Att väl fungerande säkerhetskulturer måste bygga på tillit och inte på rädsla är helt avgörande och vi har tidigare lyft det när det gäller phishingsimuleringar. Det är vad som händer efter en genomförd phishing-träning som är det som avgör om medvetenheten och säkerheten stärks i organisationen. Vi kan inte ensidigt fokusera på antalet som klickar eller ej.
Många efterlyser att människan sätts i centrum för teknikutvecklingen. Det går såklart att instämma i, men när det gäller våra mänskliga beteenden så har den snabba digitaliseringen redan till stora delar haft användarvänligheten i fokus. Deviser som att “det ska vara lätt att göra rätt” har såklart sina poänger, men det har också bidragit till att det många gånger är minst lika lätt att göra fel.
Att saker skall gå fort och vara lätta att utföra är en av de stora poängerna med digitaliseringen, men också en av de största bakomliggande orsakerna till den höga andelen mänskliga misstag bakom dataintrång.
Att skuld- och skambelägga organisationens medarbetare är helt kontraproduktivt. Men det innebär inte att vi inte ska ta tag i våra IT- och säkerhetsbeteenden. För oss är det alldeles uppenbart att den snabba digitaliseringen måste vägas upp med ett användarbeteende där vi människor att stannar upp, tänker till, vågar fråga och rapporterar om någonting verkar misstänkt.
Och där är vi inte idag.
Det fingerpekande som många varnar för är ju helt förkastligt – så vida det inte leder till insatser. Då kan det tvärtom vara väldigt bra att peka på vem som behöver vad och hur mycket av beteendeförändrande träning för att utveckla ett säkerhetsbeteende som minskar sårbarheten. Många av våra kunder efterlyser både rollbaserade och mer individanpassade utbildningar för att bättre klara av sin “human risk assessment”.
Många efterlyser med rätta att "vi rustar medarbetarna på rätt sätt genom utbildning så att de kan försvara sig mot externa cyberhot. Vi instämmer såklart i detta, men menar att vi också måste börja diskutera vad som är “rätt sätt”. Vi är övertygade om att det är ett kollektivt lärande med organisatoriska effekter som är vägen framåt. Gärna rollbaserat. Gärna anpassat efter olika individeras behov, men alltid med hela organisationens säkerhetskultur för ögonen. För oavsett om vi människor pekas ut som den största säkerhetsrisken eller ej, så är en sak säker: ingen mänsklig brandvägg är starkare än dess svagaste länk.
Det här är en redigerad version av ett debattinlägg i Aktuell Säkerhet.
Läs hela artikeln på Aktuell Säkerhet här.
