Resolving conflicts between security compliance and human behavior
Estimated reading time: 3 minuten
In dit boekje belicht de auteur de menselijke kant van IT Security. Door gedrag van de doelgroep (de mensen in de organisatie) te koppelen aan de gewenste outcomes (een informatieveiligere omgeving) moet de IT veiligheidsconsulent dit bewerkstellen.
Maar daarvoor moet men weten wat de situatie is, wat de leefwereld van de medewerkers is, wat ze als hun doelen bezien. En wat ze als bezwarend ondervinden.
Uit onderzoek blijkt dat er drie bezwaren zijn tegen informatieveilig werken door de medewerkers:
- Er is geen duidelijke reden om te voldoen aan de IT security regels
- De kost om er aan te voldoen is te hoog
- Er is een onbekwaamheid, een onvermogen om te voldoen aan de regels
Of deze lijst exhaustief is laat de auteur in het midden. De auteur gaat niet veel verder dan het feit dat je dit moet oplossen met empathie voor gewenste usability. Hoe je dat doet is door intens te communiceren met de doelgroep. Helaas stelt de auteur een klassiek schema van communicatie voor, volledig bilateraal, een op een, i.p.v. een communicatie in een netwerk van mensen, many to many.
Het doel van werken aan de informatieveiligheidscultuur gebeurt volgens hem door de medewerkers te tonen dat het een gemakkelijke manier van werken kan zijn. Een van de verklaringen van een zwakke cultuur op dit vlak is de “broken windows theory”: als er in een buurt een ruit sneuvelt, zal de hele buurt daardoor te maken krijgen met een negatieve invloed, zelfs verkrotting. Maar de theorie zou ook omgekeerd werken en het goede voorbeeld tonen loont dus.
Daarna vertelt de auteur over de psychologie van het voldoen aan de regels: daarbij horen extrinsieke en intrinsieke factoren. De externe factoren zijn o.a. beloning, straf, competitie. De intrinsieke factoren zijn o.a. betekenis geven, plezier en interesse. Tussen beide groepen van motivaties bestaan wisselwerkingen, versterkend of afzwakkend. Daarbij zijn andere factoren mee bepalend, zoals autonomie etc.
In het laatste hoofdstuk licht de auteur een tip van de sluier, over het wijzigen van de benadering van aan security te doen.
Vond u deze boekbespreking waardevol? Ontdek dan ook deze gerelateerde artikels voor meer inspiratie en inzichten: