Tystnad, tillit och tidspress : Hur anställda upplever informationssäkerhet i sitt dagliga arbete

Sammanfattning

Informationssäkerhet beskrivs ofta som ett tekniskt problem som kan hanteras genompolicyer och formella regelverk, men forskning visar att mänskliga och organisatoriska faktorer är avgörande för hur säkerhetsåtgärder efterlevs i praktiken. Forskningsfältet har dock i hög grad dominerats av kvantitativa ansatser med fokus på säkerhetsmedvetenhet och policyefterlevnad, vilket innebär att det finns begränsad kunskap om hur anställda själva upplever informationssäkerhet i sitt dagliga arbete. Syftet med denna studie är att undersöka hur anställda upplever informationssäkerhet i sitt dagliga arbete, samt vilka organisatoriska och individuella faktorer som påverkar dessa upplevelser. Studien utgår från en interpretativ forskningsansats och bygger på en kvalitativmetod där tio semistrukturerade intervjuer utgör det primära datamaterialet. Som komplement har en enkätundersökning genomförts med 128 respondenter från offentlig och privat sektor. Intervjumaterialet analyserades med reflexiv tematisk analys, medan enkätdata analyserades deskriptivt och användes som stödjande empiriskt underlag. Analysen resulterade i fyra övergripande teman: organisatoriska förutsättningar för informationssäkerhet, individuell säkerhetspraktik och kompetens, spänningen mellan säkerhet och arbete, samt tillit, kommunikation och sårbarhet. Resultaten visar att informationssäkerhet i praktiken formas i samspelet mellan organisatoriska strukturer, individuellt ansvar och arbetets faktiska krav. Policyer och utbildningar finns ofta på plats men upplevs sällan som tillräckligt tydliga eller anpassade till det dagliga arbetet vilket leder till att ansvaret i hög grad förläggs på den enskilde medarbetaren. Anställda beskriver också återkommande spänningar mellan säkerhetskrav och effektivitet, där omständliga rutiner eller inkompatibla system driver fram medvetna regelavsteg. Sen visas en tydlig variation i upplevd tillit och kommunikation, där vissa organisationer präglas av öppenhet och återkoppling medan andra kännetecknas av en tystnadskultur där kritik sällan leder tillförändring. Studien bidrar till forskningsfältet genom att synliggöra ett policy-till-praktikgap och visa hur informationssäkerhet bör förstås som en situationsberoendepraktik snarare än enbart som regelefterlevnad. Praktiska implikationer inkluderar behovet av kontinuerlig kommunikation av riktlinjer, avsatt arbetstid för säkerhetsarbete, tydligare ansvarsfördelning, säkerhetssystem utformade efter faktiska arbetsflöden, samt ett organisatoriskt klimat där kritik och frågorkring informationssäkerhet faktiskt tas på allvar.