Bilder: Maria Nyheim. Digital Sikkerhetskultur

Transkript

1 Bilder: Maria Nyheim Digital Sikkerhetskultur

2 Norsk senter for informasjonssikring NorSIS er en ideell og uavhengig organisasjon som arbeider for at alle skal ha en trygg digital hverdag Vi fremmer kunnskap og bevissthet om informasjonssikkerhet gjennom å: Bevisstgjøre om trusler og sårbarheter Opplyse og veilede om tiltak Påvirke til god sikkerhetsatferd

3 Norsk senter for informasjonssikring Gratis informasjonstjeneste for trygg bruk av internett og godt nettvett Gratis veiledningstjeneste for de som føler seg krenket på nett Nettverk av kvinner som arbeider for et trygt og sikkert internett og fremtidsrettet IKT politikk Årlig nasjonal kampanje som retter oppmerksomhet mot cyber trusler og god sikkerhetspraksis

4 Noen få ord om meg selv Seniorrådgiver i NorSIS siden august 2015 Teknolog, master i infosec fra Gjøvik Lang erfaring med defensive cyberoperasjoner i

5 Hva skal jeg snakke om? Hvorfor dere bør bry dere om informasjonssikkerhetskulturen i bedriften. Hva er egentlig informasjonssikkerhetskultur? Hvordan kan en kartlegge det? Hva kan bedriften bruke kunnskap om informasjonssikkerhetskultur til?

6 Utviklingstrender Teknologien har aldri vært sikrere, likevel er datakriminalitet nå på 3. plass De kriminelle tvinges til å endre metode. Fra tekniske angrep til manipulasjon og svindel Direktørsvindel Datingsvindel Microsoft-svindel Falske epost Falske konkurranser

7 Virtually every commercial transaction has within itself an element of trust, certainly any transaction conducted over a period of time. Arrow, K. J. (1972). Gifts and exchanges. Philosophy & Public Affairs, Esteban Ortiz-Ospina and Max Roser (2016) Trust. Published online at OurWorldInData.org. Retrieved from: [Online Resource]

8 Må lære mer om informasjonssikkerhetskultur Informasjonssikkerhet er en kritisk forutsetning for at digitaliseringen i samfunnet skal lykkes Informasjonssikkerhetskultur har lenge vært anerkjent som en kritisk faktor i sikkerhetsarbeidet, men: Lite kunnskap om begrepet Må vite hva det er om en skal forholde seg til det Begrensede muligheter til å evaluere tiltak

9 Kultur eller kjøreregler?

10 Hva er egentlig kultur? Kultur former oss og hjelper oss å orientere oss i omgivelsene Det er et lim mellom mennesker våre verdier og holdninger Det er et kompass Hvordan gjør vi det her? Hva er rett og galt? Trygt og utrygt? Et system av delte verdier, holdninger, kunnskaper, skikker og handlinger

11 Fellesskap Adferd Styring & Kontroll Interesse Tillit Kompetanse Informasjonssikkerhetskultur Risikoforståelse Vilje til digitalisering Nasjonal Sikkerhetsmåned

12 Fellesskap Kultur; balanserer mellom gruppen og individet Karakteriserer en spesifikk gruppe mennesker Sosiale vaner, verdier, holdninger og prioriteringer Kulturer krever et visst nivå av lojalitet og solidaritet Den enkelte må identifisere seg som en del av gruppen, og følge gruppens normer Ser nordmenn seg som en del av et cybersikkerhetsfellesskap? Nasjonal Sikkerhetsmåned

13 Styring og kontroll Hvordan skal fellesskapet reguleres, og av hvem? Vi ser på nordmenns syn på styring og kontroll Overvåking? Hva er akseptabelt? Hvem er ansvarlig for fellesskapets trygghet? Hvor går grensen, og hvem trekker den opp? Alle vil ha frihet til å gjøre det de vil, og alle vil være trygge. Hvordan balanserer vi dette i samfunnet eller i bedriften? I vår kultur, hvor mye overvåking og kontroll vil vi akseptere for å være trygge?

