Cybersecurity management in organizations as a component of modern management systems: Integrating governance, risk, and continuous improvement

Cel badań i hipotezy/pytanie badawcze Głównym celem badania jest identyfikacja kluczowych czynników sukcesu w zakresie wdrażania ochrony zasobów cyfrowych w szerszych ramach ładu korporacyjnego. Badanie opiera się na hipotezie, że skuteczność ochrony cyfrowej jest znacznie wyższa w organizacjach, w których cyberbezpieczeństwo jest traktowane jako ryzyko strategiczne, a nie koszt techniczny. Metody badawcze Badanie opiera się na teorii systemów i perspektywie systemów społeczno-technicznych (STS), która postrzega cyberbezpieczeństwo jako interakcję między technologią, ludźmi i hierarchią organizacyjną. Procedura badawcza została przeprowadzona w trzech odrębnych etapach: systematyczny przegląd współczesnej literatury przedmiotu, analiza porównawcza międzynarodowych ram bezpieczeństwa (w szczególności ISO/IEC 27001 i NIST) oraz późniejsza synteza zintegrowanego czterowarstwowego modelu zarządzania. Metodologia opiera się na jakościowych metodach badawczych, a konkretnie na jakościowej analizie treści czasopism naukowych i standardów branżowych. Wykorzystane narzędzia badawcze obejmują standardowe arkusze ekstrakcji danych do kodowania tematycznego oraz ramy zintegrowanego modelu dojrzałości organizacyjnej (Capability Maturity Model Integration, CMMI) do oceny postępów organizacyjnych. Dzięki zastosowaniu tych narzędzi jakościowych w badaniu zidentyfikowano punkty przecięcia, w których kontrole techniczne stają się strategicznymi zasobami zarządzania, zapewniając, że powstały model jest zarówno teoretycznie uzasadniony, jak i praktycznie zastosowalny w nowoczesnych organizacjach. Główne wyniki Badania wykazały, że brak zaangażowania kadry kierowniczej oraz „silosowe” struktury IT stanowią główne przeszkody dla skutecznej ochrony, co doprowadziło do opracowania czteropoziomowego modelu integrującego zarządzanie, kompleksowe procesy, pomiar wydajności oraz ciągłe doskonalenie oparte na dojrzałości. Implikacje dla teorii i praktyki Teoretycznie badanie to przesuwa akademickie zainteresowanie z ochrony infrastruktury na zarządzanie cyberbezpieczeństwem, traktując decyzje dotyczące bezpieczeństwa jako podstawowe alokacje zasobów biznesowych. W praktyce nakazuje organizacjom integrację ryzyka cyfrowego z ramami zarządzania ryzykiem przedsiębiorstwa (ERM), priorytetowe traktowanie odporności cybernetycznej zamiast prostej prewencji oraz odejście od „papierowej” zgodności na rzecz funkcjonalnej kultury bezpieczeństwa.