Security Culture and Its Boundary Conditions Explain Effective and Accountable Information Security Management in Vietnam
这项针对358家越南机构的研究表明，安全文化与能力是高层管理承诺和外部制度压力驱动有效信息安全管理的重要机制，同时也揭示了资源能力具有直接作用，且这些动态机制会因组织成熟度和团队规模的不同而产生显著差异。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
在现代世界中，几乎每家企业都在一个庞大且无形的网络中运作。一个国家的工厂依赖于另一个国家的软件，而后者又依赖于第三个国家的数据。这种数字互联意味着，一个小公司的安全漏洞可能会产生连锁反应，从而扰乱全球供应链。几十年来，解决这一问题的标准答案是建造更高的数字围墙。各组织购买昂贵的软件，安装防火墙，并为了证明自己符合安全标准而进行各种例行检查。但随着网络威胁变得日益复杂，专家们意识到，仅靠技术是不够的。如果内部人员不小心把门敞开，那么拥有一扇锁着的门的堡垒也是徒劳的。新的挑战不仅在于购买更好的工具，还在于理解组织是如何实际运作的、领导者是如何表现的，以及组织内部的人每天是如何思考安全的。
来自越南大学的一个研究小组着手研究这些不同的组成部分究竟是如何相互契合的。他们想知道，究竟是什么让一家公司变得安全。是投入的技术资金量？是来自政府监管机构的压力？还是公司领导者的态度？为了找到答案，他们对越南 358 家组织进行了调查，范围涵盖了从小型初创企业到大型国有企业。他们询问了经理和安全人员关于预算、领导层参与度、感受到的外部压力以及员工实际遵守安全规则的情况。其目标是观察哪些因素实际上能导致更少的安全违规和更好的业务表现，并探索是否存在一个适用于所有人的单一公式。
这项研究揭示了一个关于安全运作方式的令人惊讶的真相。许多人认为，如果一家公司拥有庞大的预算和专家团队，它自然会形成强大的安全文化。研究人员发现事实并非如此。拥有资金和人员并不一定会自动改变员工的思想或行为。相反，研究表明，强大的安全文化主要由两件事构建：高层领导的显性承诺以及来自监管机构和业务伙伴等外部力量的压力。当领导者积极优先考虑安全，并且当公司感到有真实的必要去满足外部标准时，员工就会开始将安全内化为一种共同的价值观。这种心态的转变——研究人员称之为“安全文化与胜任力”——才是真正驱动有效性的因素。它是将领导者的承诺或监管者的规则转化为现实世界保护的桥梁。
虽然资金和技术并不能构建文化，但它们仍然很重要，只是作用方式不同。数据表明，拥有合适的资源（如技术熟练的人员和先进的工具）可以直接改善安全成果。一家拥有卓越技术的公司即使在员工尚未完全认同安全重要性时，也能立即阻止威胁。这意味着存在两条截然不同的安全路径。一条是文化路径，即通过领导力和外部压力来塑造人类行为，从而创建一个具有韧性的组织；另一条是机械路径，即通过资源提供直接且切实的保护。研究发现，最有效的组织通常两者兼用，但它们不能仅仅依靠资源来修复破碎的文化。
研究人员还发现，不存在一种单一的“最佳”安全方式。起作用的因素会根据组织的规模和年龄而变化。在安全团队非常小的较小型公司中，最高领导者的承诺是最关键的文化驱动力。在拥有较大团队的规模较大的组织中，来自市场和监管机构的外部压力则成为了主导力量。同样，年轻的公司对外部压力反应更为强烈，而更成熟、更资深的机构则更多地依赖内部领导力来维持安全标准。这意味着，适用于大型、数十年历史企业的策略，对于小型、新兴的初创公司可能会完全失效。该研究利用先进的方法表明，存在多种同样有效的领导力、资源与压力的组合方式，可以引导企业走向高度竞争且安全的发展道路。
最终，这项研究表明，建立一个安全的组织并不在于购买最昂贵的清单。它在于理解安全是一种人类和组织的能力，而不仅仅是技术能力。金钱可以买到工具，但买不到心态。这种心态来自于关心细节的领导者，也来自于要求这种态度的商业环境。对于在安全问题上挣扎的组织来说，教训是明确的：不要只是向问题投入更多的资金。相反，应当观察领导层如何沟通，以及组织如何应对周围的世界。通过关注这些人类和关系层面的元素，企业可以建立起一种与其所依赖的数字网络一样具有韧性的防御体系。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。