"令人困惑、不安全且混乱"——丹麦国防部门利益相关者网络安全心智模型差距映射

文献标题

"It's Confusing, Insecure, and Messy" -- Mapping the Gaps Between Stakeholders’ Cybersecurity Mental Models in the Danish Defence Sector

出版信息

• 主题领域: 丹麦国防部门中小企业的网络安全治理与利益相关者心理模型。
• 关键词: 网络安全，中小企业，心理模型，丹麦，国防部门，政策实施，利益相关者对齐，供应链安全，法规复杂性，跨部门协作。

背景与问题

• 问题/挑战: 政策制定者、政策推广者和政策实施者（中小企业）之间的网络安全心理模型不一致，阻碍了丹麦国防部门政策的有效转化和实施。
• 重要性: 中小企业占丹麦企业总数的99%，是国家经济和国防供应链的重要组成部分，但由于资源和专业知识有限，它们面临着不成比例的网络安全风险。
• 动机与相关研究: 以往研究主要集中于大型企业和个人用户行为，忽略了多利益相关者动态的理解，尤其是在像丹麦这样高信任度的环境中。本研究旨在探讨心理模型的不一致性如何影响网络安全治理和中小企业的准备情况。

解决方案

• 提出的方法: 通过定性研究绘制政策制定者（PMs）、政策推广者（PPs）和政策实施者（PIs）三类利益相关者的网络安全心理模型，识别差距并提出可操作的建议。
• 创新性:
  1. 首次对丹麦国防部门中PMs、PPs和PIs的网络安全心理模型进行实证绘制。
  2. 识别高信任环境中特有的结构性和文化因素，这些因素影响网络安全实践。
  3. 提出与中小企业现实相一致的治理框架调整建议，包括定制化的意识提升计划和法规简化。
• 程序与关键技术:
  • 组织了45名参与者的焦点小组讨论：包括6名政策制定者、11名政策推广者，以及来自12家中小企业的28名代表。
  • 使用归纳编码对访谈记录进行主题分析，识别对威胁、准备情况和责任感知的不一致性。
  • 开发了改进网络安全治理和利益相关者对齐的实际设计建议。

结果

• 具体发现:
  • 中小企业将网络安全视为一种财务负担，而政策制定者则将其视为战略投资。
  • 中小企业依赖非正式沟通和被动措施，仅有12家企业中的3家开展了正式培训计划。
  • 主要威胁包括网络钓鱼、勒索软件、内部威胁和供应链漏洞。
  • 法规复杂性（如NIS2合规性）使中小企业不堪重负，导致表面上的合规而非能力建设。
  • 丹麦的高数字化水平增加了脆弱性，形成了一个数字成熟度超越安全能力的悖论。
• 相较基线的优势:
  • 提供了在高信任文化背景下利益相关者不一致性的细致理解，与以往在低信任环境中的研究形成对比。
  • 为根据中小企业实际情况定制网络安全政策和干预措施提供了可操作的见解。
• 实验/评估:
  • 焦点小组围绕意识、威胁、培训和法规挑战等主题进行结构化讨论。
  • 参与者包括政策制定者、行业协会专家和丹麦国防部门的中小企业代表。
  • 数据通过三阶段编码过程分析，生成了23个主题类别和总体主题。
• 局限性与未来工作:
  • 由于文化特异性，研究的普适性有限，仅适用于丹麦。
  • 参与者性别比例失衡以及可能的选择偏差。
  • 未来研究应探索跨国比较、纵向研究以及NIS2对中小企业合规性的影响。

总结

本研究调查了丹麦国防部门中政策制定者、政策推广者和中小企业的网络安全心理模型，揭示了在威胁、责任和准备感知方面的显著不一致性。中小企业将网络安全视为合规成本，而政策制定者则强调其战略投资价值。法规复杂性和资源限制阻碍了中小企业实施有效措施。研究结果强调了定制化意识提升计划、简化合规框架以及跨部门协作的必要性，以弥合治理与实施之间的差距。这些见解为高信任环境下的网络安全政策设计提供了参考，并为未来关于利益相关者对齐和社会技术治理的研究奠定了基础。