دیدگاه کارکنان درباره حفاظت اطلاعات در یک شرکت انرژی چندملیتی: یافته‌های یک مطالعه اکتشافی و پیامدهای انسانی-سازمانی

خلاصه سریع برای خواننده

• مطالعه اکتشافی در یک شرکت انرژی چندملیتی در سعودی شامل تحلیل ۸۷ نظر کتبی کارکنان و ۲۴ مصاحبه نیمه‌ساختاریافته بود.
• پنج تم اصلی شناسایی شدند: احساس آسیب‌پذیری، مسئولیت فردی، فرهنگ امنیتی سازمانی، تضاد بین عوامل فنی و انسانی، و شکاف‌های دانشی و آموزشی.
• یافته کلیدی این است که آگاهی از تهدید همیشه به رفتار محافظتی منتهی نمی‌شود؛ عوامل سازمانی و ادراک فردی میانجی‌گر این رابطه‌اند.
• مطالعه نشان می‌دهد برای بهبود حفاظت اطلاعات باید استراتژی‌های فنی با رویکردهای انسانی-سازمانی ترکیب شوند.
• محدودیت‌ها شامل تک‌مکانی بودن، ماهیت کیفی و امکان جانبداری انتخابی یا اجتماعی بودن پاسخ‌هاست؛ این نتایج تعمیم‌پذیری آماری ندارند.

مقدمه

با افزایش تهدیدهای سایبری و پیچیدگی زیرساخت‌های حیاتی، حفاظت از اطلاعات سازمانی به یکی از اولویت‌های راهبردی و منابع انسانی تبدیل شده است. سرمایه‌گذاری‌های فنی (دیوارآتش، رمزنگاری، سامانه‌های تشخیص نفوذ) بخش مهمی از دفاع هستند اما پژوهش‌های اخیر نشان می‌دهند که بعد انسانی—نگرش‌ها، دانش، و رفتار کارکنان—نقش کلیدی در موفقیت یا شکست محافظت اطلاعات دارد. مقاله مورد بحث در PLOS One (۲۰۲۶) یک بررسی اکتشافی در یک شرکت انرژی چندملیتی در عربستان سعودی انجام داده و تلاش کرده است با بهره‌گیری از نظریه انگیزه حفاظتی (Protection Motivation Theory، PMT) دید کارمندان نسبت به حفاظت اطلاعات را روشن کند.

چرا این موضوع مهم است؟

سازمان‌هایی که زیرساخت‌های حیاتی را اداره می‌کنند، پیامدهای نفوذ اطلاعاتی می‌تواند فراتر از ضرر مالی باشد و امنیت فیزیکی، محیط زیست و خدمات عمومی را تهدید کند. شناخت عوامل انسانی که مانع یا تسهیل رفتارهای محافظتی می‌شوند، برای طراحی مداخلات مؤثر ضروری است. مطالعه حاضر با تمرکز بر دیدگاه کارکنان تلاش می‌کند ابعاد روانی‌اجتماعی این چالش را آشکار سازد.

روش‌شناسی مطالعه

این مطالعه از شیوه‌ای دوگانه و کیفی بهره برد: تحلیل محتوای ۸۷ نظر الکترونیکی کتبیِ متعلق به ۸۷ کارمند متمایز و انجام ۲۴ مصاحبه نیمه‌ساختاریافته با کارکنان تمام‌وقت در سطوح مختلف سازمان. چارچوب نظری مطالعه، نظریه انگیزه حفاظتی (PMT) بود که بر ادراک تهدید، ادراک کارآمدی (self-efficacy)، هزینه‌های پاسخ و نیت رفتاری تاکید دارد. تحلیل تماتیک سیستماتیک برای استخراج الگوها و موضوعات به کار رفت.

یافته‌های کلیدی

۱. احساس آسیب‌پذیری و آگاهی از تهدید

بسیاری از کارکنان تهدیدات سایبری را واقعی و بالقوه خطرناک توصیف کردند. اما شدت ادراک تهدید بین افراد متفاوت بود؛ برخی نفوذ را بعید می‌دانستند و برخی آن را احتمالی و جدی می‌دیدند.

