Tietoturvakäyttäytymiseen vaikuttavat tekijät

Abstract

Opinnäytetyön tavoitteena oli selvittää, mitkä tekijät vaikuttavat tietoturvakäyttäytymiseen. Lähtökohta toimeksiannolle oli se, että tiedon luokitteluun ja käsittelyyn liittyvät ohjeet muuttuivat OP Ryhmässä, ja haaste oli se, miten saada henkilöstö toimimaan ohjeiden mukaan. Koulutus toteutettiin verkkokurssina. Verkkokurssin tavoitteena on lisätä tietoturvatietoisuutta, mutta tietoisuus ei aina siirry käytännön toimintaan. Opinnäytetyön viitekehykseen kuului tietoturvakäyttäytyminen, tietoturvatietoisuus ja niihin liittyvät motivaatioteoriat. Lähestymistavaksi valikoitui toimintatutkimus, joka sopii hyvin tutkimukselliseen kehittämistyöhön. Tiedonkeruumenetelmät olivat haastattelu ja kirjallisuuskatsaus. Tutkimusaineiston perusteella tietoturvakäyttäytymiseen vaikuttavat tekijät ovat asenteet, palkkiot ja rangaistukset, tarpeet, tietoisuus, muisti, keskittymiskyky, verkkokurssin ominaisuudet, ajankäytön haasteet, vaikutukset omaan työhön, viestintä ja arvot. Johtopäätös on se, ettei tietoisuuden lisääminen vaikuta suoraan käyttäytymiseen, mutta koulutuksella voidaan korostaa hyviä toimintamalleja. Lisäksi organisaatiossa varmistetaan, että ohjeiden noudattaminen on käytännössä mahdollista. Viestinnällä voidaan vaikuttaa siltä osin, ettei tietoturvallisuuteen liittyviä ohjeistuksia unohdeta. Palkitsemisella voi motivoida henkilöstöä toimimaan turvallisemmin.

The objective of the thesis was to map which factors influence information security behavior. The starting point for the assignment was that the instructions related to the classification of information were changed in OP Financial Group, and the challenge is how to have the employees act in accordance with the instructions. Security training was implemented as an online course. The purpose of the online course is to raise information security awareness, but awareness does not automatically translate into employees acting securely. The frame of reference introduces the themes of information security behavior, information security awareness and related motivation theories. The research approach chosen was action research, which is well suited for research and development work. Data collection methods include an interview and a literature review. Based on the research data, the factors influencing information security behavior are attitudes, rewards and sanctions, needs, awareness, memory, ability to concentrate, features of the online course, time management, implications for one's own work, communication and values. In conclusion, raising awareness with training does not directly affect behavior but it can emphasize working practices. In addition, the organization can ensure that it is practically possible to follow the instructions in the organization. Communication can make an impact on the information security-related instructions so that they are not forgotten. Rewarding can motivate employees to act more securely.