Kartlegging av digital sikkerhetskultur Våre erfaringer
Norsk Senter for Informasjonssikring NorSIS er en ideell og uavhengig organisasjon som arbeider for at alle skal ha en trygg digital hverdag Vi fremmer kunnskap og bevissthet om informasjonssikkerhet gjennom å: Bevisstgjøre om trusler og sårbarheter Opplyse og veilede om tiltak Påvirke til god sikkerhetsatferd Gratis informasjonstjeneste for trygg bruk av internett og godt nettvett Gratis veiledningstjeneste for de som blir krenket på nett Nettverk av kvinner som arbeider for et trygt og sikkert internett og fremtidsrettet IKT politikk Årlig nasjonal kampanje som retter oppmerksomhet på cybertrusler og god sikkerhetspraksis
Litt om meg selv Seniorrådgiver i NorSIS siden august 2015 Teknolog, master i informasjonssikkerhet fra Gjøvik Lang erfaring med informasjonssikkerhet i Forsvaret @BjarteM
Kartlegging av digital sikkerhetskultur Hva har vi gjort så langt?
Omfattende studie i 2016 Unik studie om nasjonal digital sikkerhetskultur Utviklet ny metode for kartlegging Ny kunnskap; Grunnlag for tiltak nasjonalt og i bedrifter Nasjonalt og internasjonalt anerkjent
Rapporter i 2017 Ungdom og digital sikkerhetskultur Basert på nesten 800 besvarelser fra blant annet 5 skoler Støttet av Senter for IKT i Utdanningen Befolkningsundersøkelse 2017 Nye data Blir publisert i november.
Hva er (sikkerhets)kultur?
Hva er egentlig kultur?
Vår metode vekt på kultur Kultur former oss og hjelper oss å orientere oss i omgivelsene Det er et lim mellom mennesker våre verdier og holdninger Det er et kompass Hvordan gjør vi det her? Hva er rett og galt? Trygt og utrygt? Et system av delte verdier, holdninger, kunnskaper, skikker og handlinger
Hvordan kartlegger vi?
Indikatorer på digital sikkerhetskultur En fast del som muliggjør sammenligninger (25 spørsmål) En del som muliggjør tilpassing til virksomheten (5 spørsmål) Elektronisk spørreskjema. Anonymt Forankret i virksomheten
Det blir alltid noen kompromiss Det er svært utfordrende å lage spørsmål som treffer alle uansett alder utdanningsnivå interesse kunnskap om informasjonssikkerhet Noen synes undersøkelsen er banal. Andre synes den er alt for vanskelig. En slik undersøkelse svarer ikke på hvorfor ting er som de er. Men vi finner sammenhenger
Erfaringer
Erfaringer Tilbakemeldinger kommer (fra noen svært få) Ledelsesforankring betyr utrolig mye. Oppfølging. Gaver. Purring. Statistiske analyser krever et visst antall. Husk på usikkerhet i tallene. Vi arbeider med 95% konf. intervall
Hva er det vi egentlig finner ut? Vi får kunnskap om den digitale sikkerhetskulturen i en organisasjon eller gruppe, med fokus på de 8 dimensjonene Vi finner sammenhenger mellom ulike faktorer. I noen organisasjoner eller grupper er kanskje noen dimensjoner viktigere enn andre Enkelt-indikatorer kan også være viktige for noen
Hva kan vi bruke denne kunnskapen til? Vi får et øyeblikksbilde. Dette kan vi bruke til å identifisere problemområder Kun 48% kjenner til rutinene for avviksrapportering Vi kan lage en metrikk for digital sikkerhetskultur. Denne kan vi bruke til å identifisere trender og utviklingstrekk. Vi kan også måle effekten av tiltak Kunnskapsnivået i organisasjonen har økt gjennom de 3 siste årene Vi kan bedre forstå vår egen organisasjon og kan utnytte sterke sider gjennom å velge tiltak som har potensiale for størst effekt. Våre ansatte lærer helst av hverandre i uformelle settinger. Vi bygger et program rundt dilemmatrening og sikkerhetsambassadører
Noen ferske funn 2017
Risiko oppfattelse I hvilken grad er du bekymret for at følgende skal skje med deg? At ulike firma skal samle inn mye informasjon om hva du gjør på nett 16,00 28,00 53,00 3,00 At du skal bli lurt til å gi fra deg sensitiv informasjon 40,00 22,00 36,00 2,00 At du skal få virus på din datamaskin 20,00 23,00 54,00 2,00 At dine digitale dokumenter og bilder skal bli ødelagt 23,00 26,00 48,00 3,00 At du skal bli hetset eller mobbet på nett 53,00 25,00 19,00 3,00 At andre skal utgi seg for å være deg på internett 24,00 24,00 48,00 3,00 At dine bank- eller kredittkort skal bli misbrukt på nett 26,00 25,00 47,00 2,00 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% I liten grad Verken eller I stor grad Vet ikke
Risiko oppfattelse Befolkningens risiko-oppfattelse for det å bruke offentlige tjenester på nett har endret seg siden vi undersøkte dette i 2015. Den gang svarte 13% at de anså risikoen ved bruk av offentlige tjenester på nett å være enten ganske stor eller svært stor. I 2017 svarer 21% det samme. Tilsvarende øker frykten for bruk av nettbank i den samme perioden. I 2015 svarte 10% at de anså risikoen ved bruk av nettbank å være ganske stor eller svært stor, mens i 2017 svarer 17% det samme.
