Rökning, cybersäkerhet, och varför kunskap inte automatiskt leder till rätt beteende

Vi älskar medvetenhet (eller awareness, för den som föredrar konsultsvenska), men problemet är att människor har känt till sambandet mellan rökning och allvarliga hälsorisker väldigt länge, samtidigt som själva beteendet har levt kvar långt efter att informationen blivit allmänt känd.

Jag är uppvuxen i en helt annan rökningskultur än den vi har i dag. Innan jag fanns rökte mina föräldrar två paket om dagen, inomhus eller var de nu råkade befinna sig. Själv växte jag upp med kampanjer om att rökning dödar, äckliga bilder på cigarettpaket och en offentlig diskussion där ingen rimligen kunde missa att bolmande var dåligt för hälsan.

Om awareness ensamt hade varit den avgörande faktorn borde människor ha slutat betydligt tidigare. Det gjorde de inte, så alltså måste något mer ha hänt.

Att vi svenskar röker betydligt mindre nu går förstås inte att förklara med en enda psykologisk mekanism. Vi har under lång tid sett informationskampanjer, beskattning, reglering, reklamrestriktioner, rökfria miljöer, stöd till rökstopp och andra interventioner. Det här är intressant, för framgången kom inte genom att någon hittade den perfekta affischen med budskapet "rök inte". Hela miljön runt beteendet förändrades - beteendedesign på samhällsnivå.

Människor kan veta bättre och ändå välja annorlunda

Det här gäller inte bara rökning - det finns massvis med saker vi vet är dåliga eller farliga, men ändå struntar i. Människor äter sånt de bestämt sig för att undvika, kör fortare än de borde, skjuter upp viktiga uppgifter, dricker alkohol trots kända hälsorisker och sitter uppe för länge trots att väckarklockan ringer vid 05.30 imorgon. Inte för att de aldrig fått information eller lärt sig att alkohol är farligt, utan därför att beslut fattas mitt i en situation där kunskap bara är en av flera krafter.

Vi testar att föra över det här resonemanget till säkerhetsområdet och ser vad som händer, säg när någon inte rapporterar ett misstänkt mail. Personen kan veta exakt vad phishing är och ha gått tre microlearnings bara senaste två månaderna om ämnet, men ändå inte göra som man lärt sig. Kanske är rapporteringsknappen svår att hitta, kanske känns processen omständig. Möjligen kan personen vara rädd för att rapportera något legitimt och se dum ut, eller så rapporterade hon förra veckan men fick aldrig någon återkoppling.

Mer awareness, mer kunskap, löser inget av dessa problem.

Kommunikation är en del av systemet, inte hela systemet

Det är här jag tycker att tobaksparallellen blir som mest användbar, för framgångsrik beteendeförändring handlar sällan om att hitta den magiska lösningen. Information samspelar med miljö, normer och sociala koder, regler, incitament, friktion, stöd och vanor (och massa annat). WHO:s arbete med tobaksbekämpning bygger just på kombinationer av olika interventioner snarare än en ensam informationskampanj. Vi kanske borde tänka mer så inom säkerhet.

Ibland behöver vi utbilda, ibland påminna. Försöka förändra normen genom att synliggöra vad kollegorna gör, eller ge återkoppling vid rätt beteende så att människor känner att deras beteende spelar roll. Och ibland behöver vi helt enkelt flytta på knappen, ändra standardvalet eller bygga bort möjligheten att göra fel.

Kunskap är viktig, men den är bara en del av beteendeekvationen. Så när människor redan vet men ändå inte gör som vi vill är det ingen anledning att ge upp - det är snarare där den intressanta analysen börjar.