Magma
21.04.2020
CYBERKRIMINALITET - EN TRUSSEL FOR NORSKE VIRKSOMHETER
Cyberkriminelle tar i bruk stadig mer sofistikerte metoder som gjør det utfordrende å eliminere risiko (Aldawood & Skinner, 2018). Virksomheter konsentrerer seg ofte primært om tekniske tiltak for å avskrekke potensielle angripere. Men den cyberkriminaliteten som øker mest, rettes mot ansatte i virksomheten fremfor å finne svakheter i tekniske systemer. Hovedårsaken er at ansatte blir sett på som det svakeste leddet i sikkerhetssystemet i virksomheten. Det er ansattes manglende oppmerksomhet om informasjonssikkerhet disse angriperne ønsker å utnytte (He & Zhang, 2019). De vanligste årsakene til sikkerhetsbrudd er ansattes mangel på oppmerksomhet, at de overser, er likegyldige eller reagerer med motstand på regler og prosedyrer for å styrke sikkerhetsatferd i virksomheten (Safa, 2015). Mørketallsundersøkelsen i 2018 viser at tre av de fem hyppigste årsakene til at et sikkerhetsbrudd oppstår, er relatert til menneskelige feil, mangel på sikkerhetsbevissthet hos de ansatte og at eksisterende prosesser ikke blir fulgt. Fremmedstatlig etterretningsaktivitet mot offentlige og private virksomheter samt datakriminalitet utgjør de fremste digitale truslene (NSM, 2018). Likevel er det mange virksomheter som ikke anerkjenner den risikofaktoren som deres ansatte representerer. I et simulert angrep initiert av NSM var det ni av ti som lot seg lure i en offentlig virksomhet (NSM, 2018).
I denne artikkelen ser vi nærmere på hva som skal til for å lykkes med å styrke informasjonssikkerhet i den enkelte virksomhet, når ansatte er primærmålet for angrep og cyberkriminelle. Vi vil se på ulike opplæringsformer og kampanjer rettet mot informasjonssikkerhet, både innhold og effekt. Vi vil videre se på hva som skal til for å endre atferd, og hvilke implikasjoner dette har for utvikling og implementering av aktiviteter rettet mot ansatte i virksomheter der det overordnede målet er å gjøre ansatte mindre sårbare for angrep fra cyberkriminelle.
Hensikten med artikkelen er å gi et forskningsbasert fundament som kan støtte virksomheter i planlegging og implementering av aktiviteter rettet mot egne ansatte. I tillegg presenterer vi en case fra Equinor for å vise hvordan en atferdsfokusert kommunikasjonstilnærming har blitt planlagt og implementert i en global virksomhet. Herunder beskrivelsen av målet, hva som ble gjort, hvordan det ble implementert, samt den viktigste læringen i etterkant. Dette kan gi innsikt til andre virksomheter som ønsker å styrke arbeidet med informasjonssikkerhet der ansatte er målgruppen.
INFORMASJONSSIKKERHET - OPPLÆRINGSPROGRAMMER OG KAMPANJER
Det er mange metoder som har blitt brukt for å gjøre sluttbrukerne mer oppmerksomme på informasjonssikkerhet, men det settes spørsmålstegn ved effekten. Bidrar de til å endre sikkerhetsatferd? Vi skal nå se på forskning som omhandler opplæringsprogrammer og kampanjer rettet mot ansatte.
Informasjonssikkerhetsprogrammer og -kampanjer oppfattes ofte som kjedelige innholdsmessig, og mange ansatte mangler motivasjon for å delta. Videre opplever noen at programmene er for generelle, og at programmene og kampanjene ikke er designet i formater som tillater ulike læringsformer og behov. Programmene er heller ikke oppdaterte nok på det siste innen cybersikkerhetstrusler (He & Zhang, 2019). Implementeringen av sikkerhetsprogrammer er ofte utfordrende fordi det benyttes en universell tilnærming, det blir gitt for mye informasjon, programmene mangler en helhetlig tilnærming, det forklares ikke hvorfor det er viktig, og det er mangel på lederstøtte (Alotaibi, 2019). Det er likevel anbefalt at virksomhetene tilbyr opplæring og trening for å styrke sikkerhetskulturen og gjøre de ansatte oppmerksomme på de metodene som er mest utbredt blant angripere (Aldawood & Skinner, 2018). Ansattes manglende etterlevelse av sikkerhetsprosedyrer er en stor bekymring for mange virksomheter, og for å håndtere dette problemet eksisterer det derfor et mangfold av tilnærminger med målsetting om å endre ansattes atferd (Karjolainen & Siponen, 2011).
