Yritysjohto möhlii tai mahdollistaa tietoturvan

Yritysjohdon sitoutuminen tietoturvaan on yksi tärkeimmistä tietoturva-asioista. Jos yritysjohto ei ole kiinnostunut tietoturvasta, ei bisneskään kauan kukoista. Tietoturvan merkitystä yritykselle voi osoittaa tietoturvapolitiikan toteuttamisella, resurssien antamisella sekä riskienhallintaan osallistumalla.

Kyseessä on ihan perusjuttuja, jotka jokainen yritys voi toteuttaa. Asioiden olennaisuudesta kertoo se, että ne on huomioitu esimerkiksi ISO27001 tietoturvastandardissa sekä valtionhallinnon tietoturvallisuuden perustason vaatimuksissa (VAHTI 2/2010).

Sitoutuminen osoitetaan tietoturvapolitiikalla

Tietoturvapolitiikka osoittaa yritysjohdon sitoutumisen. Tietoturvapolitiikassa kerrotaan yleisellä tasolla, miten tietoturvallisuus on huomioitu yrityksessä. Dokumentti kuvaa myös eri tahojen vastuita ja velvollisuuksia sekä muita kannanottoja tietoturvallisuuteen liittyen. Asiakkaille luodaan luottamusta tietoturvapolitiikan avulla.

Esimerkki
Yrityksesi on päässyt neuvottelemaan palvelun toimittamisesta isolle asiakkaalle. Asiakas on positiivisesti yllättynyt, koska yrityksesi pystyi konkreettisesti todentamaan tietoturva-asioitaan tietoturvapolitiikan avulla. Useat aikaisemmat palvelutoimittajat ovat puhuneet paljon, mutta todentaminen on ollut ongelmallisempaa. Yritysjohdon sitoutuminen tietoturvatyöhön mahdollistaa neuvottelujen jatkumisen.

Tietoturvaresurssit luovat mahdollisuuksia

Yritysjohto osoittaa tietoturvatyölle tarvittavat resurssit. Ne voivat olla esimerkiksi koulutusta, työaikaa tai rahaa tietoturvateknologioihin. Resurssit mahdollistavat osaavamman henkilökunnan, turvallisemman työskentely-ympäristön ja jopa uudet asiakkuudet.

Esimerkki
Yrityksen asiantuntijat ovat havainneet, että tietoturvaan ja tietosuojaan liittyviä kysymyksiä tulee jatkuvasti enemmän. Lisäksi potentiaaliset asiakkaat kysyvät usein, miten tietoturvallisuus on organisoitu. Yritysjohto tarjoaa eräälle asiantuntijalle mahdollisuutta perehtyä lisää tietoturvallisuuteen koulutusten kautta sekä osoittamalla hänelle työaikaa tietoturvatehtävien hoitamiseksi. Asiakaskokemus paranee ja yritykseen luotetaan enemmän.

Riskienhallinta on yritysjohdon arkea

Päivittäisessä työssä ilmenee tilanteita, jotka vaativat riskien arviointia. Yritysjohto lopulta päättää, mitä riskeille tehdään: poistetaan, vähennetään, siirretään vai hyväksytään.

Esimerkki
Yrityksen IT-asiantuntija on havainnut, että varmuuskopiointipalvelimen kiintolevyt tuottavat silloin tällöin virheitä. Vaikuttaisi siltä, että levyt ovat hajoamassa. Asiantuntija suosittelee levyjen uusimista. Vaikka yrityksen taloustilanne on tiukka, yritysjohto päättää hankkia uudet levyt. Yritysjohto ei halua ottaa riskiä, että varmuuskopiot menetetään, koska siitä aiheutuu lisäriskejä koko yritystoiminnalle.

Yritysjohtaja,

  • Osoita suhtautumisesi tietoturvaan.
  • Varmista työntekijöiden tietoturvaosaaminen, edes yleisellä tasolla.
  • Tiedä tietoturvan pääpointit ja kuuntele asiantuntijoitasi.

