Security champions

Security champions (eller säkerhetsambassadörer) är personer som hjälper till att föra ut och förankra säkerhetsarbetet utanför den centrala säkerhetsfunktionen och fungerar på så vis som enormt viktiga och kraftfulla bärare av kommunikation. Exakt hur rollen ser ut varierar mellan organisationer, men grundidén är att människor som befinner sig närmare verksamheten kan fungera som brygga mellan säkerhetsexpertis och det dagliga arbetet.

NIST (National Institute och Standards and Technology) har beskrivit det de benämner cybersecurity advocates som möjliga ”force multipliers” för förändring av säkerhetsbeteenden. Tanken är att säkerhetsfunktionen inte ensam behöver bära alla samtal om säkerhet utan att en person med trovärdighet i verksamheten kan hjälpa kollegor att förstå vad ett säkerhetskrav innebär i deras kontext, svara på enklare frågor och föra tillbaka problem och behov till säkerhetsfunktionen.

Det är den senare delen som ibland glöms bort. En säkerhetsambassadör är inte bara en lokal distributionskanal för centrala säkerhetsbudskap. Rollen kan också ge säkerhetsfunktionen tillgång till kunskap om hur säkerheten fungerar i praktiken. Ambassadörer kan upptäcka processer som skapar onödig friktion, regler som missförstås eller informella arbetssätt som den centrala funktionen annars inte ser.

För att modellen ska fungera behöver rollen dock ha rimliga förutsättningar. Det räcker inte att utse någon som säkerhetsambassadör och sen skicka material som personen förväntas sprida. Personen behöver förstå sitt mandat, få stöd från säkerhetsfunktionen och veta vilka frågor hen kan hantera själv och vilka som behöver eskaleras.

Valet av personer spelar också roll. NIST pekar på att människor i såna roller behöver kunna engagera andra och göra säkerhet relevant. Teknisk kunskap kan vara värdefull, men rollen är i hög grad social och kommunikativ.

Rätt utformade kan ambassadörer därför utöver att öka säkerhetsfunktionens räckvidd, skapa en tvåvägsförbindelse mellan säkerhet och verksamhet och hjälpa organisationen att anpassa säkerhetsarbetet till den miljö där beteendena faktiskt sker.