Knowledge creation in cybersecurity threat modeling workshops : case study

Abstract

Understanding all the levels of the whole technology stack of an organizational entity, all its interfaces, and how it works in practice is often challenging. Still, organizations need to be capable to examine their digital operations from different angles whenever needed. To cope with the fact that they might not have adequate and up-to-date knowledge easily available, organizations have developed various approaches to pull together required knowledge of their digital operations for certain purposes.

This research focused on examining knowledge creation as part of one of those approaches, cybersecurity threat modeling workshops. The objective of this qualitative case study was to form an understanding about the enablers of knowledge creation during threat modeling, and especially how the nature of knowledge and different dimensions of social capital may impact knowledge creation in such context.

Research material consisted of three cases, each representing a threat modeling workshop having different scope and participants. Empirical data was gathered by observing the threat modeling workshops and interviewing the respective facilitators and owners for each case. Various knowledge management theories and concepts were used both for designing the research as well as reflecting the observations and findings.

The study identified several elements and aspects that were considered to impact knowledge creation both before and during threat modeling workshops, and which could be linked to the existing knowledge management theories and concepts. Additionally, it produced some practical observations that can be used for developing threat modeling practices going forward.

Organisaatioiden on usein haastavaa ymmärtää digitaalisten järjestelmiensä muodostamaa kokonaisuutta, sen rajapintoja sekä käytännön toimintaa. Tästä huolimatta niiden on pystyttävä tarkastelemaan digitaalisia toimintojaan eri näkökulmista aina tarpeen mukaan. Organisaatiot ovatkin kehittäneet erilaisia tapoja muodostaa tietoa erilaisista järjestelmäkokonaisuuksistaan myös niissä tilanteissa, joissa tämänkaltainen tieto ei välttämättä olisi valmiiksi saatavilla.

Tämän tutkimuksen tavoitteena oli tarkastella tiedon luomiseen vaikuttavia tekjöitä edellä mainitun kaltaisessa tilanteessa: kyberturvallisuuteen liittyvien uhkamallinnustyöpajojen yhteydessä. Tutkimus toteutettiin laadullisena tapaustutkimuksena, ja sen tavoitteena oli ymmärtää, mitkä tekijät edesauttavat tiedon luomista uhkamallinnuksen yhteydessä sekä erityisesti sitä, onko organisaation sosiaalisella pääomalla tai tiedon luonteella mahdollisesti vaikutusta tiedon luomiseen.

Tutkimusmateriaali koostui kolmesta eri uhkamallinnustyöpajasta, joista kukin käsitteli eri sisältöä eri osallistujien voimin. Empiirinen tutkimustieto kerättiin tarkkailemalla työpajojen kulkua sekä haastattelemalla kunkin työpajan ohjaajaa sekä omistajaa. Tietojohtamisen teorioita ja konsepteja käytetiin abduktiivisesti tutkimuksen eri vaiheissa.

Tutkimus auttoi tunnistamaan sekä työpajatyöskentelyyn että työpajoja edeltäneisiin valmisteluihin liittyviä, tiedon luomiseen vaikuttavia elementtejä ja näkökulmia sekä löytämään yhteyksiä näiden elementtien ja tietojohtamisen teorioiden ja konseptien välillä. Näiden tutkimuslöydösten lisäksi tutkimus tuotti muutamia käytännöllisiä huomioita uhkamallinnuskäytäntöjen kehittämiseksi.