Modelo de maturidade da cultura de segurança cibernética para uma organização pública

Abstract

O presente trabalho tem por objetivo avaliar o nível de maturidade da cultura de segurança cibernética no contexto organizacional. A metodologia de pesquisa adotada foi o design science research, com a coleta de dados realizada por meio de entrevistas semiestruturadas e survey. A pesquisa propôs a elaboração de um modelo de maturidade de cinco níveis e cinco dimensões que abordam aspectos sobre o conhecimento que os indivíduos têm sobre a segurança cibernética, quais as suas percepções sobre os protocolos e questões de segurança, como é o seu comportamento diante de ameaças e o uso que fazem dos recursos tecnológicos, quais as ações de conscientização são realizadas e como se dá o apoio e envolvimento da alta direção na promoção da cultura de segurança cibernética. Os resultados obtidos com a elaboração e aplicação do modelo de maturidade proposto apresentaram que a organização possui uma estrutura e processos estabelecidos para desenvolver a cultura de segurança, mas que existem lacunas no comportamento seguro dos funcionários, o envolvimento da alta direção na promoção da cultura de segurança precisa ser substancialmente aprimorado, são necessárias melhorias nas normas de segurança internas da organização e o programa de conscientização está estagnado. Acredita-se que o modelo de maturidade elaborado nesta pesquisa se constitui numa ferramenta para o aprimoramento da cultura de segurança cibernética nas organizações.

This study aims to analyze the level of maturity of cybersecurity culture in the organizational context. The research methodology adopted was design science research, with data collected through semi-structured interviews and surveys. The research proposed the development of a five-level maturity model with five dimensions that address aspects such as individuals' knowledge of cybersecurity, their perceptions of security protocols and issues, their behavior in the face of threats, their use of technological resources, the awareness actions being carried out, and the support and involvement of senior management in promoting a cybersecurity culture. The results obtained from the development and application of the proposed maturity model revealed that the organization has an established structure and processes to develop a security culture, but there are gaps in employees' secure behavior, the involvement of senior management in promoting the security culture needs substantial improvement, internal security policies require enhancements, and the awareness program is stagnant. It is believed that the maturity model developed in this research serves as a tool for improving the cybersecurity culture in organizations.