安全经理也不是敌人

安全经理是其决策塑造安全措施并因此影响其组织中所有用户日常工作的员工。为了了解安全经理如何处理用户需求和行为，我们对来自大型德国公司的七名安全经理进行了半结构化访谈。我们的结果表明，由于缺乏将用户纳入安全开发过程的组织结构，安全经理无意中对用户形成了负面看法。他们对用户的不信任导致了创建用户无法以任何方式影响的技术安全措施。然而，正如先前的研究反复表明的那样，严格的安全部署会导致用户的沮丧和气馁，也会导致创造性的（但通常不安全的）安全规避方法。我们得出结论，为了打破这一恶性循环，安全经理需要能够促进系统性用户反馈的组织结构、方法和工具。