Measuring Information Security Awareness. A survey showing the Norwegian way to do it.
Johnny Mathisen · NORA - Norwegian Open Research Archives · 2004
NORSK: Holdningene og bevisstheten blant de ansatte har stor betydning for informasjonssikkerheten i dagens bedrifter. Det er en vanlig oppfatning at menneskene og deres oppførsel faktisk betyr mer for informasjonssikkerheten enn alle mulige tekniske løsninger. Dette er velkjent også blant alle store norske bedrifter og organisasjoner. Og derfor jobber de også veldig aktivt for å heve bevisstheten og forbedre oppførselen og holdningene blant sine ansatte. Mange gjør dette ved å arrangere spesielle sikkerhetskampanjer. Men vet de noe om effekten av dette arbeidet? -Fører kampanjene virkelig til bedre holdninger og bedret oppførsel når det gjelder informasjonssikkerhet? -Kan effekten av informasjonssikkerhetskampanjer, eller annet holdningsskapende arbeid, måles? -Er det noen som måler effekten av det arbeidet de gjør eller håper og tror de bare at innsatsen deres har en positiv effekt på de ansattes oppførsel? Vi har gjort en undersøkelse blant mange norske bedrifter for å finne svarene på disse spørsmålene. Sikkerhetsledere og andre personer som jobber med bevissthet og holdninger til informasjonssikkerhet har blitt intervjuet for å frembringe nødvendig informasjon. De har blitt stilt spørsmål om hvordan de jobber med å heve bevisstheten og forbedre holdningene blant sine ansatte samt hvordan de eventuelt måler nivået på bevisstheten. Enkelte bedrifter arrangerer sikkerhetskampanjer ganske ofte mens andre sjelden aller aldri gjør det. Noen lager sine egne kampanjer mens andre bruker tilpassede versjoner av kommersielle produkter. Og enkelte bedrifter forsøker faktisk å måle nivået på bevisstheten blant sine ansatte. Dette blir gjort for eksempel gjennom interne spørreundersøkelser, interne kontroller eller trafikk-målinger i det interne datanettverket. Men ingen av organisasjonene sier at de bruker målingene systematisk for å måle effekten av det holdningsskapende arbeidet. De som foretar slike målinger bruker disse i hovedsak til å se om det er behov for spesielle sikkerhets-kampanjer. Men de intervjuede sikkerhetslederne sier at det er behov for slike målinger, og de ser fram til resultatet av dette arbeidet. For å hjelpe dem i arbeidet med å måle effekten av det holdningsskapende arbeidet har vi identifisert og definert et sett av sikkerhetsmetrikker. Dette settet er ikke ment å være et komplett sett av bevissthetsmetrikker, men forhåpentligvis kan de tjene som eksempler og gi inspirasjon til å definere andre metrikker. Metrikkene er definert i henhold til tilgjengelige maler, og de er presentert i Appendix I til slutt i denne rapporten slik at alle bedrifter og organisasjoner som ønsker det kan bruke dem. Det er viktig at metrikkene kan brukes i det praktiske arbeidet og at de gir økt verdi for de organisasjonene som bruker dem. Det er derfor viktig å prøve ut metrikkene i praksis. Dette ligger imidlertid utenfor rammene til dette prosjektet, og det vil derfor ikke beskrives i denne rapporten. Men det vil være en naturlig videreføring av det arbeidet som her er gjort.