Älä möhli vaan mahdollista!

Asenneopintojen koonti: olen ollut asennejankuttaja!

Minulla oli pitkään aikomuksena tutkia ja opiskella tietoturvaan liittyviä asennekysymyksiä. Lopulta otin haasteen vastaan. Nopeasti tajusin, että kyseessä on hieman monipuolisempi ja syvällisempi kokonaisuus kuin osasin ajatellakaan.

Kokosin lyhyet ja epäviralliset asenneopintoni viiteen blogipostaukseen:

Ensimmäiseksi selvitin asenteen käsitettä. Halusin tietää mitä asenteen taustalla on. Laaja aihealue josta löytyy paljon mielenkiintoisia tutkimuksia. Asenne on tietoa, tunnetta ja toimintaa.

Toisessa osassa kokosin yhteen alustavia ajatuksiani tietoturva-asenteisiin vaikuttamisesta. Ymmärsin, että asiaa pitää selvittää lisää. Selvisi, että asenteisiin voidaan vaikuttaa suostuttelevalla viestinnällä sekä pakon ja kannustinten avulla.

Kolmanneksi selvitin lisää suostuttelevasta viestinnästä. Selvisi mm. se, että asennemuutokseen tähtäävässä tietoturvakoulutuksessa kouluttajalla on merkittävä rooli.

Neljännessä osiossa selvittelin asennemuutosta pakon ja kannustinten avulla. Esimerkiksi lainsäädäntö, kuten EU:n tietosuoja-asetus, voi johtaa positiiviseen asennemuutokseen.

Tämän viidennen osan piti koota asenneopintojen aikana muodostuneita ajatuksia yhteen ja tarjota vielä lisää järkevää faktatietoa aiheesta. Sen sijaan tästä muodostuikin henkilökohtainen ahaa-elämys: olen ollut asennejankuttaja!

Asenteeni asenteita kohtaan muuttui

Päädyin lopulta pohtimaan, korostaako huonoista asenteista puhuminen henkilön omaa asennetta? Totesin aikaisemmin blogini esittelytekstissä, että tavoitteenani on muuttaa suomalaisten vääristyneet tietoturva-asenteet. Nyt hieman hävettää ja nolottaa, koska onhan se nyt *** ylimielistä todeta tuollaista! Hyvä tarkoitusperä muuttui helposti haitalliseksi ajatusmalliksi:

Halu auttaa + oma väärä asenne = Asennejankuttaja

Hyvän asenteen tunnistaa kaikki. Huonoja asenteita ei ole tarvetta korostaa. Jos asenne on tunnetta, tietoa ja toimintaa, niin asenne ei muutu asenteista jankuttamalla. Sen sijaan on tarjottava tietoa, mahdollistettava oppiminen ja oikea toiminta. Asenteet kyllä muuttuvat itsekseen, kun olosuhteet sen sallivat. Näin kävi nytkin!

Huh. Tulipahan opittua asiaa asenteista.


Tämä oli – tällä erää – viimeinen osa tietoturva-asenteisiin liittyvässä oppimispäiväkirjassani. Muut osat:

  1. Mitä on asenne tietoturvassa?
  2. Tietoturva-asenteisiin vaikuttaminen
  3. Asiantuntija muuttaa asenteita
  4. Asennemuutos tietosuoja-asetuksen avulla?
  5. Asennejankuttajalla on väärä asenne

Asennemuutos tietosuoja-asetuksen avulla?

Tietoturvan asennemuutos voidaan koittaa saavuttaa pakon ja kannustinten avulla. Jos laki pakottaa tiettyyn toimintaan tai rajoittaa käyttäytymistä, niin se voi johtaa myös käyttäytymistä koskevien asenteiden muutokseen. (Helkama ym. 2015, 203.)

