När synen på informationssäkerhet kolliderar

Transkript

1 När synen på informationssäkerhet kolliderar Frans Prenkert, Magnus Frostenson och Fredrik Karlsson

2 Informationssäkerhetskultur i organisationer Tekniska skydd Policy Tankesätt

3 Informationssäkerhetskultur Tekniska skydd Policy Tankesätt Informationssäkerhetskultur är det [g]emensamma tanke-, beteende- och värderingsmönster som uppstår och utvecklas i ett socialt kollektiv genom kommunikativa processer baserade på inre och yttre krav, som traderas till nya medlemmar och som har implikationer för informationssäkerhet (Hallberg et al. 2015)

4 Informationssäkerhetskultur mellan organisationer Tekniska skydd Tekniska skydd Policy Policy Tankesätt Tankesätt

5 Informationssäkerhetskultur i nätverk av organisationer Tekniska skydd Policy Tankesätt Tekniska skydd Policy Tankesätt Tekniska skydd Policy Tankesätt Tekniska skydd Policy Tekniska skydd Tankesätt Policy Tankesätt

6 Komplexiteten väcker många frågor Hur begreppsliggöra? Hur studera? Konsekvenser för praktiken? Informationsdelning? Många samtidiga kulturer? Styrning i mångkulturella sammanhang? Utveckling av gemensam kultur?

7 Syftet med studien the aim of this project is to uncover challenges of developing an inter-organisational information security culture in a group collaborating around a mutual task

8 Vad säger existerande forskning? Organisation design/ strategy Culture Governance Architecture Process People Emergence Enabling and support Technology Human factors

9 Vad säger existerande forskning? Organisation design/ Strategy 30% (20) Culture 0% (0) Governance 29% (19) Process 3% (2) Architecture 8% (5) People 0% (0) Emergence 1% (1) Enabling and support 9% (6) Technology 20% (13) Human factors 0% (0)

10 Hur studera informationssäkerherskultur i nätverk av organisationer? Organisation 1 Organisation 2 Forskare Organisation

11 Vår fallstudie

12 Vad har vi gjort i fallstudien? SKB MKG Forskare KTH

13 Hur begreppsliggöra teoretisk hjälp 1(2) Handlingsmönster Synliga organisatoriska Strukturer och processer Uttryckta värderingar Strategier, mål och filosofier Grundläggande antaganden Omedvetna, självklara uppfattningar och föreställningar

14 Hur begreppsliggöra teoretisk hjälp 2(2) Social Teknologi

15 Identifierade handlingsmönster i fallstudien Time Invitera gruppmedlemmar Begära access till information som är utanför referensgruppens område Begära access till forskningsrapporter Spridning av referensgruppens arbete till allmänheten Förändring av informationspolicy Rapportering av forskningsresultat till referensgruppen Granskning av forskningsresultat i referensgruppen Avhopp från referensgruppen

16 Det globala och det lokala för att nå stabilitet och delad historia av fungerande lösningar 1(2) Mobilisering Organisation 1 Organisation 2 Samarbetsarena Associering Organisation

17 Grad av mobilisering av aktörer i det lokala nätverket Det globala och det lokala för att nå stabilitet och delad historia av fungerande lösningar 2(2) Grad av associering med aktörer i det globala nätverket Hög En krisande informationssäkerhetskultur En stark och etablerad informationssäkerhetskultur Låg Hög En svag, ej fungerande informationssäkerhetskultur En krisande informationssäkerhetskultur Låg

18 Grad av mobilisering av aktörer i det lokala nätverket Kulturens utveckling i vår fallstudie Låg Grad av associering med aktörer i det globala nätverket H-I H I G F-H G F Hög A-G Låg -A A-B A E-F B-C B B-D E C D D-E C-D Hög Handlingsmönster -A. Inventera gruppmedlemmar A-B. Begära access till information som är utanför referensgruppens område B-C. Begära access till forskningsrapporter B-D, C-D, E-F. Spridning av referensgruppens arbete till allmänheten D-E. Förändring av informationspolicy A-G. Rapportering av forskningsresultat till referensgruppen G-H. Granskning av forskningsresultat i referensgruppen F-H, H-I. Avhopp från referensgruppen

19 Lärdomar Den interorganisatoriska informationssäkerhetskultur som utvecklas påverkar deltagande organisationer Hitta arbetsformer som stödjer både det globala och det lokala för att skapa stabilitet Räcker det med den delen? Ramverk/metod för att analysera hur interorganisatorisk (informationssäkerhets)kultur utvecklas Kan det användas som diagnostisk verktyg?

20 Frågor och synpunkter?