Turvallisuusstressi ja työntekijöiden tietoturvakäyttäytyminen : aiheuttajat, vaikutukset ja ennaltaehkäiseminen

Abstract

Tämä kandidaatintutkielma käsittelee turvallisuusstressiä, sen aiheuttajia ja vaikutuksia yrityksen työntekijöiden tietoturvakäyttäytymiseen. Tutkielmassa esitellään lisäksi organisaatiotason keinoja turvallisuusstressin ennaltaehkäisemiseen ja sitä kautta työntekijöiden tietoturvakäyttäytymisen parantamiseen. Turvallisuusstressi on stressaavista tietoturvakäytänteiden turvallisuusvaatimuksista aiheutuvaa ylikuormitusta, monimutkaisuutta ja epävarmuutta. Se aiheut-taa työntekijöissä uupumusta, turhautuneisuutta ja negatiivisia asenteita tietoturvakäytänteitä noudattamista kohtaan. Turvallisuusstressillä on lisäksi selkeä yhteys yrityksen tietoturvakäytänteiden rikkomisen ja noudattamatta jättämisen kanssa. Se johtaa työntekijöissä usein neutralisaatioreaktioihin, joilla työntekijät järkeistävät tietoturvakäytänteiden rikkomisen. Työntekijöiden koulutus, tietoturvakäytänteiden selkeyttäminen ja työntekijöiden osallistaminen uusien tietoturvakäytänteiden suunnitteluun ovat turvallisuusstressiä ennaltaehkäiseviä tekijöitä. Lisäksi tietoturvakäytänteitä toteuttavien teknisten ratkaisujen kehittäminen ja tarkoin harkitun tietoturvakäytänteiden noudattamatta jättämisen havaittiin olevan turvallisuusstressiä ennaltaehkäiseviä tekijöitä. Tutkielma on toteutettu kirjallisuuskatsauksena ja lähteiden etsinnässä on käytetty useita tietojärjestelmätieteen tieteellisten artikkeleiden tietokantoja.

This Bachelor’s Thesis focuses on security-related stress and its causes and effects on company’s employees’ information security behavior. This thesis additionally presents several mechanisms to prevent security-related stress and to improve employees’ information security behavior. Security-related stress is overload, complexity and uncertainty created from a company’s stressing security requirements described in information security policies. It causes the employees to feel fatigue, frustration, and negative attitude towards complying with company’s information security policies. Security-related stress and information security policy non-compliance have a distinguished connection between them. It often results in neutralization reactions in employees, which they use to rationalize their information security policy breaking behavior. Educating employees, clarifying information security policies, and engaging employees in planning new information security policies reduce the security-related stress the employees feel. Developing technical solutions implementing information security policies is additionally a preventing factor of security-related stress, as well as allowing non-compliance in carefully selected situations. This thesis was done in the form of a literature review, and various scientific databases, focusing on information system science literature, were used to gather the referenced sources.