Asennemuutos voi tapahtua myös ihmisen toiminnan kautta. Väitteessä on taustalla ns. kognitiivisen dissonanssin teoria. Teoriaan liittyy seuraava ajatusmalli:

Jos ihmisen tiedot ja teot ovat ristiriidassa, niin ihminen pyrkii pois tästä tilasta muuttamalla tietojaan, asenteitaan tai käyttäytymistään (Helkama ym. 2015, 360). Esimerkiksi työntekijä tietää, että pitäisi käyttää suojattuja tiedonsiirtomenetelmiä, mutta ei käytä. Tästä aiheutuu tunne väärästä toiminnasta. Työntekijä pyrkii korjaamaan tilanteen tai muulla tavalla oikeuttamaan toimintansa.

Aronson ja Mills (1959) tutkivat ajatusmallia käytännössä. Tutkimuksessa selvitettiin keskusteluryhmään liittyviä asenteita. Tulosten perusteella asenne ryhmää kohtaan muuttuu sitä myönteisemmäksi, mitä enemmän koettelemuksia ihminen joutuu läpikäymään päästäkseen ryhmän jäseneksi (Aronson & Mills 1959; Helkama ym. 2015, 204-205).

Tehdäänpä edellisistä tuloksista epätieteellinen maalaisjärkiyleistys: asenne asiaa kohtaan muuttuu myönteisemmäksi, jos henkilö joutuu tekemään paljon työtä asian saavuttamiseksi. Voisikohan tätä soveltaa esimerkiksi yrityksen sisäisissä tietoturvakoulutuksissa, joiden päätteeksi pidetään vaikea testi. Vaikean kokeen läpäiseminen nostaa myönteistä asennetta tietoturvaa kohtaan?

Tai jos työntekijä ymmärtää, että tietoturvallisilla toimintatavoilla voi olla suora yhteys yrityksen menestykseen, hän ei koe tietoturvallista toimintaa ongelmana tai taakkana*. Vaativat asiakkaat edellyttävät hyvää tietoturvan tasoa. Yritys saa enemmän tilauksia, koska asiakkaat arvostavat yrityksen tietoturvan tasoa. Tehdään siis tietoturvallista työtä, jolloin yrityksemme menestyy!

*Toisaalta, jos tietoturvallinen tapa tehdä töitä koetaan ongelmana tai taakkana, niin jossain muualla on isoja ongelmia.

Tietosuoja-asetus on mahdollisuus yrityksille ja asenteille

Mitenköhän ihmisten asenteet tietosuojaa ja tietoturvaa kohtaan tulevat muuttumaan EU:n tietosuoja-asetuksen (GDPR) myötä? Asetus kannustaa (asetuksen hyödyt) ja pakottaa (asetuksen sanktiot) yritykset huomioimaan tietosuojan päivittäisessä toiminnassaan. Mitä enemmän yrityksen työntekijät joutuvat näkemään vaivaa asetuksen vaatimusten täyttämiseksi, sitä myönteisemmäksi asenne tietosuojaa kohtaan muuttuu? Uskon, että asetus kokonaisuutena tulee vaikuttamaan positiivisesti yritysten työntekijöiden asenteisiin tietosuojaa ja tietoturvaa kohtaan, kunhan vaatimusten täyttämisen työtaakka ja koetut hyödyt ovat vähintään tasapainossa. Ensin pitäisi kuitenkin päästä ulos GDPR:n kauhun kehästä!


Tämä oli neljäs osa tietoturva-asenteisiin liittyvässä oppimispäiväkirjassani. Viidennessä osassa kokoan yhteen oppimisprosessin aikana muodostuneita ajatuksia.