Hva skal da til? Hva må man ta hensyn til når man skal utvikle og implementere opplæringsprogrammer og -kampanjer som gir effekt? Et viktig poeng er at virksomheten er tydelig på sluttmålet. Å lykkes med å øke oppmerksomhet er ikke det samme som at man har lyktes med å endre atferd. Oppmerksomhet i en informasjonssikkerhetskontekst definerer Jaeger (2008) som en kognitiv sinnstilstand. Oppmerksomhet er således en forutsetning for atferd, men ikke selve atferden. Det kan skilles mellom bevissthet om alvorlighetsgrad, som går på hvor alvorlig sikkerhetstrusler oppleves å være, og bevissthet om sårbarhet, som handler om hvor sannsynlig man tror det er at man blir utsatt for angrep (Humaidi & Balakrishnan, 2015). Dette igjen påvirker sikkerhetsatferd. Forskningen bekrefter også et gap mellom oppmerksomhet/kunnskap og faktisk atferd (Gundu, 2019). Hva vi vet eller sier at vi skal gjøre (atferdsintensjon), er ikke det samme som at vi handler tilsvarende (faktisk atferd).
I forskningslitteraturen har vi identifisert følgende faktorer som kjennetegner opplæringsprogrammer og kampanjer som har en større sannsynlighet for å lykkes med å skape en atferdsendring. En oppsummering gjengis i tabellen nedenfor.På tross av at det er identifisert faktorer som det er viktig å ta hensyn til når man utvikler opplæringsprogrammer og -kampanjer, eksisterer det lite veiledning i hvordan man skal implementere disse for å sikre at man får ønsket effekt (Scrimgeour, 2019).
EN ATFERDSFOKUSERT KOMMUNIKASJONSTILNÆRMING FOR Å IMPLEMENTERE ØNSKET SIKKERHETSATFERD
Å lykkes med å endre atferd krever mer enn å gi informasjon om risiko og riktig atferd. Først må ansatte være i stand til å forstå og bruke rådene, og deretter må de være villige til å følge dem - utføre atferden (Bada & Sasse, 2014). Dette innebærer å endre tilnærmingen fra å være informasjonsfokusert til å være atferdsfokusert. Sluttmålet er ikke utelukkende informerte og oppmerksomme ansatte, men ansatte som i tillegg gjør de riktige handlingene (ønsket atferd) for å styrke sikkerhetskulturen i virksomheten. Om utgangspunktet til virksomhetene er erkjennelsen om at det ikke kan skje en endring uten atferdsendring, betyr det også at man må utvikle og implementere opplæringsprogrammer og -kampanjer som bygger på prinsipper som øker sannsynligheten for at atferdsendring skal kunne skje ( jf. tabell 1).
Når hjernen prosesserer informasjon, følger den prinsippet om å minimere trusler og maksimere belønning (Whiting mfl., 2012). Videre tas mange av avgjørelsene knyttet til atferd i det Kahneman (2011) kaller system 1 i hjernen, som er emosjonelt, intuitivt og automatisk. System 2 opererer logisk, rasjonelt og saktere, mens system 1 er tett knyttet til vaner og automatisert atferd. Mange av beslutningene vi tar som er knyttet til atferd, har sitt utspring i system 1, mens det meste av kommunikasjonen i virksomheter er primært rettet mot system 2 (Munkejord, 2018b). Dermed vil kommunikasjonsvirkemidlene man bruker, ha liten effekt på atferd. Om vi ser dette i lys av ansattes e-postatfer
Gå til medietI denne artikkelen ser vi nærmere på hva som skal til for å lykkes med å styrke informasjonssikkerhet i den enkelte virksomhet, når ansatte er primærmålet for angrep og cyberkriminelle. Vi vil se på ulike opplæringsformer og kampanjer rettet mot informasjonssikkerhet, både innhold og effekt. Vi vil videre se på hva som skal til for å endre atferd, og hvilke implikasjoner dette har for utvikling og implementering av aktiviteter rettet mot ansatte i virksomheter der det overordnede målet er å gjøre ansatte mindre sårbare for angrep fra cyberkriminelle.
Hensikten med artikkelen er å gi et forskningsbasert fundament som kan støtte virksomheter i planlegging og implementering av aktiviteter rettet mot egne ansatte. I tillegg presenterer vi en case fra Equinor for å vise hvordan en atferdsfokusert kommunikasjonstilnærming har blitt planlagt og implementert i en global virksomhet. Herunder beskrivelsen av målet, hva som ble gjort, hvordan det ble implementert, samt den viktigste læringen i etterkant. Dette kan gi innsikt til andre virksomheter som ønsker å styrke arbeidet med informasjonssikkerhet der ansatte er målgruppen.
INFORMASJONSSIKKERHET - OPPLÆRINGSPROGRAMMER OG KAMPANJER
Det er mange metoder som har blitt brukt for å gjøre sluttbrukerne mer oppmerksomme på informasjonssikkerhet, men det settes spørsmålstegn ved effekten. Bidrar de til å endre sikkerhetsatferd? Vi skal nå se på forskning som omhandler opplæringsprogrammer og kampanjer rettet mot ansatte.
