Human behavior from Cyber Security perspective

Abstract

The purpose of the thesis was to consider issues affecting human behavior and to assess if they could be better considered in the implementation of security practices. The study focuses on human behavior when an employee faces manipulation. Why does the employee not follow the instructions he receives, even if they protect him? Are there ways to improve compliance with security policies? Can security practices be implemented differently and what should be considered from the subject matter perspective? Cyber security is the topic in the thesis. The current security thinking is generally based on how to make the object secure, despite the human. Human activity is always a threat to the security chain. All aspects and actions, where human threats can be decreased, even to a smaller extent, are relevant. The research method is a case-based research approach. The subject of the research is an invented chain of events, however, it is based on known or commonly used practices. The thesis discovered that training and ready-made approaches are almost the only effective means of protection against social hacking. The onion security thinking is also an effective way to prevent damage from spreading.

Opinnäytetyön tavoitteena oli pohtia ihmisen käyttäytymiseen vaikuttavia asioita sekä arvioida, voisiko niitä huomioida aikaisempaa paremmin tietoturvakäytäntöjen teossa. Työ keskittyy ihmisen käyttäytymiseen silloin, kun hän joutuu manipuloinnin kohteeksi. Miksi ihminen ei noudata saamiaan ohjeita, vaikka ne suojelisivat häntä itseään? Onko keinoja tehostaa tietoturvaohjeistuksien noudattamista? Voiko tietoturvakäytännöt toteuttaa toisin ja mitä tulisi ottaa huomioon aihepiirin näkökannalta? Kyberturvallisuus on ajankohtainen aihealue. Nykyinen turvallisuusajattelu lähtee siitä, miten kohde saadaan turvalliseksi ihmisestä huolimatta. Ihmisen toiminta on aina uhka tässä turvallisuusketjussa. Kaikilla näkökulmilla ja toimilla, joilla ihmisen tuomaa uhkaa voidaan saada pienemmäksi, on merkitystä. Tutkimusmenetelmänä oli tapauspohjainen tutkimusstrategia. Tutkimuksen kohde on keksitty tapahtumaketju, joka kuitenkin perustuu tunnettuihin tai yleisesti käytössä oleviin käytänteisiin. Tutkimuksessa selvisi, että koulutus ja valmiit toimintamallit ovat lähes ainoita tehokkaita keinoja suojautua sosiaalista hakkerointia vastaan. Kokonaisvaltaisesti käytetty sipulimallinen tietoturva-ajattelu on myös tehokas tapa estää vahinkojen laajeneminen.