Så saboterar du utbildning i säkerhet – en kort guide

Bakom den skämtsamma rubriken fanns dock ett allvarligt budskap. Många organisationer investerar stora resurser i utbildning och program för att öka medvetenheten om cybersäkerhet, men har ändå svårt att skapa varaktiga beteendeförändringar. Problemet är ofta inte brist på ambitioner, utan för att man använder sig av metoder som från början har begränsade möjligheter att fungera.

Det största misstaget: Att se utbildning som en engångsinsats

Ett av de vanligaste sätten att misslyckas med ett utbildning i cybersäkerhet är att betrakta det som ett projekt istället för en pågående process.

Många organisationer förlitar sig fortfarande på årliga utbildningar eller enstaka kampanjer. Även om sådana insatser kan uppfylla olika krav på efterlevnad och dokumentation leder de sällan till långsiktiga förändringar i beteendet.

Människor glömmer. Prioriteringar förändras. Nya hot uppstår.

För att skapa en stark säkerhetskultur krävs kontinuerlig träning och regelbundna påminnelser – inte isolerade utbildningstillfällen.

Information är inte samma sak som beteendeförändring

Ett annat centralt budskap från Arno van den Hof handlade om skillnaden mellan kunskap och beteende.

De flesta medarbetare vet redan att de inte ska klicka på misstänkta länkar, återanvända lösenord eller dela känslig information på fel sätt. Trots det fortsätter incidenter att inträffa.

Varför?

Därför att mänskligt beteende påverkas av vanor, sammanhang, stress, arbetsbelastning och sociala faktorer. Att ge människor information leder inte automatiskt till att de agerar säkrare.

Målet med utbildningen bör därför vara att påverka vardagliga beteenden – inte bara att öka kunskapen.

Sluta mäta aktiviteter - mät beteendeförändring

Insatser för att öka medvetenheten om cybersäkerhet utvärderas ofta med hjälp av mätvärden som är lätta att samla in men svåra att koppla till faktisk riskreducering.

Genomförandegrad, deltagarsiffror och resultat på kunskapstester kan visa att människor har deltagit, men säger väldigt lite om hur de faktiskt agerar när de ställs inför ett verkligt hot.

Organisationer bör därför fokusera mer på beteenden och långsiktiga förändringar än på rena aktivitetsmått.

Medvetenheten måste fungera i vardagen

Ett återkommande tema under presentationen var vikten av att göra lärandet till en naturlig del av arbetsdagen.

Långa utbildningstillfällen konkurrerar med medarbetarnas ordinarie arbetsuppgifter och glöms ofta bort snabbt. Korta, relevanta och återkommande utbildningsinsatser har betydligt större chans att fastna och omsättas i praktiken när det verkligen behövs.

Detta är också en av grundtankarna bakom NanoLearning – att skapa små, hanterbara lärandetillfällen som håller säkerhetstänket levande året runt.

Att bygga en säkerhetskultur tar tid

Kanske var den viktigaste slutsatsen att det inte finns några snabba lösningar.

Att bygga en stark säkerhetskultur kräver uthållighet, repetition, stöd från ledningen och en realistisk syn på hur människor lär sig och förändrar sitt beteende.

Organisationer som ser säkerhetsmedvetenhet som en långsiktig resa snarare än en compliance-aktivitet har betydligt större chans att skapa verkliga och bestående resultat.

Sammanfattning

Arno van den Hofs presentation utmanade flera av de vanligaste föreställningarna kring säkerhetsmedvetenhet. Istället för att fokusera enbart på kunskapsöverföring behöver organisationer skapa förutsättningar för varaktiga beteendeförändringar genom kontinuerligt lärande, relevanta budskap och regelbunden förstärkning.

Med andra ord: Om du vill undvika att sabotera ditt program för säkerhetsmedvetenhet måste du sluta se det som utbildning – och börja se det som beteendeförändring.

‍

Se hela Arno van den Hofs presentation från Cybersec Europe här: 

‍

‍

‍