Risiko oppfattelse I HVILKEN GRAD FORBINDER DU FØLGENDE AKTIVITETER MED HØY RISIKO? Bruke offentlige tjenester på nett 45,00 31,00 21,00 4,00 Å ikke ta sikkerhetskopi 10,00 25,00 60,00 6,00 Bruke sosiale medier 27,00 34,00 33,00 5,00 Nettgambling 10,00 1,00 45,00 26,00 Bruke bank- eller kredittkort på nett 33,00 33,00 32,00 2,00 Bruke samme passord på flere nettjenester 11,00 22,00 64,00 2,00 Dele passord med andre 7,00 10,00 81,00 3,00 Bruke epost 44,00 31,00 22,00 3,00 Bruke nettbank 56,00 25,00 17,00 3,00 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% I liten grad Verken eller I stor grad Vet ikke
Interesse for teknologi og IT Interesser former våre holdninger, ferdigheter og kunnskaper. Interesse påvirker også hvem vi vil assosiere oss med, og dermed hvem vi lærer fra. Med interesse følger det bevissthet, nysgjerrighet og tid. Dette er hjørnestener i all læring. Vi antar at interesse er en av nøkkelfaktorene for informasjonssikkerhetskultur og at det er viktig for deltakelsen i et digitalisert samfunn.
Interesse Nesten halve befolkningen (48%) sier at de har interesse for teknologi og IT, mens 25% sier at de er ganske lite eller svært lite interessert i dette. Vi observerer signifikante forskjeller mellom kjønnene. Flere menn enn kvinner (19% vs 7%) sier at de er svært interessert i teknologi og IT, mens flere kvinner enn menn (10% vs 3%) sier at de er svært lite interessert.
100 80 Hvor interessert er du i teknologi og IT? (resultat i prosent) Kjønnsforskjellene starter tidlig Lavere interesse for teknologi og IT blant unge. 43% vs. 48% i befolkningen 60 60,8 Store kjønnsforskjeller, jenter trekker ned snittet 40 20 27,8 30,7 23,3 37,6 Dette er svært problematisk 0 Mye interessert 10,7 Lite interessert Nøytral 5,2 3,9 Vet ikke
Kompetanse, kunnskap og læring Den enkelte må ha ferdigheter til å kunne beskytte seg, men også kjenne fellesskapets normer og regler. Kunnskap om informasjonssikkerhet er ferskvare Hva, av hvem og hvordan lærer befolkningen om dette?
Kompetanse i befolkningen Nordmenn er generelt kunnskapsrike når det kommer til informasjonssikkerhet. De ser også seg selv som relativt kunnskapsrike, og mener at de kan gjøre riktige vurderinger for sin sikkerhet på nett. 21% av de spurte sier at de har fått opplæring i informasjonssikkerhet i løpet av de to siste årene. 76% mener at de har fått bedre ferdigheter etter slik opplæring 18% sier at de lærer av eksperter. Langt flere lærer av seg selv (34%) eller av venner og kolleger (31%). 13% sier at de ikke vet hvem de lærer mest av.
Har du fått opplæring i informasjonssikkerhet i løpet av de to siste årene? (resultat i prosent) 100 Opplæring Ungdom får mindre opplæring enn folk flest. 80 Urovekkende høy andel som ikke vet om de har fått opplæring 60 40 52,4 44,3 46,6 54% mener at de har fått bedre ferdigheter etter opplæring I befolkningen forøvrig mener 76% dette 20 28,4 25,0 3,3 0 Ja Nei Vet ikke
Hvem lærer du mest om informasjonssikkerhet av? (resultat i prosent) 100 80 60 40 20 0 100 80 60 26,4 31,6 Jeg lærer meg selv 27,0 7,1 Jeg lærer fra eksperter 30,3 25,9 12,8 10,5 Venner, Sjefer eller lærere kollger eller klassekamerater Hvem lærer du mest om informasjonssikkerhet av? (resultat i prosent) 5,8 22,5 Vet ikke Hvem lærer de av? Kun 7% lærer av eksperter Mange lærer av seg selv, eller fra sine venner. Mange vet ikke. Store kjønnsforskjeller Dette er svært problematisk. Ingen har kontroll på hva som læres bort. Ferdigheter er én ting, men vi må ikke glemme holdninger og verdier 40 20 0 45,2 19,4 Jeg lærer meg selv 9,9 4,7 Jeg lærer fra eksperter 17,0 33,9 11,2 14,3 Venner, Sjefer eller lærere kollger eller klassekamerater 16,7 27,8 Vet ikke Hvor er forbildene?
100 Kan du mer eller mindre om informasjonssikkerhet i forhold til resten av befolkningen? (resultat i prosent) Vurdering av egen kunnskap I snitt vurderer ungdom sin egen kunnskap lavere enn det befolkingen forøvrig gjør. (27% vs. 33%) 80 60 73,0 Kjønnsforskjellen er gjeldende også her 40 20 44,4 42,5 Er det noe som heter digital selvtillit? Hva betyr den for det å tørre å ta i bruk noe nytt? 0 Jeg kan mer enn gjennomsnittet 11,3 13,2 15,7 Jeg kan mindre enn gjennomsnittet Jeg kan omtrent det samme som gjennomsnittet
Noen ord til slutt Kunnskapsnivået Det starter med læring. Status er at den er alt for dårlig. Ingenting blir bedre før læringen er styrket Verdier og holdninger Å være en trygg digital innbygger er mer enn et sett med ferdigheter. Holdninger og normer spiller en stor rolle. Disse må utvikles tidlig Kjønnsforskjellen Det er påvist store forskjeller mellom gutter og jenter. Vi vet for lite om konsekvensene, men vi vet at langt flere jenter søker hjelp når noe har gått galt
Takk for meg Last ned våre rapporter på www.norsis.no