, funcionários com treinamento de cibersegurança reportaram maior autoeficácia e pontuações totais, enquanto aqueles cientes de incidentes anteriores reportaram maior severidade e vulnerabilidade percebidas.
Diferenciação Teórica: Um achado crítico foi a diferenciação empírica da "Eficácia de Resposta" em duas dimensões distintas: Eficácia Preventiva (crença em medidas preventivas) e Capacidade de Intervenção (crença na capacidade da organização de detectar, responder e recuperar).

Principais Contribuições

Extensão Teórica: O estudo estende a PMT do nível individual de comportamentos de proteção para o nível organizacional, conceituando a percepção de cibersegurança organizacional como uma avaliação cognitiva multidimensional.
Integração Contextual: Integra com sucesso o NIST CSF 2.0 como um contexto operacional para a formulação de itens sem tratar o mesmo como um modelo latente concorrente, estabelecendo assim uma ponte entre a avaliação psicológica e os modelos de governança organizacional.
Desenvolvimento de Instrumento: Fornece o primeiro instrumento psicometricamente validado especificamente desenhado para medir as avaliações cognitivas dos funcionários sobre ameaças de cibersegurança organizacional e capacidades de enfrentamento institucional.
Medição Matizada: Ao distinguir entre capacidades preventivas e de intervenção, a escala oferece uma visão mais granular da percepção de segurança organizacional do que as ferramentas existentes que frequentemente confundem esses conceitos.

Significância e Alegações
Os autores afirmam que a PMT-OCPS oferece uma ferramenta teoricamente fundamentada para pesquisadores e organizações avaliarem a prontidão de cibersegurança centrada no ser humano. A escala é posicionada não como uma medida de conhecimento técnico, comportamento real ou maturidade organizacional, mas especificamente como uma medida de percepção. Os autores afirmam que a escala permite que as organizações diagnostiquem fraquezas percebidas em medidas preventivas, capacidades de resposta a incidentes e o ônus percebido das práticas de segurança.

O estudo conclui que a diferenciação da eficácia de resposta em dimensões preventivas e de intervenção é um avanço teórico significativo, sugerindo que, em ambientes organizacionais complexos, os funcionários avaliam a "eficácia" da segurança através de duas lentes distintas: a capacidade de prevenir incidentes e a capacidade de gerenciá-los quando ocorrem. Os autores mantêm uma postura modesta, observando que os achados são baseados em dados transversais de autorrelato da Turquia e que pesquisas futuras são necessárias para estabelecer a invariância de medida entre culturas e setores, bem como para testar a validade preditiva em relação aos comportamentos de segurança reais.