Lähteet
Aronson, E., Mills, J. 1959. The effect of severity of initiation on liking for a group. Journal of Abnormal and Social Psychology, 59(2), 177-181.
Helkama ym. 2015. Johdatus sosiaalipsykologiaan. 10. uudistettu painos. Helsinki: Edita.
Ajatusapua, lisää materiaalia ja lähteitä löytyy esimerkiksi Wikipediasta: https://en.wikipedia.org/wiki/Attitude_change#Cognitive_dissonance_theory https://en.wikipedia.org/wiki/Cognitive_dissonance

Vuoden tietoturvaopinnäytetyö 2017 -palkinnot jaettu

Tietoturva ry on jälleen tehnyt ison työn ja arvioinut vuoden tietoturvaopinnäytetyö 2017 -kilpailun ehdokkaat. Palkinnot jaettiin seuraavasti:

Ylemmät korkeakoulut -sarja:  Improving Web Security with Trusted Hardware, master’s thesis, Klaudia Krawiecka

Alemmat korkeakoulut -sarja:  Penetraatiotestauksen menetelmiä käsittelevä kandidaattityö, Tuomas Tyrväinen

Lisätietoja Tietoturva ry nettisivuilla.

Onnea voittajille!

Asiantuntija muuttaa asenteita

Asiantuntija osaa asiansa ja viestinnän salat. Suostuttelevalla viestinnällä voidaan pyrkiä vaikuttamaan ihmisten asenteisiin ja käyttäytymiseen (Helkama ym. 2015, 199). Suostuttelu-guru Robert Cialdini on tutkinut aihetta paljon. Cialdinin mukaan suostuttelevassa viestinnässä kannattaa hyödyntää vastavuoroisuuden, niukkuuden, auktoriteetin, johdonmukaisuuden, tykkäämisen ja yksimielisyyden periaatteita (ks. lisätiedot lähteistä).

Esimerkiksi viesti menee paremmin perille, kun kuulija tietää kertojan olevan asiantuntija. Lisäksi auttaa, kun tietolähde on viehättävä tai miellyttävä (Helkama ym. 2015, 199).

Suostuttelevan viestinnän vaikutus asenteisiin on kuitenkin tilannesidonnaista. Vaikutus riippuu siitä, miten vastaanottaja käsittelee viestejä (Helkama ym. 2015, 199). Esimerkiksi ELM-mallin mukaan:

Jos henkilöllä on motivaatiota/kykyä käsitellä viestiä ja hän kokee, että aihetta tukevat perustelut ovat vahvoja, niin tästä muodostuu todennäköisemmin myönteisiä ajatuksia ja asennemuutosta.

Jos henkilöllä ei ole motivaatiota/kykyä käsitellä viestiä, niin esimerkiksi aiheen esittelijän asiantuntijuudella on suurempi merkitys. Henkilö saattaa luottaa asiantuntijan ilmaisemaan viestiin, mutta tästä johtuva asennemuutos voi jäädä pinnallisemmaksi. (Helkama ym. 2015, 199-203.)

Kun yllä kuvattuun näkökulmaan lisätään ripaus maalaisjärkeä, saadaan seuraava lopputulos. Asennemuutokseen pyrkivässä tietoturvakoulutuksessa kannattaa käyttää kouluttajaa, joka:

  • tunnistetaan alansa asiantuntijaksi,
  • käyttää esimerkkejä ja osoittaa muidenkin toimivan samalla tavalla, ja
  • perustelee asian työntekijän näkökulmasta mielenkiintoisesti.
  • Ja on lisäksi viehättävä?

Tämä oli kolmas osa tietoturva-asenteisiin liittyvässä oppimispäiväkirjassani. Neljännessä osassa kerron tietoturva-asenteisiin vaikuttamisesta pakon ja kannustinten avulla.

Lähteet
Helkama ym. 2015. Johdatus sosiaalipsykologiaan. 10. uudistettu painos. Helsinki: Edita.
Suostuttelun periaatteista löytyy lisätietoja Cialdinin kirjoista, nettisivuilta ja Wikipediasta: Robert Cialdini.