Cybersikkerhetskultur – en studie av interne organisatoriske mekanismers påvirkning

Abstract

Som et av verdens mest digitaliserte land forvalter norske virksomheter store deler av sine verdier gjennom det digitale domenet. Digitalisering er viktig for både vekst og verdiskapning, men sikkerhetsutfordringene er også store, og de senere års nasjonale trusselvurderinger har hatt et økende fokus på den digitale trusselen. Derfor er cybersikkerhet som begrep blitt mer fremtredende de siste årene. Det er blitt en erkjennelse at mennesket blir sett på som det svakeste leddet i cybersikkerhetsarbeidet, hvor så mye som 80% av digitale angrep kan skyldes menneskelig feil. Den menneskelige faktoren i cybersikkerhetsarbeidet har derfor fått et økende fokus. For å styre de ansatte mot en sikker digital atferd blir en god cybersikkerhetskultur sett på som løsningen på mange av de digitale sikkerhetsutfordringene virksomheter står ovenfor.

Samfunnsområdet forskning og utvikling er et at områdene nasjonale trusselvurderinger peker på som spesielt utsatt for cyberangrep. Det har i denne studien blitt gjennomført en kvalitativ forskningsstudie hvor en virksomhet tilhørende samfunnsområdet forskning og utvikling har vært gjenstand for denne studiens formål og problemstilling. Denne studien har søkt å øke forståelsen om hvordan interne organisatoriske mekanismer som ledelse, kommunikasjon, evaluering, ris og ros, trening, og læring, påvirker cybersikkerhetskultur i en virksomhet. Funnene fra studien viser at ledelse, kommunikasjon og trening er de tre mekanismer som utpeker seg til å ha størst effekt på cybersikkerhetskultur. De ansattes bevissthet, kunnskap og holdninger til cybersikkerhet påvirkes av en engasjert ledelse, av tydelig og relevant kommunikasjon, og relevant og regelmessig trening. Det er identifisert suksesskriterier og fallgruver ved mekanismene som kan fremme eller hemme arbeidet med å bygge en god cybersikkerhetskultur. Samtidig er det et samspill mellom mekanismene som gjør at arbeidet med å bygge en god cybersikkerhetskultur er avhengig av et helhetlig og systematisk arbeid med alle mekanismer.