14 Tillit Tillit er en hjørnesten i alle fungerende demokrati Tillit mellom innbyggerne, innbyggere og myndighetene, myndighetsorganer, bedrifter, arbeidstakere og arbeidsgiver, osv... Tillit i digitaliseringen er en forutsetning for økonomisk vekst og velferd Tillit til at våre opplysninger behandles sikkert

15 Risiko-oppfattelse Kompetanse, læring og risiko hører tett sammen Risikoadferd er knyttet til kompetansenivå, opplevd ferdighetsnivå og erfaringer Personer med høyt kompetansenivå, kan overvurdere sin evne til å kontrollere truslene, og tar mer risiko Vi ser på hvordan nordmenn oppfatter risiko på nett, og hvordan de vil handle i møte med risiko

16 Vilje til digitalisering Digitaliseringen er en del av vår samfunnsutvikling Holdningene til digitalisering er derfor avgjørende En trygg digital innbygger er en forutsetning for digitaliseringen Frykt og mistro til digitale tjenester blir en motkraft Vi må forstå hvordan informasjonssikkerhetskultur utvikles og hvordan den påvirker digitaliseringen

17 Kompetanse Alle må ha et sett med digitale ferdigheter for å være en del av et moderne samfunn Vi ser på hvor og hvordan nordmenn skaffer seg ferdighetene Når skolene ikke gir slik utdanning, hvor og av hvem lærer man?

18 Interesse I et samfunn som digitaliseres, er det lett å anta at interesse for teknologi og IT gir et fortrinn Interesse former våre holdninger, ferdigheter og kunnskap Interesse påvirker hvem vi relaterer oss til, og dermed hvem vi lærer av Av interesse følger bevissthet, nysgjerrighet og tid

19 Adferd De fleste studier fokuserer på adferd (fordi det er enkelt) Vi ser på adferdsmønsteret som normativt / Best practice Hva som anses som best practice endrer seg over tid Vi ser på det generelle adferdsmønsteret, og i hvilken grad det følger normene for sikker adferd.

20 Hvordan kartlegger en informasjonssikkerhetskultur?

21 Prosjektet Finansiert av Justis- og beredskapsdepartementet og av næringslivet Prosjektledelse NorSIS Prosjektstøtte Hanne Eggen Røislien, Forsker CYFOR Referansegruppe NSM, Kripos, FFI, Difi, FIH, CCIS/NTNU, NSR, Senter for IKT i utdanningen, Abelia Prosjektet er unikt, både nasjonalt og internasjonalt

22

23 Demografi Har mottatt undersøkelsen Har besvart undersøkelsen Inkl. pilotundersøkelsen

24 Metode Kvantitativ metode, med stor bredde i utvalget NorSIS har samarbeidet med 36 partnere om kartlegging i deres virksomhet Spørreskjema med stor bredde og tilpasset de fleste målgrupper Robust metode som kan brukes over tid, og på tvers av sektorer/bransjer

25 Noen av våre funn

26 Digital nedkjølingseffekt Vår studie avdekker en samfunnsutvikling som er preget av manglende tillit til politiet og en omfattende selvtektskultur Datakriminalitet blir nesten ikke anmeldt (13%) og i liten grad etterforsket eller løst Resultatet er en nedkjølingseffekt som rammer den digitale omstillingen i samfunnet

27 Digital nedkjølingseffekt 44% Har latt være å bruke netttjenester pga. digitale trusler

28 Risikoforståelse How worried are you that the following will happen to you? Vår undersøkelse ser på flere av de vanligste trussel-hendelsene That my bank- or credit cards will be used in online fraud 5 Hendelsene omfatter ID-tyveri, svindel, nett-hets og tekniske hendelser That I will be manipulated to send sensitive information to someone That others will use my identity online Av de utvalgte hendelsene, er befolkningen minst bekymret for nett-hets That a virus will infect my computer That my digital documents or pictures will be destroyed or deleted That I will be bullied or harassed online

29 Risikoforståelse vs. opplæring Vi finner ingen endring i risikoforståelse for gruppen som har fått opplæring i informasjonssikkerhet. How worried are you that the following will happen to you? That I will be manipulated to send sensitive information to someone That my bank- or credit cards will be used in online fraud 5,00 4,00 3,00 2,00 1,00 That others will use my identity online Vi vet ikke nok til å slå fast om det er metoden eller innholdet i opplæringen som forklarer dette That a virus will infect my computer 0,00 That I will be bullied or harassed online Dette gir grunn til bekymring fordi digitale trusler er i konstant endring That my digital documents or pictures will be destroyed or deleted Had infosec education the last two years Did not have infosec education the last two years

