Det farligaste säkerhetsproblemet kan vara tystnaden

När tekniken inte räcker till

Brandväggar, flerfaktorsautentisering och andra tekniska skydd är viktiga delar av organisationens säkerhet. Men tekniken kan inte ensam förebygga alla risker.

Angripare försöker ofta utnyttja mänskliga beteenden, exempelvis genom nätfiske, där ett mejl eller meddelande utformas för att lura mottagaren att lämna ut information eller klicka på en skadlig länk.

Även erfarna medarbetare kan göra misstag. Poängen är inte att människor är slarviga. Poängen är att organisationens förmåga att upptäcka och hantera risker också beror på hur människor agerar när något oväntat inträffar. Och framför allt på om de vågar säga till.

Den avgörande stunden är efter misstaget

Alla gör fel. Någon klickar på en misstänkt länk. Någon skickar en fil till fel mottagare. Någon lämnar en dator olåst. Konsekvenserna kan bli mycket olika beroende på hur snabbt händelsen upptäcks, rapporteras och hanteras.

Ett misstag som rapporteras omedelbart kan ofta hanteras innan konsekvenserna blir allvarliga. Om samma händelse förblir oupptäckt eller undanhålls kan skadan växa. Hur snabbt någon larmar påverkas i hög grad av vad personen tror kommer att hända när hen berättar. Om reaktionen förväntas bli skuld, kritik eller misstänkliggörande ökar risken att människor väljer tystnad. Det är mänskligt. Och det är något ledarskapet kan påverka.

Vad jag har sett i praktiken

Innan jag började arbeta med cybersäkerhet arbetade jag inom lager och produktion i Italien och Spanien. Där lärde jag mig något som jag har tagit med mig sedan dess.

På arbetsplatser där chefen svarade på ett misstag med ”bra att du sa till” kom problemen ofta upp direkt och kunde lösas snabbt. På arbetsplatser där den första frågan i stället var ”vem har gjort det här?” fanns en större benägenhet att försöka dölja felen tills de inte längre gick att ignorera. Det handlade inte om IT eller cybersäkerhet. Det handlade om hur ledaren reagerade.

I mitt arbete med etisk hackning och säkerhetstester ser jag hur viktigt det är att upptäcka sårbarheter innan någon hinner utnyttja dem. En angripare kan ibland behöva hitta bara en enda svaghet. Om någon i organisationen redan har upptäckt ett problem men inte vågat berätta om det kan värdefull tid gå förlorad.

Det är därför säkerhetskultur inte bara handlar om kunskap och teknik, utan också om relationer, tillit och beteenden.

Tystnaden kan bli dyrare än misstaget

Tänk dig två chefer. Den första reagerar på en felrapport med en suck och frågan:

”Hur kunde det här hända?”

Den andra säger:

”Tack för att du sa till. Nu ser vi till att lösa det.”

Efter en tid kan de två arbetsgrupperna ha utvecklat helt olika sätt att hantera misstag. I den första gruppen rapporteras kanske få problem. Det kan se ut som ett tecken på att allt fungerar väl, men det kan också bero på att medarbetarna inte vågar berätta. I den andra gruppen kommer fler problem upp till ytan. Det kan skapa en bild av att verksamheten har fler brister, men samtidigt ge bättre förutsättningar att upptäcka risker och lära av dem.

Här finns en tydlig koppling till forskaren Amy Edmondsons arbete om psykologisk trygghet. Psykologisk trygghet handlar om att människor upplever att de kan ställa frågor, uttrycka oro och berätta om misstag utan att riskera att bli förödmjukade eller bestraffade för att de säger ifrån.

Forskningen visar att psykologisk trygghet kan bidra till lärande och öppen kommunikation i arbetsgrupper. Det innebär inte att fler rapporterade misstag automatiskt betyder att en organisation är säkrare. Men det innebär att antalet rapporter behöver tolkas i sitt sammanhang. En organisation där ingen berättar om problem är inte nödvändigtvis en organisation utan problem.

Mät det som hjälper organisationen att lära

Många organisationer genomför övningar där medarbetarna får simulerade nätfiskemejl. Ett vanligt mått är hur många som klickar på den misstänkta länken. Det kan ge användbar information om sårbarheter och behov av utbildning.

Men om resultatet främst används för att peka ut dem som gjort fel riskerar övningen att skapa rädsla snarare än lärande. Därför behöver vi också ställa andra frågor.

Hur många upptäckte och rapporterade det misstänkta mejlet? Hur snabbt kom informationen fram? Fick medarbetarna återkoppling? Och vad lärde sig organisationen av övningen?

När ledningen uppmärksammar och uppskattar att medarbetare rapporterar misstänkta händelser förändras signalen. Övningen blir inte bara ett prov där någon riskerar att misslyckas, utan en möjlighet att tillsammans utveckla organisationens säkerhet.

Fyra saker du som ledare kan göra

1. Visa att även du kan göra misstag

Berätta om situationer där du själv har varit nära att göra fel eller har behövt be om hjälp. När ledaren vågar visa sin egen mänsklighet kan det bli lättare för andra att göra detsamma.

Psykologisk trygghet skapas inte enbart genom policyer och riktlinjer. Den formas också genom hur vi beter oss mot varandra i vardagen.

2. Tacka först – utred sedan

Den första reaktionen när någon berättar om ett misstag kan påverka viljan att rapportera nästa gång. Börja med att visa uppskattning för att personen berättade.

Därefter behöver händelsen naturligtvis utredas och eventuella brister åtgärdas. Men fokus bör ligga på att förstå vad som hände, varför det kunde hända och hur liknande situationer kan förebyggas. Att visa förståelse betyder inte att avstå från ansvar.

3. Gör säkerhet till ett gemensamt ansvar

Cybersäkerhet är inte enbart IT-avdelningens uppgift. Alla behöver förstå vilken roll de har, vilka risker de bör vara uppmärksamma på och hur de ska agera när något verkar fel.

Men gemensamt ansvar kräver också tydlighet. Medarbetare behöver veta vad som förväntas av dem och vilket stöd de kan få.

4. Gör det enkelt att rapportera

Även en öppen kultur behöver fungerande rutiner. Det ska vara enkelt att veta vart man vänder sig, hur man rapporterar en misstänkt händelse och vad som händer därefter.

Om det krävs flera mejl, långa formulär eller upprepade påminnelser för att få hjälp riskerar viktig information att fördröjas. En tydlig rapporteringsväg och snabb återkoppling kan göra stor skillnad.

En säkerhetskultur byggs i vardagen

Tillit går inte att köpa som en licens eller installera som ett nytt säkerhetssystem. Den byggs i vardagen, genom små handlingar och återkommande beteenden: hur du reagerar på ett misstag, vem du lyssnar på och vad du väljer att uppmärksamma och belöna.

En organisation där människor vågar säga ”jag tror att jag har gjort fel” har bättre förutsättningar att upptäcka problem i tid. Det betyder inte att tillit kan ersätta tekniska skydd, utbildning eller tydliga säkerhetsrutiner. Men tekniken och rutinerna fungerar bättre när de stöds av en kultur där människor känner ansvar och vågar agera.

Så nästa gång någon kommer till dig med ett misstag, fundera över vilken signal ditt första svar skickar. Skapar du en vilja att berätta även nästa gång? Eller riskerar du att göra det lite svårare?

För en stark säkerhetskultur börjar inte bara med vad människor vet att de ska göra, utan också med vad de vågar göra när något går fel.

Och där har ledarskapet en avgörande betydelse.