Informationssäkerhetsklimat kan det mätas? Anders Pousette Fil. Dr. & Leg. psykolog Psykologiska institutionen Göteborgs universitet Forskargruppen Säkerhet, organisation och ledarskap Sahlgrenska akademin anders.pousette@psy.gu.se
Kan informationssäkerhetsklimat mätas? Ja! Information Security Climate Questionnaire, INSECQ Bör informationssäkerhetsklimat mätas? Det beror på 2
När ska vi mäta? (och när ska vi inte mäta ) Vi ska mäta om: Vi har en uttalad tanke med vad mätproceduren ska bidra till Vi har mått som är meningsfullt relaterade till det vi vill åstadkomma Vi har mått som betyder något, dvs som har en godtagbar precision 3
Varför mäter vi informationssäkerhetsklimat och inte informationssäkerhetskultur? Klimat är observerbart och därmed rapporterbar Klimat återspeglar kulturens yttringar Klimatet är gruppmedlemmarnas gemensamma perceptioner av policies, procedurer, och praktik i relation till säkerhet. (Zohar, 2000, Neal och Griffin, 2002) 4
Gruppkultur (culture) Gruppklimat (climate) Gruppnormer (norms) Kultur bundet till överordnade nivåer Föreställningar (beliefs) Värderingar (values) Attityder (attitudes) Beteende (behaviour) INDIVID Delade föreställningar, värderingar, attityder, beteende SAMHÄLLE ORGANISATION PROFESSION GRUPP Rollförväntningar (role expectations) A. Pousette 2015
Design för tillförlitlig mätning Utgår från medlemmars perceptioner Flera bedömare Flera frågor per fenomen 6
Enkätinstrumentet INSECQ 27 frågor 7 dimensioner Tillräckligt mätprecision (reliabilitet) Distingerar mellan organisationer och branscher Relaterat till självrapporterat regelföljande beteende Tolkningsbart: Referensvärden för tjänstepersoner i Sverige 7
Dimensioner i INSECQ Ledningens prioritet av informationssäkerhet Ledningens involvering av medarbetare Ledningens rättvisa i hantering av avvikelser Arbetsgruppens engagemang i informationssäkerhet Arbetsgruppens lärande om informationssäkerhet Regellegitimitet i arbetsgruppen Arbetsgruppens hotbild 8
Skillnader mellan branscher -0,7-0,2 0,3 0,8 L_Prioritet L_Invol-vering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild Kemisk Tillverkning Riks -0,7-0,2 0,3 0,8 L_Prioritet L_Involvering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild IT Riks -0,7-0,2 0,3 0,8 L_Prioritet L_Involvering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild Bank Riks 9
Skillnader mellan branscher -0,7-0,2 0,3 0,8 L_Prioritet L_Invol-vering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild Högskola Riks -0,7-0,2 0,3 0,8 L_Prioritet L_Invol-vering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild Sjukvård Riks -0,7-0,2 0,3 0,8 L_Prioritet L_Invol-vering L_Rättvisa G_Engagemang G_Lärande G_Regellegitimitet G_Hotbild Socialtjänst Riks 10
G_Engagemang Förhållandet mellan två delaspekter av informationssäkerhetsklimat 1,00 0,80 0,60 0,40 0,20 L_Prioritet 0,00-1,20-0,70-0,20 0,30 0,80-0,20-0,40 Kemi IT Bank Högskola Sjukvård Socialtjänst -0,60-0,80-1,00 11
Modell för samband mellan klimatdimensionerna 12
Säkert/osäkert beteende? 13 A. Pousette
Hur kan INSECQ användas? Ett kommande forskningsprojekt kommer att undersöka hur mätning av informationssäkerhetsklimat kan användas i verksamhetsutveckling 14