۲. مسئولیت فردی و پاسخ‌دهی

برخی کارکنان مسئولیت حفظ اطلاعات را بخشی از شغل خود می‌دانستند، در حالی که دیگران آن را وظیفه واحدهای فناوری اطلاعات یا مدیریت می‌پنداشتند. تفاوت در درک مسئولیت با رفتارهای روزمره (مثلاً ذخیره امن فایل یا گزارش رخداد) مرتبط بود.

۳. فرهنگ امنیتی سازمانی

فرهنگ سازمانی به‌عنوان یک عامل تعیین‌کننده ظاهر شد: سازمان‌هایی که امنیت را به عنوان ارزش سازمانی ترویج می‌دادند، احتمال بیشتری داشت که رفتار محافظتی را مشاهده کنند. برعکس، جایی که امنیت به عنوان بار اضافی یا مانع تولید دیده می‌شد، تمایل کارکنان به رعایت کمتر بود.

۴. تضاد بین راهکارهای فنی و عوامل انسانی

کارکنان اغلب بر این نکته تاکید داشتند که راهکارهای فنی بدون حمایت از جنبه‌های انسانی ناکارآمدند. موضوعاتی مانند پیچیدگی رمزعبور، فرایندهای کند، یا عدم دسترسی مناسب به ابزارهای امن مانع رفتار محافظتی می‌شدند.

۵. شکاف‌های دانشی و آموزشی

کمبود آموزش‌های کاربردی دیده شد: آموزش‌های ارائه‌شده اغلب عمومی و تئوریک بودند و کارکنان به آموزش‌های عملی، سناریومحور و قابل استفاده در شرایط واقعی نیاز داشتند.

پارادوکس اصلی: آگاهی کافی نیست

نکته برجسته این بود که آگاهی از تهدید لزوماً به انجام رفتار محافظتی منجر نمی‌شود. این رابطه تحت تاثیر خودکارآمدی (اعتماد فرد به توانایی خود برای عمل محافظتی)، هزینه پاسخ (زمان، سختی، یا اختلال در کار) و ویژگی‌های فرهنگ سازمانی قرار داشت.

تحلیل بر اساس نظریه انگیزه حفاظتی (PMT)

نظریه PMT بیان می‌کند که افراد بر اساس ادراک از شدت تهدید، آسیب‌پذیری، مزیت رفتار حفاظتی و هزینه آن تصمیم می‌گیرند. یافته‌های این مطالعه با PMT هم‌راستا بود: حتی وقتی تهدید درک می‌شد، پایین بودن خودکارآمدی یا بالابودن هزینه‌های پاسخ مانع عمل می‌شد. این نشان می‌دهد مداخلات باید هم ادراک تهدید را هدف قرار دهند و هم توانمندسازی کارکنان و کاهش موانع عملی را در نظر بگیرند.

پیامدهای عملی برای مدیران و طراحان امنیت

برای سازمان‌هایی که می‌خواهند حفاظت اطلاعات را تقویت کنند، نتایج چند راهبرد مشخص پیشنهاد می‌کند:

• ترکیب آموزش فنی و رفتاری: آموزش‌ها باید حالت کاربردی، سناریوهای واقعی و تمرین‌های عملی داشته باشند نه صرفاً محتوای نظری.
• افزایش خودکارآمدی: با طراحی فرایندهای ساده‌تر، فراهم کردن ابزارهای کاربرپسند و بازخورد مثبت به کارکنان، اعتماد به توانایی خود برای محافظت افزایش می‌یابد.
• تقویت فرهنگ امنیتی: پیوند دادن رفتارهای محافظتی به ارزش‌های سازمانی، پاداش‌دهی مناسب و حمایت مدیریتی می‌تواند رفتارها را پایدارتر کند.
• کاهش هزینه‌های پاسخ: تسهیل دسترسی به ابزارهای امن، اتوماسیون گام‌های حفاظتی و بازطراحی فرایندها می‌تواند موانع عملی را کاهش دهد.
• ارزیابی ترکیبی: سنجش اثربخشی نباید فقط مبتنی بر آزمون‌های دانش باشد؛ رفتار واقعی، گزارش رخدادها و شاخص‌های سازمانی باید پایش شوند.

