”Chefer måste bli mer delaktiga i it-säkerhet”

Informationssäkerhet är allas ansvar och ett bra ledarskap skapar en kultur där medarbetare vågar rapportera in sina misstag. Det menar Tobias Ander, chief information security officer, CISO, på Örebro kommun, som har skrivit en bok om ämnet. 

Hur ser ett informationssäkert ledarskap ut?  

– Grunden är att vara tydlig med att informationssäkerhet, alltså arbetet med att hindra att information läcker ut eller förstörs, är en prioriterad fråga. Det räcker inte att hantera det på en arbetsplatsträff och känna sig klar. Det ska vara ständigt närvarande, till exempel i utvecklingssamtal.  

Hur ska arbetsplatser skydda sig mot it-attacker? 

– Medarbetare och chefer måste bli mer delaktiga. Informationssäkerhet är inte någon annans ansvar, vi är alla del av skyddet. Och det ligger på närmsta linjechef att kunna ge medarbetare det stödet de behöver. 

Varför tror många att det är it-avdelningens ansvar?  

– Det tekniska skyddet har traditionellt kommit mycket från den avdelningen, så vi har den ryggsäcken med oss och alla har inte lyckats skaka av sig den. Det är en fråga om digital mognad. En organisation som är mindre mogen hanterar säkerhetsfrågor på it-avdelningen, medan en mer mogen hanterar frågan närmare verksamheterna.  

Du talar om informationssäkerhetskultur. Hur ser en sådan ut?  

– Det är en kultur där medarbetare vågar rapportera in att de har gjort något fel och där ledarskapet tar emot det på öppet sätt och försöker ta lärdom av misstaget. Om en medarbetare till exempel inte har låst sin dator kan det finnas skäl till det. Är personen stressad? Hur kan organisationen förebygga att det sker igen?   

Vad är största misstaget chefer kan göra? 
– Det är att fostra synen att de har bäst koll och vet allt. På den arbetsplatsen får man inte delaktigheten från medarbetare, som kan komma med många bra förslag på åtgärder.  

Läs mer: It-chefen som knäckte hackarna 
Läs mer: Experternas bästa tips - så leder du i kris