Vad är cybersäkerhetskommunikation?

Säkerhet måste översättas för att få betydelse

Cybersäkerhet är ett specialistområde där det behövs specialistkunskap för att förstå ex. attacker, sårbarheter, tredjepartsrisker och hur ett intrång kan röra sig genom en teknisk miljö. Men specialistens förståelse är långt ifrån slutprodukten för säkra organisationer.

För en ekonom på väg att godkänna en betalning är det såklart mindre viktigt att känna till namnet på den social engineering-teknik som angriparen använder och mer viktigt att förstå vilken situation som bör få personen att reagera och vad hen ska göra då.

För en ledningsgrupp är en redogörelse för sårbarheter och risker rakt upp och ner sällan särskilt användbar. I stället är det nyttigare att bl.a. förstå vilken verksamhet som kan påverkas, vad det kan kosta, sannolikhet, vilka alternativ som finns, och om något beslut behöver fattas.

Kommunikationen fungerar som länken mellan de olika perspektiven, vilket också lyfts fram i NIST:s (National Institute of Standards and Technology) Cybersecurity Framework. I den kompletterande vägledning som NIST publicerade i mars 2026 är förbättrad kommunikation om cyberrisk uttryckligen ett av målen för att bättre koppla samman cybersäkerhetsrisker, verksamhetsrisker och personalplanering.

Det handlar inte bara om att få människor att bete sig rätt

En annan vanlig avgränsning är att se cybersäkerhetskommunikation som ett verktyg för beteendeförändring, kommunikation som ska få människor att välja bättre lösenord, rapportera phishing eller följa säkerhetspolicyn.

Det är förvisso en otroligt viktig del, men i mitt tycke en något för snäv definition.

Ibland (eller kanske till och med ofta) är målet definitivt att någon ska göra något annorlunda, men ibland är målet att skapa förståelse inför ett beslut. Ibland behöver säkerhetsfunktionen jobba med kommunikation för att etablera förtroende så att människor faktiskt vågar komma dit när något gått fel, och ibland behöver organisationen förklara sin säkerhet för någon som befinner sig helt utanför organisationen.

Kommunikation påverkar dessutom den miljö där säkerhetsarbetet sker, dvs i människors vardag. Om säkerhetsfunktionen konsekvent kommunicerar med en (även om den är omedveten) straffande ton kan människor bli försiktigare med att rapportera egna misstag. Om nya krav lanseras utan en begriplig motivering eller förklaring till varför det är viktigt, kan säkerhet börja uppfattas som ett hinder som ska arbetas runt. Om chefer aldrig pratar om säkerhet annat än efter en incident blir även det ett budskap om hur (o-)viktigt området egentligen är.

Forskning om cybersäkerhetskultur pekar just på att säkerhet inte bör förstås som enbart ett individuellt eller tekniskt problem, vilket förstås inte är någon överraskning för de flesta som arbetar med säkerhet. En evidensöversikt från 2025 lyfter bl.a. ledningens engagemang, organisatoriskt stöd, gemensamma normer, utbildning, och medarbetarnas förståelse som delar av den organisatoriska säkerhetskulturen.

Jag påstår så inte att kommunikation är hela den kulturen, men kulturen skapas heller inte utan kommunikation.

Organisationer kommunicerar också sin säkerhet utåt

Det finns ytterligare en sida som ofta saknas när cybersäkerhetskommunikation definieras; säkerhet kan också vara något en organisation vill visa upp.

För en potentiell kund är stora delar av leverantörens säkerhetsarbete osynligt, och det är synd. Kunden kan kanske inte kika in i SOC:en, granska åtkomsthanteringen, eller se hur organisationen jobbar med incidenter - men trots allt kan säkerheten vara avgörande för köpbeslutet.

Här har vi ett klassiskt informationsproblem där leverantören vet mer om sin säkerhet än kunden gör, trots att relationen dem sinsemellan förmodligen hade dragit fördel av ett bättre utbyte här (förutsatt att leverantören sköter sin säkerhet förstås).

Signalling theory är användbar i det här sammanhanget, en teori som i förenklad form handlar om hur en aktör kan använda observerbara och trovärdiga signaler för att kommunicera egenskaper som mottagaren inte själv kan observera. I säkerhetssammanhang kan ex. en extern certifiering vara en sån signal, men det kan också vara tydlig information om säkerhetsstyrning, en genomarbetad trust center-sida på webben, beskrivningar av hur kunddata hanteras i avtal, eller generell transparens kring säkerhetsarbetet i all kontakt mellan leverantör och kund.

Aktuell forskning använder signalling theory för att förstå hur organisationers rapportering och offentliggörande av cybersäkerhetsinformation kan funka som signaler. Forskning har också börjat undersöka sambandet mellan företags cyberrelaterade rapportering och deras relationer med kunder. En studie från 2024 fann ex. att större kunder ökade sina inköp från leverantörer vars mått på cybersäkerhetsmedvetenhet förbättrades.

Det här betyder inte att flest "säkerhetsloggor" (ISO, SOC2, osv) på en webbsida vinner, och automatiskt skapar mer förtroende. Certifieringar kan vara värdefulla signaler, men de är inte i sig bevis för att en organisation eller produkt är säker. Forskning om säkerhetscertifiering visar dessutom den helt uppenbara men viktiga begränsningen att certifierade produkter fortfarande kan innehålla allvarliga sårbarheter.

Den kommunikativa uppgiften är därför inte att säga ”vi är säkra”, utan att ge mottagaren trovärdiga signaler och relevant information för att kunna bilda sig en uppfattning om hur organisationen arbetar med säkerhet.

Kommunikation kan visa säkerhet, men inte skapa säkerhet ur ingenting

Det finns en risk här som är värd att ta på allvar. Ju mer attraktivt det blir att kommunicera säkerhet som konkurrensfördel, desto större blir också frestelsen att använda säkerhetsspråk som marknadsföring. "Säkerhet är en topp-prioritet för oss", eller på engelsktalande företag "Best-in-class protection."

Såna formuleringar säger förstås väldigt lite om den faktiska säkerheten, och i värsta fall ökar de avståndet mellan vad organisationen signalerar och vad den faktiskt kan visa och stå för.

Bra extern säkerhetskommunikation bör vara konkret utan att bli tekniskt självutlämnande. Att beskriva principer, styrning, verifieringar, relevanta kontroller, eller helt enkelt en ambition, är något annat än att publicera detaljer som ökar organisationens exponering. Och ett säkerhetspåstående bör alltid tåla frågan "Vad bygger vi detta på?". Samma grundregel gäller internt.

Kommunikation kan göra ett säkerhetsarbete begripligt, och den kan hjälpa människor att prioritera och agera. Den kan bygga förtroende och få säkerhetsfrågan att lira bättre tillsammans med resten av verksamheten.

Men kommunikation kan inte prata en osäker organisation säker.

Cybersäkerhetskommunikation är arbetet med att göra organisationens risker, säkerhetsarbete och förmåga begripliga och relevanta för de människor som behöver förstå, besluta, agera eller känna förtroende, både internt och utanför organisationen.