محدودیت‌ها و نکاتی که باید با احتیاط خواند

• این مطالعه یک مطالعه کیفی تک‌سازمانی در یک شرکت انرژی چندملیتی مستقر در عربستان سعودی بود؛ بنابراین قابلیت تعمیم آماری محدود است.
• نمونه‌ها شامل ۸۷ کامنت و ۲۴ مصاحبه بودند؛ داده‌ها بر گزارش‌های خودی مبتنی‌اند و احتمال سوگیری اجتماعی یا انتخابی وجود دارد.
• مطالعه بر ادراک‌ها و گزارش‌ها تمرکز کرد، رفتارهای واقعی (مثلاً داده‌های لاگ یا رفتار ورود به سامانه) مستقیماً مشاهده یا اندازه‌گیری نشدند.
• استفاده از چارچوب PMT مفید بود اما تنها یک تئوری است؛ عوامل سازمانی و سیستمی دیگر (اقتصادی، حقوقی، فناوری) نیز ممکن است نقش داشته باشند.
• زمینه جغرافیایی و صنعتی (صنعت انرژی در منطقه خاورمیانه) می‌تواند الگوها و اولویت‌هایی تولید کند که در سایر صنایع یا کشورها متفاوت باشد.

کاربرد بالینی و سازمانی

اگرچه موضوع مطالعه فنی-سازمانی است و مستقیماً یک پرسش پزشکی را نشانه نمی‌گیرد، پیامدهای آن برای نهادهای بهداشتی و مراکز درمانی نیز مهم است. بیمارستان‌ها و نظام‌های سلامت مانند شرکت‌های انرژی، زیرساخت‌های حساس دارند و نقش کارکنان در حفاظت از داده‌های بیماران حیاتی است. از این رو:

• مراکز درمانی باید آموزش‌های عملی و سناریومحور درباره حفاظت از اطلاعات بیماران ارائه کنند.
• برای کاهش خطاهای انسانی، فرایندها و ابزارها باید کاربرپسند و با بار عملیاتی کم طراحی شوند.
• پاسخ به رخدادهای امنیتی در حوزه سلامت باید شامل حمایت روانی از کارکنان و شفافیت در اطلاع‌رسانی به بیماران باشد.

این یافته برای بیمار چه معنایی دارد؟

اگر شما «بیمار» هستید یا به عنوان شهروند از خدمات سلامت استفاده می‌کنید، نکات زیر کاربردی‌اند:

• اطمینان از اینکه مراکز درمانی شما فرهنگ محافظت از اطلاعات را دنبال می‌کنند، به حفظ محرمانگی پرونده‌ها کمک می‌کند. پرسش درباره سیاست‌های حفاظت اطلاعات در مراکز سلامت امری منطقی است.
• نباید تنها به راهکارهای فنی اعتماد کرد؛ رفتار کارکنان (مانند نگهداری رمزعبور یا شیوه‌های گزارش‌دهی خطا) بر امنیت داده‌های شما تاثیر دارد.
• در صورت بروز افشای اطلاعات پزشکی، انتظار دارید سازمان پاسخ شفاف، برنامه پشتیبانی و اطلاع‌رسانی مناسب ارائه دهد؛ مطالعاتی مانند این نشان می‌دهند چنین سیاست‌هایی هنوز کامل نیستند و نیاز به تقویت دارد.

این بخش توصیه درمانی نیست، بلکه تبیینی از پیامدهای حفاظت اطلاعات برای کاربران خدمات سلامت است.

نظر تحریریه پزشک سایت

مطالعه ارائه‌شده تصویری مفید از بعد انسانی حفاظت اطلاعات در یک محیط حساس فراهم می‌کند. نتیجه‌گیری اصلی—یعنی اینکه آگاهی به تنهایی کافی نیست—با تجربه بالینی نیز همسو است: تغییر رفتار پیچیده است و نیازمند طراحی چندوجهی است. برای حوزه سلامت، این مطالعه یادآور اهمیت آموزش کاربردی، تسهیل فرایندها و توجه به سلامت روان کارکنان در زمان رخدادهای سایبری است. با این حال، از آنجا که تحقیق کیفی و محدود به یک سازمان است، باید نتایج را با احتیاط تعمیم داد و برای تصمیم‌گیری‌های سیاستی و بالینی به داده‌های تکمیلی اتکا کرد.

