Congruence

Organisationer använder en rad olika åtgärder för att kommunicera hur information ska hanteras på ett säkert sätt. Exempel på åtgärder är informa­tions­­säkerhetspolicyer, regler, riktlinjer och utbildnings­material. För att maximera utfallet av dessa åtgärder är det viktigt att de kommunicerar ett gemensamt och sammanhållet budskap. Om de tillvägagångs­sätt och mål­sättningar som kommuniceras innehåller mål som är sinsemellan motstridiga, blir det svårt för den anställde att veta hur hen förväntas agera.

Syftet med projektet Congruence var att bidra med verktyg för hur man kan kommunicera informations­säkerhet på ett gemensamt och sammanhållet sätt. Projektet utgår från två forskningsfrågor:

• Hur kan man identifiera när olika budskap och mål kring informations­säkerhet kommunicerats?
  
• Hur kan ett gemensamt och samman­hållet sätt att kommunicera informa­tions­säkerhet understödjas?

Frågorna har undersökts genom fallstudier som inkluderat intervjuer, observationer och innehålls­mässiga analyser av informations­säkerhetspolicyer och -regelverk inom svensk sjukvård. Under­sökning­arna resulterade i en metod för att analysera informationssäkerhet och i riktlinjer för hur informations­­­säkerhets­policyer bör designas. Vid brott mot informa­tionssäkerhetsreglerna gör metoden det möjligt att identifiera om sinsemellan mot­stridiga budskap och mål kring informations­säkerhet kommunicerats. Metoden kan användas för att ta reda om olika lednings­system i organisationen kommunicerar oförenliga saker till de anställda. Riktlinjerna ger stöd för hur informationssäkerhets­policyer kan designas för att kommunicera informa­tions­säkerhetspolicyer på ett mer sammanhållet sätt.

En framtida forskningsfråga är hur väl de utvecklade riktlinjerna för design av informa­tions­­säkerhets­policyer fungerar i andra miljöer än sjukvård, som är den miljö de skapades för. Det är även intressant att studera om rikt­linjerna kan användas vid design av annat informations­säkerhetsmaterial, såsom utbildnings­material.