Vilka följer inte säkerhetsreglerna - och varför?

Det finns utmärka regler för informationssäkerhet. Men de
måste följas för att de ska fungera. Nu ska FOI studera vilka som inte följer
reglerna och varför.

Inom säkerhetskritiska verksamheter, som Försvarsmakten
eller kärnkraftverk, följs oftast reglerna om informationssäkerhet. Men i annan
privat och offentlig verksamhet så följs de sällan, om nu användarna
överhuvudtaget känner till dem.

Därför har FOI fått i uppdrag av MSB att under fyra år kartlägga
säkerhetsmedvetande i svenska företag och organisationer, ett forskningsprojekt
som görs i samverkan med statsvetare, beteendepsykologer och företagsekonomer.

– Vår del i forskningen är att djupdyka i frågan
om vad som får folk att följa regler och bestämmelser, och att hitta orsaker
till att de inte gör det, berättar Teodor Sommestad, förste forskare vid FOI.

Projektet startar med att en enkät sänds ut till företag och
enskilda personer. Svaren ska bland annat användas för att undersöka hur stark
kopplingen är mellan allmän företagskultur och informationssäkerhetskultur och
om människors efterlevnad av regler hänger samman med deras hotbild och den
informationssäkerhetskultur de lever i.

Tidigare metastudier visar på några tydliga tendenser. En är
att folk faktiskt tror att de följer reglerna.

– Frågar man människor i en organisation om de
följer reglerna svarar de ofta ja. Frågar man säkerhetsavdelningen skakar de
bara på huvudet, säger Teodor Sommestad.

En annat är att it-hoten nonchaleras eftersom de sällan riktas
mot en själv.

– Många anser att de inte behöver skydd eftersom
de inte jobbar med något hemligt. Men i it-världen skyddar man ofta någon
annan, inte sällan arbetsgivaren. Så när barnen får tanka ner en film på
jobbdatorn, utsätter man alla på kontoret för fara.

En tredje är att människor kräver rationella regler som ses
som meningsfulla och ger en rimlig arbetsinsats.

– Här faller ett tungt ansvar på
säkerhetsavdelningarna, som ibland är dåliga på att förklara problemen, många
gånger väljer de standardförklaringar som de inte själva har tänkt igenom. Jag
är säkerhetsexpert och kan se hur man ibland är onyanserat sträng i vissa
avseenden, men släpphänt i andra.

Om fyra år, när projektet är över, hoppas Teodor Sommestad
att FOI ska ha bra koll på hur man kan få datoranvändarna att arbeta säkrare.

– Det kommer antagligen inte att vara genom att
skriva detaljerade beskrivningar. Istället kommer det troligen att handla om
att påverka användarna syn på världen så att de prioriterar säkerheten.