Informasjonssikkerhetsprogrammer og -kampanjer oppfattes ofte som kjedelige innholdsmessig, og mange ansatte mangler motivasjon for å delta. Videre opplever noen at programmene er for generelle, og at programmene og kampanjene ikke er designet i formater som tillater ulike læringsformer og behov. Programmene er heller ikke oppdaterte nok på det siste innen cybersikkerhetstrusler (He & Zhang, 2019). Implementeringen av sikkerhetsprogrammer er ofte utfordrende fordi det benyttes en universell tilnærming, det blir gitt for mye informasjon, programmene mangler en helhetlig tilnærming, det forklares ikke hvorfor det er viktig, og det er mangel på lederstøtte (Alotaibi, 2019). Det er likevel anbefalt at virksomhetene tilbyr opplæring og trening for å styrke sikkerhetskulturen og gjøre de ansatte oppmerksomme på de metodene som er mest utbredt blant angripere (Aldawood & Skinner, 2018). Ansattes manglende etterlevelse av sikkerhetsprosedyrer er en stor bekymring for mange virksomheter, og for å håndtere dette problemet eksisterer det derfor et mangfold av tilnærminger med målsetting om å endre ansattes atferd (Karjolainen & Siponen, 2011).
Hva skal da til? Hva må man ta hensyn til når man skal utvikle og implementere opplæringsprogrammer og -kampanjer som gir effekt? Et viktig poeng er at virksomheten er tydelig på sluttmålet. Å lykkes med å øke oppmerksomhet er ikke det samme som at man har lyktes med å endre atferd. Oppmerksomhet i en informasjonssikkerhetskontekst definerer Jaeger (2008) som en kognitiv sinnstilstand. Oppmerksomhet er således en forutsetning for atferd, men ikke selve atferden. Det kan skilles mellom bevissthet om alvorlighetsgrad, som går på hvor alvorlig sikkerhetstrusler oppleves å være, og bevissthet om sårbarhet, som handler om hvor sannsynlig man tror det er at man blir utsatt for angrep (Humaidi & Balakrishnan, 2015). Dette igjen påvirker sikkerhetsatferd. Forskningen bekrefter også et gap mellom oppmerksomhet/kunnskap og faktisk atferd (Gundu, 2019). Hva vi vet eller sier at vi skal gjøre (atferdsintensjon), er ikke det samme som at vi handler tilsvarende (faktisk atferd).
I forskningslitteraturen har vi identifisert følgende faktorer som kjennetegner opplæringsprogrammer og kampanjer som har en større sannsynlighet for å lykkes med å skape en atferdsendring. En oppsummering gjengis i tabellen nedenfor.På tross av at det er identifisert faktorer som det er viktig å ta hensyn til når man utvikler opplæringsprogrammer og -kampanjer, eksisterer det lite veiledning i hvordan man skal implementere disse for å sikre at man får ønsket effekt (Scrimgeour, 2019).
EN ATFERDSFOKUSERT KOMMUNIKASJONSTILNÆRMING FOR Å IMPLEMENTERE ØNSKET SIKKERHETSATFERD
Å lykkes med å endre atferd krever mer enn å gi informasjon om risiko og riktig atferd. Først må ansatte være i stand til å forstå og bruke rådene, og deretter må de være villige til å følge dem - utføre atferden (Bada & Sasse, 2014). Dette innebærer å endre tilnærmingen fra å være informasjonsfokusert til å være atferdsfokusert. Sluttmålet er ikke utelukkende informerte og oppmerksomme ansatte, men ansatte som i tillegg gjør de riktige handlingene (ønsket atferd) for å styrke sikkerhetskulturen i virksomheten. Om utgangspunktet til virksomhetene er erkjennelsen om at det ikke kan skje en endring uten atferdsendring, betyr det også at man må utvikle og implementere opplæringsprogrammer og -kampanjer som bygger på prinsipper som øker sannsynligheten for at atferdsendring skal kunne skje ( jf. tabell 1).
Når hjernen prosesserer informasjon, følger den prinsippet om å minimere trusler og maksimere belønning (Whiting mfl., 2012). Videre tas mange av avgjørelsene knyttet til atferd i det Kahneman (2011) kaller system 1 i hjernen, som er emosjonelt, intuitivt og automatisk. System 2 opererer logisk, rasjonelt og saktere, mens system 1 er tett knyttet til vaner og automatisert atferd. Mange av beslutningene vi tar som er knyttet til atferd, har sitt utspring i system 1, mens det meste av kommunikasjonen i virksomheter er primært rettet mot system 2 (Munkejord, 2018b). Dermed vil kommunikasjonsvirkemidlene man bruker, ha liten effekt på atferd. Om vi ser dette i lys av ansattes e-postatfer
