Informasjonssikkerhet og ansatte

Størrelse: px

Begynne med side:

Download "Informasjonssikkerhet og ansatte"

Sander Ervik
8 år siden
Visninger:

1 Informasjonssikkerhet og ansatte 1 PhD stipendiat Eirik Albrechtsen Inst. for industriell økonomi og teknologiledelsen Norges teknisk naturvitenskaplige universitet (NTNU) Tema Hvordan opplever brukere informasjonssikkerhetsarbeidet og sin egen rolle i dette arbeidet? Hvordan opplever sikkerhetsledere brukere? Hvordan kan brukeres holdninger og atferd forbedres Underlag: Intervjuundersøkelser Studie av opplæringsprogram Forskningslitteratur 2 1

opplever brukere informasjonssikkerhetsarbeidet og sin egen rolle i dette arbeidet?

2 Brukeres bidrag i sikkerhetsarbeidet (TEORI) Lås alltid maskinen din når du forlater den Velg gode passord Hold passordet ditt hemmelig Pass på at ingen ser over skulderen din når du skriver inn passordet ditt. Se etter at du har skrevet inn korrekt mottakeradresse ved sending av e-post. Kontrollér at du sender med korrekt vedlegg. Ikke åpne vedlegg i e-poster fra ukjente avsendere. Vær forsiktig med hvor du legger igjen e-postadressen din på nett. Etisk bruk av internett Bruk av hjemmekontor Unngå fildelingsprogrammer Unngå ulisensiert programvare MED FLERE 3 Brukeres bidrag i sikkerhetsarbeidet (intervjuundersøkelse) Få sikkerhets bidrag pr. bruker Likevel: brukerne uttaler at de er motiverte for å gjøre en innsats Gap mellom ord og handling! Hvorfor gap? Egentlig så motiverte? Konflikt mellom funksjonalitet og sikkerhet Dårlig kvalitet på sikkerhetsledelse og risikokommunikasjon? 4 2

Vær forsiktig med hvor du legger igjen e-postadressen din på nett.

3 Konflikt mellom sikkerhet og funksjonalitet Funksjonalitet, effektivitet, brukervennlighet prioriteres foran informasjonssikkerhet (Besnard and Arief, 2004) Intervjuundersøkelse: Ikke en hemsko med dagens sikkerhets-arbeidsbyrde Men: blir en hemsko dersom man må gjøre ytterligere innsats Det [informasjonssikkerhet] er jo ikke direkte min jobb. Jeg må konsentrere meg om min jobb Spørs hvor mye man skal være opptatt av sikkerhet. Det går ikke an å bli overforsiktig, da får man ikke gjort noe, Bjørn (43), bank Vi blir målt på salg. Det er jo der vi får lønna vår fra, bonuser og sånt. Sikkerhet havner absolutt i 2. eller 3.rekke. Hvis vi må bruke en halvtime ekstra hver dag fordi vi må tenke IT-sikkerhet det går ikke. Halvard (29), bank 5 Ikke et individuelt problem: hvilke forhold er det som skaper usikker atferd? Counter gradient: security management of end users Boundary to unacceptable risk Boundary to economic failure Management pressure toward efficiency Experiments to improve performance Gradient toward least effort Boundary to unacceptable workload 6 Rasmussen,

Jeg må konsentrere meg om min jobb Spørs hvor mye man skal være opptatt av sikkerhet. Det går ikke an å bli overforsiktig, da får man ikke gjort noe, Bjørn (43), bank Vi blir målt på salg.

4 Brukere om individrettete sikkerhetstiltak I Lover og retningslinjer har liten direkte effekt på individuelle holdninger og atferd Ikke kjennskap til innhold eller tilgjengelighet Sikkerhetskontrakter ved ansettelse glemmes fort. Likevel tror sluttbrukere at de oppfører seg i henhold til retningslinjene Planlagte, forventete handlinger og faktiske handlinger ikke i samsvar 7 Brukere om individrettete sikkerhetstiltak II Massemedia-baserte holdningskampanjer har liten effekt på sikkerhetsatferd og bevissthet Blir et stunt uten oppfølging Innpakningen og gave blir viktigere enn budskapet Fort i glemmeboka Hvis du spør alle på gruppa her: hva slags informasjon fikk du sammen med den sjokoladen, så tror jeg ikke det er mange som vet det.tror det var mange som tok ut sjokoladen og lot informasjonen ligge. Camilla, 30, IT-bedrift Informasjonsmøter har god effekt på atferd og kunnskap Synliggjøre sikkerhetsavdeling Aktiv deltakelse av brukere Mulighet til å stille spørsmål Reflektere over egen situasjon Overbevise framfor overtale skape forståelse 8 Kombinasjoner av virkemidler 4

Likevel tror sluttbrukere at de oppfører seg i henhold til retningslinjene Planlagte, forventete handlinger og faktiske handlinger ikke i samsvar 7 Brukere om individrettete sikkerhetstiltak II

5 Sikkerhetsledere om brukere 9 Sikkerhetsledere om virkemidler 10 Strategier: -Teknologisk kontroll -Plikt -Tvang -Skriftlig kommunikasjon Strategier: -Ansikt-til-ansikt -Sikkerhetsleders egen rolle -Ledelsens engasjement -Bruk av andre organisasjonsstrukturer -Involvering av brukere 5

kommunikasjon Strategier: -Ansikt-til-ansikt -Sikkerhetsleders egen

6 Trapp med virkemidler 11 Eksempel på workshop 12 6

7 Resultat av workshop X11 X12 Intervention group t1 Workshop t2 t Study population X21 X22 Control group t t1 t2 Signifikante endringer: Opplevd ansvar for informasjonssikkerhet ift andre arbeidsoppgaver Villighet til bidrag til informasjonssikkerhetsarbeidet Personlig ansvar for sikkerhet Oppfattelse av egne kunnskaper og ferdigheter Rapporteringsvillighet Opplevd viktighet av sikkerhet 13 Konklusjon Brukere om informasjonssikkerhet: Ikke kjent med risiko forbundet med IT eller hvordan håndtere den Prioriterer andre oppgaver foran informasjonssikkerhet Sikkerhet tilegnes til teknologi og sikkerhetsledere Brukere vurderer ikke risiko på samme måte som eksperter Eksperter om brukere: Ikke særlig inntrykk av brukere Ressurs ikke-ressurs passive virkemidler mot brukere Utviklingen: Dagens former for arbeid og organisasjon Mer individuelt sikkerhetsansvar Styring av brukere: Tekniske rammer; dokumenter; kontroll og overvåkning; en-veis ekspertbasert holdningskampanjer; plikt og tvang eller Involvering, deltakelse, engasjement, dialog 14 eirik.albrechtsen@iot.ntnu.no 7

sikkerhet 13 Konklusjon Brukere om informasjonssikkerhet: Ikke kjent med risiko forbundet med IT eller hvordan håndtere den Prioriterer andre oppgaver foran informasjonssikkerhet Sikkerhet tilegnes

Like dokumenter

vet vi hvilke fartsgrenser som gjelder der vi er???

1 2 vet vi hvilke fartsgrenser som gjelder der vi er??? 3 Kan vel egentlig svare Hvorfor ikke? Begrunnelsen er hentet fra den sentrale fartsforskiften som gjelde rhele landet. Denne forskriften hjemler