Säkerhetskultur

Säkerhetskultur används ofta som ett samlingsbegrepp för hur människor i en organisation förhåller sig till cybersäkerhet. Det gör begreppet användbart, men också lätt att göra så brett att nästan vilken säkerhetsaktivitet som helst kan beskrivas som kulturarbete.

Organisationens säkerhetskultur skapas inte bara av vad säkerhetsfunktionen säger, utan också av vad människor ser hända när säkerhet konkurrerar med andra mål. En chef kan säga att säkerhetsrutiner är viktiga, men om samma chef regelbundet accepterar att de kringgås för att leveranser ska gå snabbare kommunicerar beteendet sannolikt mer än orden.

Kultur finns också i hur organisationen reagerar när något går fel. Om en medarbetare som snabbt rapporterar ett misstag möts av irritation eller skuld kan organisationen samtidigt lära andra att det är bättre att vara tyst. Om rapporteringen i stället möts av konstruktiv återkoppling kan samma situation förstärka ett helt annat beteende.

Det innebär inte att kommunikation är oviktig för säkerhetskulturen. Kommunikation bidrar till att etablera normer, förklara prioriteringar och göra säkerhet begriplig. Men den formella kommunikationen behöver stämma överens med organisationens beslut, processer, incitament och ledarbeteenden.

Att arbeta med säkerhetskultur är därför mer än att försöka få människor att ”bry sig mer om säkerhet”. Det handlar om den miljö där säkerhetsbeteenden uppstår. Vilka beteenden uppmuntras, vilka försvåras, vad belönas och vad händer när säkerheten kommer i konflikt med verksamhetens andra mål?