Vilken betydelse har säkerhetskulturen för risken med ”den mänskliga faktorn”?
Dr. Lang börjar med att definiera kultur: de uppfattningar, antaganden och värderingar som styr anställdas förväntningar och beteenden. Han betonar vikten av att få sina anställda att förstå den etiska policyn eller säkerhetspolicyn som tas fram.
”Om de anställda kan få mer arbete utfört när de bryter mot policyn – och verksamheten antingen inte är medveten om det, eller exempelvis blundar på grund av vinstmotiv – är det sannolikt att antalet säkerhetsincidenter ökar.
När avsteg från rutinen inte är uppenbara för alla direkt och det visar sig att fler kollegor gör på samma sätt så finns det risk att policys inte följs till punkt och pricka. Det visar forskning över hela världen”, säger Dr. Lang.
Säkerhetsrisker under pandemiåren
Under pandemiåren saknade många organisationer tydliga regler för säkerheten kring hemarbete. De anställda fattade fler egna beslut, till exempel om de skulle använda arbets- eller privat dator. Samtidigt var det svårt att få in nyanställda i organisationskulturen, och utan det ”kulturella limmet” blev otydligheten större och riskerna ökade.
”Statistiken visar att insiderincidenter (misstag och kriminella handlingar) faktiskt steg under pandemin – personer med dåliga avsikter kunde helt enkelt komma undan med mer när ingen såg vad de gjorde”, säger Dr. Lang.
Säkerhetskultur för små företag
Många företag är så små att de antagligen inte har en HR-, säkerhets- eller juridisk avdelning. Vad har du för tips till dem?
”Små företag kan och bör fortfarande ha ett insiderpreventivt program. De borde åtminstone ha en rapporteringsfunktion igång för sina anställda om de ser något oroväckande, ett stöd till sina anställda om vad som kan vara oroväckande och kommunicera ett tydligt budskap om att de anställda inte behöver undersöka något själva, bara rapportera, samt att verksamheten kommer att följa upp snabbt och med en rättvis bedömning av det som rapporterats. Det behöver också finnas en känsla av att det är okej att anmäla även vid osäkerhet”, säger Dr. Lang.
Han berättar att statistiskt sett är rapporterade avvikelser oftare ett HR-ärende och inte ett säkerhetsärende. En anställd kanske agerar avvikande för att de kämpar med en begynnande alkoholism, drogberoende, familjekris eller bara behöver extra stöd. Han fortsätter med att betona att små företag har en fördel.
”På ett företag med 15 personer känner VD:n förmodligen alla och kan bygga relationer och förtroende med alla och på så sätt skapa en stark organisationskultur med förtroende, ömsesidig tillförlitlighet och samarbete. Det är något som en VD på större företag inte kan göra”, säger Eric Lang.
Ser du några trender bland de illvilliga aktörerna i deras arbetssätt?
”Det vi kan se är att även små kriminella gäng blir alltmer tekniskt avancerade och samarbetar med liknande grupper i andra länder, vilket gör dem starkare och att de kan genomföra större angrepp (såsom stölder och avbrott i verksamheten). Det faktum att vi alla är mer uppkopplade mot informationsnätverk än någonsin gör att ett litet misstag nu kan få stora konsekvenser eftersom systemen hänger ihop”, säger Eric Lang.
Dr. Eric Langs forskning visar att insiderhot inte bara ska ses som hot från illvilliga aktörer som kan behandlas med teknik, utan det handlar om människor, kultur och relationer. Dr. Lang poängterar att även små företag kan bygga en stark säkerhetskultur genom förtroende, tydliga rapporteringsvägar och nära ledarskap. Att arbeta med den mänskliga faktorn är ofta det mest effektiva sättet att förebygga incidenter, och det är något alla organisationer, oavsett storlek, kan göra.