چه زمانی باید با پزشک مشورت کرد؟

اگرچه موضوع اصلی مطالعه امنیت اطلاعات است، پیامدهای روانی ناشی از رخدادهای اطلاعاتی می‌تواند سلامت فرد را متاثر کند. در موارد زیر مشورت با پزشک یا خدمات سلامت روان توصیه می‌شود:

• افزایش اضطراب، بی‌خوابی یا کاهش عملکرد روزانه پس از اطلاع از یک رخداد افشای اطلاعات یا تهدید سایبری.
• تجربه علائم فیزیکی مرتبط با استرس طولانی‌مدت (درد قفسه سینه، تنگی نفس، سردردهای مزمن) که جدیداً شروع شده‌اند.
• اگر نقش شغلی شما مستقیماً تحت تاثیر رخدادهای امنیتی قرار گرفته و این موضوع باعث افت شدید عملکرد یا مشکلات بین‌فردی شده است.

در چنین مواردی پزشک می‌تواند ارزیابی اولیه، راهکارهای مقابله‌ای و در صورت نیاز ارجاع به متخصص سلامت روان را فراهم کند.

پرسش‌های رایج

۱. آیا افزایش آگاهی کارکنان کافی است تا امنیت اطلاعات تضمین شود؟

خیر. آگاهی لازم است اما کافی نیست؛ توانمندسازی»، کاهش موانع عملی و فرهنگ سازمانی حمایتی نیز لازم‌اند.

۲. چه نوع آموزشی موثرتر است؟

آموزش‌های عملی، مبتنی بر سناریو و مرتبط با کار روزمره کارکنان، همراه با بازخورد و پیگیری اجرایی، اثربخش‌تر از آموزش‌های صرفاً اطلاعاتی‌اند.

۳. آیا این نتایج برای بیمارستان‌ها هم صدق می‌کند؟

جوانب انسانی حفاظت اطلاعات در همه سازمان‌ها اهمیت دارد. با این حال، جزئیات اجرا باید حسب نوع و پیچیدگی سازمان (مثلاً مراکز درمانی) تنظیم شود.

۴. چگونه می‌توان هزینه‌های پاسخ را کاهش داد؟

طراحی رابط‌های کاربری ساده، اتوماسیون گام‌های تکراری، فراهم کردن دسترسی به ابزارهای امن و ادغام امنیت در فرآیندهای کاری می‌تواند بار عملیاتی را کاسته و احتمال خطا را کاهش دهد.

۵. آیا مطالعات بیشتری لازم است؟

بله. نیاز به مطالعات مقایسه‌ای بین سازمانی، اندازه‌گیری رفتارهای واقعی و آزمایش مداخلات مبتنی بر شواهد وجود دارد.

جمع‌بندی کاربردی

این مطالعه اکتشافی نشان می‌دهد که برای بهبود امنیت اطلاعات کارکنان باید از رویکردی چندوجهی استفاده کرد که شامل افزایش آگاهی، ارتقای خودکارآمدی، کاهش موانع عملی و تقویت فرهنگ سازمانی است. تمرکز صرف بر فناوری بدون توجه به انسان‌ها ناکافی خواهد بود. سازمان‌ها—به‌ویژه در حوزه‌های حساس مانند انرژی و سلامت—باید آموزش‌های عمل‌محور، حمایت مدیریتی و طراحی فرایندهای کارآمد را در اولویت قرار دهند و اثربخشی این اقدامات را از طریق اندازه‌گیری‌های رفتاری و گزارش رخداد دنبال کنند.

منبع

Employee perspectives on safeguarding information: An exploratory study in a multinational energy corporation. PLOS One, 2026. DOI: https://doi.org/10.1371/journal.pone.0349656

مطالب این مقاله فقط برای افزایش آگاهی عمومی است و جایگزین تشخیص یا درمان پزشکی نیست. برای اطلاعات بیشتر، صفحه سیاست پزشکی و سلب مسئولیت پزشک سایت را بخوانید.