De flesta säkerhetsincidenter börjar inte med teknik. De börjar med människor, vardagsbeslut och organisatoriska förutsättningar. Men trots stora utbildningsinsatser ser många organisationer samma utmaningar återkomma: Medarbetare klickar på fel länkar, rutiner följs inte och säkerhet upplevs ofta som något som läggs ovanpå det ordinarie arbetet. Samtidigt ökar kraven på organisationers förmåga att hantera risk.
HR kan täppa till gapet mellan att veta och att göra
De flesta människor vet mer än de omsätter i praktisk handling. Traditionella utbildningar ger ofta ett kortsiktigt kunskapslyft men begränsad effekt på beteenden. Vi som arbetar med det som brukar kallas awareness inom cybersäkerhet vet att ökad medvetenhet bara är början och att det krävs mycket mer för att nya beteenden ska bli en del av vardagen. För problemet är sällan brist på kunskap. Problemet är att organisationen inte hjälper människor att omsätta kunskapen i vardagen. Och här spelar HR en nyckelroll. Den gamla slitna devisen ”det måste vara lätt att göra rätt” kommer aldrig att bli verklighet om inte arbetsrutiner och digitala verktyg hänger ihop och utgår från slutanvändarna.
Säkerhet är i grunden en kulturfråga
Men för att säkrare beteenden ska bli verklighet räcker det inte heller bara med system och rutiner. Beteenden formas av sociala normer, ledarskap, konsekvenser och organisatoriska förutsättningar. Det här kräver att organisationen jobbar med lärande, mening och den sociala och fysiska miljön för att minska friktion och öka motivation.
Egentligen är inte säkerhetskultur så annorlunda från andra kulturfrågor som HR arbetar med. Eller som någon erfaren säkerhetsexpert sa någon gång: ”Vi behöver ingen säkerhetskultur. Vi behöver en säker företagskultur.”
Klokt tycker vi. Och är kommer också frågan om psykologisk trygghet in: vågar människor rapportera misstag, ställa frågor och be om hjälp när något känns fel?
Här finns ytterligare ett gap som behöver täppas till. Det mellan IT och HR. Olika perspektiv gör det ofta svårt att skapa en ömsesidig förståelse och det finns en stor potential med att IT:s data kan ge värdefulla signaler om var organisationen utsätts för risk och var rutiner eller verktyg skapar friktion. Men den typen av information måste användas med tydligt syfte och respekt för medarbetarnas integritet. Fel utnyttjat blir det övervakning, rätt utnyttjat ett bra HR-stöd.
Vad ska vi egentligen mäta?
Många organisationer mäter genomförda utbildningar, men betydligt färre mäter om beteenden faktiskt ändras. FOFO (Fear Of Finding Out), rädslan för att ta reda på hur det faktiskt ser ut är utbredd. Likaså risken med att bara mäta aktiviteter i ett LMS. Det är såklart alltid bättre att någon gått klart en utbildning än att de inte gjort det, men det viktigaste måttet är inte hur många som genomfört utbildningen, utan om organisationen gjort en förflyttning i rätt riktning.
Även här sitter IT på en mängd outnyttjade datapunkter som, återigen, rätt utnyttjat kan ge oss en mycket bättre och viktigare förståelse för hur vår digitala arbetsmiljö och beteenden ser ut i verkligheten.
Vad kan vi göra redan idag? Hur skapar vi ett lärande som faktiskt minskar risk?
Fortfarande är det för många organisationer som ser lärandet som ett event. När vi egentligen vet att lärande är en process. Framför allt när det handlar om att förändra beteenden långsiktigt. Med ett återkommande lärande, med små nudges och insatser över tid kan organisationer att bygga säkrare vanor utan att skapa en ”kurs-trötthet”.
Det här måste vi göra om vi vill höja golvet och skapa gemensamma organisationskulturer. En av de största myterna som finns när det gäller de fantastiska smörgåsbord av utbildningar som går att erbjuda via ett LMS är att ”folk gör sina utbildningar när dom har tid”. Sanningen är att vi inte har tid. Eller åtminstone inte tar oss tiden.
Eller att vi inte har lust. Vi som arbetar med cybersäkerhet - ett ämne som ingen någonsin vaknar upp och tänker att de ska förkovra sig inom, vet vi behöver använda oss av ett lärande som våra medarbetare får till sig utan att de har bett om det.
Det i sin tur ställer såklart krav på utbildningens innehåll. Kort, koncist och en sak i taget. Speciellt när det gäller komplexa ämnen.
HR behöver ta plats i säkerhetsarbetet. Inte som en teknisk säkerhetsfunktion. Men HR behöver driva de mänskliga och organisatoriska förutsättningarna för säkerhet. Då skapar vi också en lärandekultur som stärker säkerheten. En säkerhet som både börjar och slutar med oss människor.
Av: Monika Kullberg, psykolog och tidigare Cybersecurity Culture Manager på Sandvik Group, och Joakim Hejestad, senior rådgivare inom organisatoriskt lärande på Junglemap.
