Nyheter om läckta persondata och datorsystem som slutar att fungera på företag, kommuner och myndigheter kommer allt tätare. Effekterna är oerhört kostsamma, för alla inblandade. De riskerar också att skada förtroendet för företagen som levererar tjänster som hanterar eller har tillgång till känslig information.

Att ha en hög informationssäkerhet blir alltmer betydelsefullt och borde ligga högt på chefers prioriteringslista. När man pratar om att förbättra it-säkerheten brukar dock fokus vara på att utbilda medarbetarna. Sällan ingår det som en del inom ledarskapsutbildningarna.

I ett forskningsprojekt vid Göteborgs universitet inriktat på just det, visade det sig att utbildning riktad till cheferna gav ett bättre resultat på säkerhetskulturen än den som riktas till personalen.

Psykologen Martin Grill, en av forskarna bakom projektet, menar att djävulen som alltid sitter i detaljerna även när det handlar om att öka it-säkerheten.

– Det går inte att prata i allmänna termer om vad man önskar sig, eller ha högt flygande visioner. Man måste vara fokuserad, det har vi sett i ledarutveckling generellt. Om du vill åstadkomma en beteendeförändring så behöver du vara specifik och avgränsad att jobba mot just det.

Identifiera svagheter

Alla företag och organisationer har olika förutsättningar och olika styrkor och svagheter och dem måste man identifiera.

– Man får göra riskbedömningar och ha samtal med medarbetarna om vad det finns för hot mot informationssäkerheten, och hur de ska hanteras, säger Martin Grill.

För att sedan öka säkerhetstänket gäller det för chefer att utveckla ledarbeteenden som gör att man sätter det i fokus. Den metod som Martin Grill och hans forskarkollegor har tagit fram inriktar sig på tre beteenden:

1. Sätt informationssäkerhetsmål

Det handlar om att vara specifik när man sätter mål. Om ett företag har identifierat att dokumentationshanteringen har svagheter behöver man ställa frågor kring det. Exempelvis: Vilken typ av dokumentation ska vi hantera och på vilket sätt? Vilka medarbetare ska ha tillgång till den och på vilket sätt? Hur ser vi till att dokumentation inte når fel personer? Utifrån svaren sätts sedan målen.

2. Ha ett närvarande, lyssnande ledarskap

Enligt Martin Grill gäller det att skapa ett samtalsklimat där det är okej att prata om vilka hot som finns mot it-säkerheten så att chefen får den informationen från medarbetarna.

– För att få veta vad som inte fungerar bra är det viktigt att tänka igenom hur du ska reagera på dåligt säkerhetsbeteende. Om vi bestraffas för att vi berättar hur vi faktiskt gör med vår informationssäkerhet kommer folk inte att vara ärliga.

3. Ge återkoppling

Följ upp och ge feedback på de mål som ni har satt upp. Om företaget har en krånglig men säker informationshantering som tar lång tid att utföra blir det svårt att få folk att välja den. Det gäller särskilt om det finns ett snabbare sätt men som har lägre informationssäkerhetsnivå. Som chef behöver du därför följa upp och belöna det säkra sättet för att ändra medarbetarnas beteende.

För att veta att säkerhetsbeteendena förändras i positiv riktning är det viktigt att göra mätningar.

– Effekter av mätningar ska man inte underskatta, och det går att mäta mer än man tror. Det är ett väldigt effektivt sätt att följa upp någonting. Det gör att du kan återkoppla bättre.

Martin Grills forskning visar att arbete med it-säkerhet kan ge spridningseffekter.

– Om du till exempel får till en bra rutin i ett projekt tenderar du också att hantera dokumentation säkrare i andra projekt och bli mer noggrann med information generellt. Det leder till beteendeförändringar som sprider sig.

Text: Teres Hallman