Nästan alla organisationer utbildar sin personal i informationssäkerhet. Betydligt färre kan visa att utbildningen förändrade något. Den årliga genomgången genomförs, deltagandet registreras, och sedan fortsätter alla göra precis som förut. Kapitlet handlar om varför gapet uppstår och vad som krävs för att stänga det.
Det börjar i diagnosen, alltså varför säkerhetskommunikation så sällan når fram trots att den skickas ut. Sedan görs skillnaden mellan information och kommunikation, vilket låter som en språklig finess men är den avgörande punkten i hela kapitlet. Därefter behandlas steget från kunskap till beteende genom förmåga, möjlighet och motivation, en modell som förklarar varför medarbetare som mycket väl vet vad de borde göra ändå inte gör det. Ofta är svaret att det rätta beteendet är krångligare än det felaktiga. Effektkedjan visar hur kommunikation planeras baklänges från verksamhetsmålet i stället för framåt från budskapet, och ett avsnitt beskriver hur en kommunikationsarkitektur för informationssäkerhet kan se ut över tid. Sedan följer förskjutningen från efterlevnadskontroll till medskapande, som är den förändring som avgör om medarbetare rapporterar misstag eller döljer dem. Ledningens roll behandlas som förutsättning snarare än som avsändare, följt av kopplingen till cybersäkerhetslagens kravområden. Ett avsnitt behandlar medarbetarens digitala fotavtryck, som är den yta angripare arbetar mot enligt kapitel 2 om hotaktörerna.
Varför nu handlar om två saker. Cyberhygien och utbildning är uttryckligen ett av lagens tio kravområden, vilket gör att arbetet ska kunna visas upp och följas upp. Och angreppsvägarna går i allt högre grad genom människor snarare än genom tekniska sårbarheter, vilket flyttar tyngdpunkten i försvaret dit där tekniken inte räcker. Konsekvensen är att kommunikationen behöver planeras med samma omsorg som en teknisk kontroll, och följas upp på effekt snarare än på genomförda tillfällen.
Sidan visar vad kapitlet omfattar och varför kommunikation är ett säkerhetsverktyg och inte en stödfunktion. Modellerna, arkitekturen och de praktiska exemplen finns i kapitel 10 i boken.
Om budskapet inte tas emot har det inte sagts. Kommunikation är inte vad du sänder, utan vad mottagaren förstår.
Nyckelinsikter
- Ett budskap som inte tas emot har inte kommunicerats, oavsett hur många som fick mejlet.
- Kunskap räcker inte. Beteende kräver dessutom förmåga, möjlighet och motivation.
- Kontroll och efterlevnadskrav skapar undvikande. Medskapande skapar rapportering, vilket är det som ger tidig upptäckt.
- Ledningens eget beteende är den starkaste signalen i organisationen och kan inte kompenseras med kampanjer.
- Cyberhygien och utbildning är ett av cybersäkerhetslagens kravområden, alltså inte något frivilligt.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Systemverktyg
Plattformar för återkommande utbildning och säkerhetsmedvetenhet.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.