30 Risikoforståelse vs. opplæring Opplæring endrer ikke synet på risiko knyttet til egne aktiviteter på nett Not back-up your data How much risk do you associate with these activities? Using public (government) services online Using online banking 4,5 5 3,5 4 2,5 3 1,5 2 0,5 1 0 Using Sharing passwords with others Generelt liten opplevd risiko knyttet til bruk av offentlige tjenester og bank-tjenester Using social media Using online gambling Using bank or credit cards online Using the same password at several online services Dårlig passord-bruk sees på som risikofylt Had infosec education the last two years Did not have infosec education the last two years

31 Kompetanse, kunnskap og læring Samfunnet forventer at en digital borger skal ha kunnskap til å beskytte seg mot farer Vår studie viser at myndighetene i for liten grad tar ansvar for å gi befolkningen tilstrekkelig kunnskap om informasjonssikkerhet Bedrifter og organisasjoner tar ansvar for opplæring av egne ansatte, men har ikke fokus på hele samfunnets behov Store grupper i samfunnet faller utenfor

32 Opplæring gis ikke til alle 50% av befolkningen har fått opplæring i informasjonssikkerhet i løpet av de to siste årene, men 63% av de ansatte i offentlig sektor har fått opplæring, mens 53,2% av de ansatte i privat sektor har fått det De unge og de eldre er sårbare grupper i digitaliseringen, men faller utenfor opplæringen som gis i bedriftene. Kun 28,4% av de under 20 og 17,5% av de over 66 har fått slik utdanning Bedriftene gjør Norge en stor tjeneste når de gir sine ansatte opplæring

33 Hva mener de selv om opplæringen? 77,1% som får opplæring mener at de har fått bedre ferdigheter i informasjonssikkerhet, men kun 54,1% av de under 20 mener det samme 81,4% av de over 65 mener at de har fått bedre ferdigheter Bedriftens størrelse påvirker ikke synet på egne ferdigheter etter opplæringen 100,0 90,0 80,0 70,0 60,0 50,0 40,0 30,0 20,0 10,0 0,0 Synes du at du har fått bedre ferdigheter etter opplæringen i informasjonssikkerhet? 77,1 10,2 12,7 Ja Nei Vet ikke

34 Kunnskapsoverføring er i stor grad uformell Kun 27% av befolkningen lærer om informasjonssikkerhet av eksperter 26,4% lærer av seg selv, og 100,0 90,0 80,0 70,0 60,0 Hvordan lærer du vanligvis om informasjonssikkerhet? 30,3% forteller at de lærer av venner og kolleger 50,0 40,0 30,0 20,0 32,3 46,4 Hele 46,4% får opplæring i en uformell situasjon 10,0 0,0 12,1 Prøver og feiler selv Kurs eller utdanning Hører om ting fra andre i en mer uformell situasjon 9,2 Vet ikke

35 Interesse som en signifikant faktor Interesse for teknologi og IT er en faktor som påvirker resultatene. De som er interessert lærer i mindre grad fra venner, og i større grad fra eksperter og av seg selv. Interesse ser derfor ut til å skape et fortrinn, men kun 47,1% er det Våre funn viser at dette er gjennomgående 100,0 90,0 80,0 70,0 60,0 50,0 40,0 30,0 20,0 10,0 0,0 From whom do you usually learn about cybersecurity? 34,4 32,0 15,4 20,0 I teach myself I learn from experts Interested in technology and ICT 23,9 38,0 19,3 4,3 7,3 5,5 I learn from I learn from friends, my managers colleagues or or teachers classmates Don't know Not interested in technology and ICT

36 Digital selvforståelse og risiko Kan du mer eller mindre om informasjonssikkerhet i forhold til resten av befolkningen? Individuals are found to have an unrealistic optimism for risks that they perceive to be under their personal control. Since an individual may view their actions on their personal computer to be under their control, threats may be seen as less risky. This means that individuals might be more likely to engage in risky behavior. 26% 10% (Kreuter & Strecher, 1995)

37 Opplæring og god netthygiene Med god netthygiene mener vi de holdninger og handlinger som bidrar til at alle kan være trygge på nett Det innebærer å ta ansvar for en selv, og de rundt oss God netthygiene kan stanse de kriminelle og er en effektiv beskyttelse for hele samfunnet Vår studie beskriver den norske netthygienen, og de faktorene som påvirker den

