När styrdokument möter vardagen : En fallstudie av samspelet mellan organisationens informationssäkerhetsarbete och personalens förståelse och praktiska hantering

Sammanfattning

Detta arbete syftar till att undersöka i vilken utsträckning en organisations informationssäkerhetsarbete stämmer överens med personalens förståelse och praktiska hantering. Bakgrunden till arbetet är att informationssäkerhet i många organisationer styrs av policys, riktlinjer och utbildningsinsatser, samtidigt som tidigare forskning visar att det ofta finns skillnader mellan hur säkerhetsarbetet är tänkt att fungera och hur det faktiskt fungerar i praktiken. Arbetet genomfördes inom en samhällsviktig verksamhet där krav ställs på informationssäkerhet, efterlevnad och riskhantering. Studiens frågeställning besvarades genom en kvalitativ fallstudie med flera datainsamlingstekniker. Materialet som ligger till grund för arbetet består av organisationens relevanta styrdokument, en enkätundersökning, intervjuer samt genomförda simuleringar. Denna data analyserades sedan med inspiration av en innehållsanalys, deskriptiv sammanställning samt en tematisk analys för att identifiera upprepande moment kopplade till informationssäkerhet i praktiken. Studiens resultat visar att organisationen har ett informationssäkerhetsarbete med policys, riktlinjer och ansvarsfördelning som beskriver hur säkerheten ska hanteras inom verksamheten. Samtidigt uppstår det ett glapp mellan den formella strukturen och hur säkerhet faktiskt förstås och tillämpas i det dagliga arbetet. Medarbetarna visar ett grundläggande medvetande kring informationssäkerhet och hot, men saknar detaljerad vetskap kring organisationens specifika policys då kunskapen ofta är begränsad och främst kopplad till den egna arbetsrollen. Säkerheten präglas av individuella tolkningar, sunt förnuft och situationsanpassade beslut snarare än verksamhetens konkreta riktlinjer. Det framkommer även att vissa avvikelser från policys har normaliserats inom verksamheten, samtidigt som utbildningar och uppföljning av säkerhetsarbetet upplevs vara begränsade. Studiens resultat indikerar att organisationens informationssäkerhetsarbete till viss del stämmer överens med personalens förståelse och praktiska hantering, men att det huvudsakliga glappet ligger i hur riktlinjer förstås, förankras, följs upp och efterlevs i praktiken.