Adoção de medidas de segurança da informação: a influência das subunidades na conformidade organizacional

Abstract

A informação é considerada um ativo crítico e, para protegê-la, as organizações dispõem de uma série de medidas de Segurança da Informação previstas na literatura e recomendadas por normas, modelos e padrões utilizados por organizações de todo o mundo. A literatura sobre Segurança da Informação preconiza que as medidas devem ser adotadas com base nas necessidades identificadas para a organização, mas parte da literatura aponta que a adoção é determinada por pressões do ambiente no qual a organização está inserida. O determinismo das pressões do ambiente externo é limitado pela capacidade de a organização responder conforme seus próprios interesses e julgamentos, o que pode fazer com que fique em conformidade com os requisitos externos, mas também em não conformidade ou em uma conformidade apenas aparente. Este estudo parte do pressuposto de que a conformidade da organização com os requisitos externos de Segurança da Informação depende de como suas subunidades respondem às pressões do ambiente para investigar como essas respostas influenciam a conformidade da organização com os requisitos. Para isto, o trabalho envolveu a identificação das medidas de Segurança da Informação adotadas por uma organização, as pressões institucionais que as subunidades organizacionais sofrem, as medidas que as subunidades adotaram atendendo a essas pressões, suas respostas estratégicas e os efeitos dessas respostas sobre as medidas adotadas pela organização. A pesquisa teve abordagem qualitativa e compreendeu a análise de documentos e a realização de entrevistas semiestruturadas com gestores e profissionais de TI e Segurança da Informação da administração central e de 17 subunidades de uma organização. A análise dos dados foi realizada a partir de um elaborado com base na Teoria Institucional e na tipologia de respostas estratégicas às pressões institucionais, que permitiu sua categorização utilizando o NVivo 10. Os resultados mostram que as subunidades organizacionais respondem às pressões que recebem através de diferentes estratégias e atendendo aos seus próprios interesses e julgamentos sobre a eficiência e adequação das medidas de Segurança da Informação. A pesquisa mostrou também que as pressões para adoção de medidas formais, informais e técnicas não estão necessariamente associadas a respostas estratégicas específicas das subunidades organizacionais. Por fim, as respostas das subunidades às pressões que sofrem influenciam no nível de conformidade da organização com os requisitos de Segurança da Informação do ambiente externo.

Information is a critical asset, and organizations can use many information security measures prescribed in the literature and recommended by standards and models to protect it. Information Security literature recommends that adoption of information Security measures should be based on needs and risks identified for the organization, but part of the authors indicates that adoption is determined by pressures of the environment in which the organization is inserted. The determinism of external pressures is limited by organization‟s ability to respond to them according to its own interests and judgments. The organizational response to pressures has potential to make the organization non-comply or comply to external requirements, but compliance may be apparent. This study builds on the idea that the organization's compliance with external Information Security requirements depends on how its subunits respond to the pressures they receive. The research addresses the influence of the subunit's strategic responses on organization's compliance with the external requirements. Based on Institutional Theory, the research included the identification of the Information Security measures adopted by the organization, the institutional pressures on the organizational subunits, the Information Security measures adopted by subunits in response to these pressures, their strategic responses and the effects of these responses on the organization's Information Security measures. The research had a qualitative approach and involved the analysis of documents and semi-structured interviews with IT and Information Security managers and professionals of the organization's headquarters and 17 of its subunits. Data analysis used a framework based on the Institutional Theory and on the typology of strategic responses to institutional pressures, which allowed its categorization using NVivo 10 software. The results show that the organizational subunits respond to the pressures they receive through different strategies and attending to their own interests and judgments about the efficiency and adequacy of the Information Security measures. The research also showed that the pressures to adopt formal, informal and technical information security measures do not result in different strategic responses of the organizational subunits. Finally, the subunit responses to the institutional pressures influence the level of compliance of the organization with the Information Security requirements of the external environment.