Factors affecting information security behavior of employees : a case study - Eskelinen, Eeva (2019)
Työntekijöillä voi olla merkittävä vaikutus organisaation tietoturvalle ja monet organisaatiot ovat ottaneet käyttöön tietoturvakäytänteitä tietoturvallisen käyttäytymisen varmistamiseksi. Yhteisistä käytänteistä huolimatta monet työntekijät eivät noudata tietoturvaohjeistuksia ja siten altistavat organisaation monille tietoturvauhkille. Tässä Pro Gradu -tutkielmassa pyritään tunnistaman tekijöitä, joita työntekijät kokevan motivoivan heitä noudattamaan organisaationsa tietoturvakäytäntöjä ja toisaalta tunnistamaan menetelmiä, joilla työntekijät perustelevat tietoturvakäytäntöjen vastaista käyttäytymistä. Tämä tutkielma tarkastelee ilmiötä seuraavilla tutkimuskysymyksillä: ”Mitkä tekijät motivoivat työntekijöitä noudattamaan tietoturvakäytäntöjä?” sekä ”Kuinka työntekijät perustelevat tietoturvakäytäntöjen vastaista käyttäytymistä?”. Tämä tutkielma koostuu kirjallisuuskatsauksesta ja empiirisestä tutkimuksesta. Tutkimuksen aineisto on kerätty toteuttamalla semistrukturoituja haastatteluja yrityksessä, joka toimii B2B-sektorilla. Tutkimuskysymyksiä tarkasteltiin kolmen eri teemaan avulla, joita olivat seuraavat: työntekijöiden käsitys omasta tietoturvakäyttäytymisestään ja sen vertailu todelliseen tietoturvakäyttäytymiseen, työntekijöiden motivaatiotekijät tietoturvakäytäntöjen noudattamiseen sekä strategiat, joilla työntekijät perustelivat käytäntöjen vastaista toimintaa. Tutkimuksen tulokset osoittivat, että merkittävimmät motivaatiotekijät olivat velvollisuudentunto työnantajaa kohtaan, sekä halu suojata niitä yksilöitä, joiden henkilötietoja yritys käsittelee. Toisen tutkimuskysymyksen osalta tutkimuksen tulokset osoittivat, että menetelmät, joita käytettiin eniten perustelemaan käytäntöjen vastaista toimintaa, olivat vastuun ja vahingon kieltäminen, hankaluus, käsitys riskistä ja luottamus kollegoihin. Tutkimuksen tulokset osoittavat tarpeen työntekijöiden kouluttamiseen mahdollisista riskeistä sekä seurauksista, joita käytäntöjen noudattamatta jättäminen voi aiheuttaa. Tutkimuksessa myös tunnistettiin tekijöitä, joita voidaan hyödyntää työntekijöiden motivoimisessa tietoturvalliseen käyttäytymiseen.