Tietoturvakäytännöt turvallisuusstressin aiheuttajana

Abstract

Tietoturvakäytänteet muodostavat organisaatioiden tietoturvan ja tietoturvakulttuurin perustan. Ne tukevat organisaatioiden liiketoimintatavoitteiden saavuttamista, ohjaavat henkilöstön tietoturvakäyttäytymistä ja toimivat tietoturvan kommunikointivälineenä. Tietoturvakäytänteet ja niiden noudattaminen voidaan kuitenkin kokea kuormittavaksi, josta aiheutuvaa stressiä kutsutaan turvallisuusstressiksi. Aikaisemmassa turvallisuusstressin ja tietoturvakäyttäytymisen tutkimuksessa IT-alan työntekijät ovat selvästi olleet aliedustettuina, sillä tutkimus on kohdistunut muihin ammattialoihin. Kirjallisuuskatsauksen perusteella aikaisemmassa tutkimuksessa ei myöskään ole tunnistettu, millaiset tietoturvakäytänteet työntekijät kokevat kaikista stressaavimmiksi. Tutkielman tavoitteena oli saada vastauksia näihin tutkimusaukkoihin ja parantaa ymmärrystä suomalaisten IT-alan työntekijöiden kokemasta turvallisuusstressistä. Työntekijöiden mielipiteitä ja kokemuksia tietoturvakäytänteiden stressaavuudesta selvitettiin laadullisten teemahaastatteluiden avulla ja aineiston analysointimenetelmänä toimi teemoittelu. Tuloksien mukaan työntekijät kokevat etenkin salasanoihin, tietoturvateknologioihin, arkaluonteiseen tietoon ja laitteisiin liittyvät tietoturvakäytänteet ylikuormittavina, sillä ne yhtäaikaisesti lisäävät runsaasti työmäärää ja vähentävät työtehtäviin käytettävissä olevaa aikaa. Osa stressaavista tietoturvakäytänteistä myös koettiin monimutkaisina, sillä niitä koskevat ovat puutteellisia, vaikeaselkoisia tai hankalia ymmärtää.

Information security policies form the foundation of organizations’ information security and information security culture. They support organizations in achieving their business goals, guide the information security behavior of the employees, and function as a communication tool for information security. However, information security policies and complying with them can be experienced as straining and the stress caused by it is called security-related stress. The previous research on information security behavior and security-related stress has focused mainly on non-IT employees, leaving the IT employees underrepresented. Additionally, according to literature review, it has not been identified what kind of information security policies the employees experience as the most stressing. The goal of this thesis was to find out answers to these gaps in the previous research and gain better understanding in what the most stressing information security policies for Finnish IT employees in the IT sector are. The experiences and opinions of the employees regarding information security policies were investigated using qualitative theme interviews and the interview material was analyzed with thematic methods. It was found out that especially policies related to passwords, information security technologies, sensitive information, and devices are experi-ences as overloading because they simultaneously increase the amount of work and decrease available work time for other work tasks. Some of the stressing information security policies were also experiences as complicated because they are insufficient or hard to understand.