38 Et sammenkoblet samfunn Lysneutvalget (NOU2015:13) viste hvordan alt henger sammen med alt i lange digitale verdikjeder Når mange nok personer og digitale enheter er motstandsdyktige mot kriminelle, vil det gi en effektiv beskyttelse for hele samfunnet Vi må gå fra å tenke sikkerhet bare for oss selv og for våre egne digitale enheter, til å tenke sikkerhet også for de rundt oss Vår studie viser at en slik tenkemåte ikke er vanlig i dag

39 Opplæring og helhetsforståelse Når alt henger sammen med alt, betyr den enkelte sine handlinger mye Generelt er det lav helhetsforståelse Opplæring øker forståelsen noe, men stjeler fra de som sier det ikke vet ,3 Internett blir ikke tryggere selv om min datamaskin er sikker 74,6 17,7 13,4 7,9 12,1 Enig Uenig Vet ikke Fått opplæring Ikke fått opplæring

40 Opplæring og etterlevelse av regler Det er en forventning om at opplæring i informasjonssikkerhet skal øke etterlevelse av reglene Vi finner at dette ikke er tilfellet Men; er det opplæringen eller reglene som feiler? I sometimes deliberately break cybersecurity regulations 11,2 7,8 74,2 64,7 14,6 Yes No Don't know 27,5 Had training Did not have training

41

42 Opplæring og gode handlingsmønstre Sikker atferd er åpenbart viktig Bidrar opplæring i informasjonssikkerhet til mer sikre handlingsmønstre på nett? Har opplæring effekt på sikker atferd på nett, i så fall hvor stor er effekten?

43 Undersøke om en nettside er trygg Å vurdere om en nettside er trygg kan forhindre svindel og annen nettkriminalitet De som har fått opplæring undersøker dette i større grad enn de som ikke har fått det Det er likevel mange som ikke undersøker om nettsider er trygge Undersøker du om en nettside er trygg før du bruker den? 9 6,1 36,9 35,4 25,6 30,5 20,4 13,7 5 Ja, alltid Ja, som regel Ja, av og til Nei, aldri Vet ikke 6,3 Fått opplæring Ikke fått opplæring

44 Passord Passord er fremdeles en sentral del av informasjonssikkerhet Hvordan bruker du passord? De som har fått opplæring bruker passord på en sikrere måte enn de som ikke har det ,9 60, ,3 Det er likevel for mange som bruker samme passord over alt ,7 21,1 Jeg bruker samme passord over alt 10,8 7,8 Jeg bruker et passordverktøy for å hjelpe meg å håndtere ulike passord Jeg bruker forskjellige passord for de fleste tjenestene på nett Jeg legger vekt på å lage sikre passord 2 3 Vet ikke Fått opplæring Ikke Fått opplæring

45 Annen sikker digital atferd De som har fått opplæring i informasjonssikkerhet tar oftere sikkerhetskopi av data de synes er viktige. 10,6% av de som har fått opplæring lar være å ta sikkerhetskopi, mot 18,8% av de som ikke har fått opplæring Kan ikke påvise at de som får opplæring har bedre rutiner for å oppdatere datamaskinen sin, eller at de oftere bruker sikkerhetsprogramvare 90,6% sier de vil slette personlig informasjon fra enheten sin før den selges eller kastes

46 Vår studie viser at det er en generell, men svak, sammenheng mellom dagens tilnærming til opplæring og god sikkerhetsatferd på nett

47 Hva skal bedrifter bruke denne kunnskapen til?

48 Er fokuset på Code of Conduct? Måle i hvilken grad reglene etterleves (Compliance) Måle effekten av opplæring og andre tiltak.

49 Er fokuset på kultur? Forstå hvem de ansatte er, hvordan de tenker og reagerer i møte med digital risiko Forstå hvilken type opplæring som motiverer og skaper økt interesse Evaluer endringer i meninger, holdninger og verdier. Dette vil på sikt føre til endring i adferd Evaluer effekten av de metodene bedriften bruker for å lære opp de ansatte

50 Noen tips helt til slutt Digitaliseringen kommer til alle. Informasjonssikkerhet og informasjonssikkerhetskultur kan ikke ignoreres. Tenk på hele mennesket. Opplæring i sikker nettbruk hjemme kan gi ønsket effekt på jobb. Og det er kanskje mye mer motiverende? Tenk på at opplæring må være verdibasert. Sentrale samfunnsverdier settes under press av kriminelle Vår trygghet Vår integritet og verdighet Vår tillit Vårt samhold og vår tilhørighet

51 Last ned rapporten på (publikasjoner) Spørsmål?