Illa skrivna riktlinjer hot mot informationssäkerhet på svenska myndigheter
Om riktlinjerna inte följs kan viktig information hamnar i fel händer. Men information kan också förstöras eller ändras, konstaterar Fredrik Karlsson och Elham Rostami
Illa skrivna riktlinjer är ett hot mot informationssäkerheten på svenska myndigheter. Det visar en studie vid Örebro universitet.
– Otydliga instruktioner kan leda till att anställda ignorerar dem. Vilket i sin tur kan leda till att myndigheternas information utsätts för risker, säger Elham Rostami, forskare i informatik.
Så skriver man man tydliga riktlinjer:
- Ta reda på vad i texten som är praktiska råd.
- Reservera nyckelord som bara får användas i text som är praktiska råd.
- Använd inga synonymer till nyckelorden.
Elham Rostami och Fredrik Karlsson, professor i informatik, har granskat svenska myndigheters riktlinjer för informationssäkerhet och hittade en genomgående svaghet i sättet de var skrivna: nyckelord som skulle markera praktiska råd användes i över hälften av fallen för andra ändamål.
Rekommendationen är att reservera vissa ord, nyckelorden, till konkreta instruktioner om hur de anställda ska agera. Exempel på dessa nyckelord är: bör, ska och måste. Nyckelorden ska alltså inte finnas i annan typ av text i riktlinjerna.
– Vi har sett att råden blir otydliga och svåra för anställda att förstå. Det leder till förvirring kring vad som ska göras för att skydda myndighetens information, säger Elham Rostami, forskare vid Handelshögskolan vid Örebro Universitet.
Otydliga instruktioner
Resultatet av Elham Rostamis och Fredrik Karlssons studie visar att de reserverade nyckelorden två gånger av tre förekom i andra typer av texter än till att ge just råd.
De analyserade texterna handlade exempelvis om hur man ska formulera ett lösenord eller hur man ska hantera sin dator när man sitter på ett tåg.
– Otydliga instruktioner kan leda till att anställda ignorerar dem. Vilket i sin tur kan leda till att myndigheternas information utsätts för risker, säger Elham Rostami.
Om riktlinjerna inte följs kan viktig information hamnar i fel händer. Men information kan också förstöras eller ändras.
Systemets svagaste länk
Länkar i epost eller besök på en webbsida är vanliga orsaker till hot mot informationssäkerheten. Det är ofta den anställde som utfört handlingen som får skulden.
– Man lyfter oftast fram den anställde som systemets svagaste länk. Men det handlar också om vad de får för förutsättningar. Det är det som vi studerar, säger Fredrik Karlsson.
Elham Rostami pekar på att kvaliteten i riktlinjerna kring informationssäkerhet och sättet som riktlinjerna är utformade är ett viktigt forskningsområde.
– Att skydda individer, organisationer och samhället mot cyberhot är grundläggande för dagens värld, konstaterar hon.
Text: Kerstin Önnebo
Foto: Privat