Ottavatko työntekijät tietoturvan ja vaatimustenmukaisuuden tarpeeksi vakavasti?

Sääntöjä rikkovat työntekijät aiheuttavat IT-johtajille päänvaivaa, mutta parhaan ratkaisun löytäminen ei ole helppoa. Kuinka IT-päättäjät voivat löytää tasapainon työntekijöiden vapauden ja liian tiukan valvonnan välillä?

Tasapainon löytäminen on tärkeää, sillä ylilyönnit voivat tulla kalliiksi. Tammikuussa 2024 Amazon hävisi oikeusjutun Ranskassa ja sai 32 miljoonan euron sakot työntekijöiden "liian tunkeilevasta" valvonnasta. Vaikka tapaukset olisivat vähemmän äärimmäisiä, sääntely voi heikentää tuottavuutta ja turhauttaa työntekijöitä siinä määrin, että he saattavat pyrkiä kiertämään sääntöjä.

Canonin tuore tutkimus, jossa haastateltiin yli 1 700 IT-päättäjää, tuo ongelman laajuuden esiin. Tietoturva on ollut viimeiset viisi vuotta IT-päättäjien kolmen haastavimman ja eniten aikaa vievän vastuualueen joukossa. Vuonna 2023 tietoturva nousi tärkeimmäksi haasteeksi (33 %), jota seurasivat vaatimustenmukaisuuden ylläpitäminen ja varjo-IT:n hallinta (molemmat 25 %).

Hybridi- ja etätyöskentely lisäävät tietoturvariskejä. IT-päättäjät painottavat tarvetta kehittää järjestelmiä, jotka parantavat työntekijöiden ohjelmistojen käytön näkyvyyttä (43 %) ja mahdollistavat sääntöjenmukaisuuden valvonnan myös työpaikan ulkopuolella (42 %). Varjo-IT:n valvonnan parantaminen on niin ikään prioriteetti (40 %).

Varjo-IT:n merkitys kasvaa nopeasti. Vuoteen 2027 mennessä arviolta jo 75 % työntekijöistä hankkii, muokkaa tai luo teknologiaa ilman IT-osaston hyväksyntää. Nousu on huomattava, sillä vuonna 2022 luku oli 41 %. Kehitys johtuu ennen kaikkea siitä, että työntekijöillä on yhä enemmän teknologista osaamista ja he pystyvät itse ottamaan käyttöön pilvipohjaisia sovelluksia.

Muutos voi helposti vaarantaa vaatimustenmukaisuuden ja muodostaa todellisen tietoturvariskin. Työntekijät eivät välttämättä ymmärrä, ovatko heidän käyttämänsä sovellukset turvallisia tai mitä lisätoimenpiteitä turvallisuuden varmistaminen vaatisi. CSO-lehden mukaan ongelmaa pahentaa se, että työntekijät saattavat syöttää näihin sovelluksiin arkaluonteisia tietoja yksinkertaisesti saadakseen työnsä tehtyä.

IT-päättäjillä on edessään vaikea tehtävä hallita tietoturvaa maailmassa, jossa työntekijöiden teknologiset valmiudet ja työskentelytavat muuttuvat nopeasti. Tasapainon löytäminen turvallisuuden ja työntekijöiden valinnanvapauden välillä on avainasemassa, mutta väärä lähestymistapa voi johtaa sekä tuottavuuden heikkenemiseen että merkittäviin tietoturvariskeihin.

Työntekijöiden syyt laiminlyödä yrityksen turvallisuussääntöjä ovat usein monimuotoisia. Usein kyse on tiedon puutteesta: työntekijät eivät yksinkertaisesti tiedä, mitä heidän odotetaan tekevän. Lisäksi Informaationhallinnan vaatimukset voivat olla monimutkaisia, eivätkä työntekijät aina ymmärrä, miten nämä vaatimukset liittyvät heidän jokapäiväiseen työhönsä.

Toisaalta syynä voi olla myös käytettävien prosessien tai työkalujen monimutkaisuus. Harvardin tutkimus osoitti, että 5 % työntekijöiden suorittamista tehtävistä tehdään tahallisesti sääntöjen vastaisesti. Kolme yleisintä syytä olivat:

1. "Pystyäkseni hoitamaan omat työtehtäväni paremmin."
2. "Saadakseni jotain mitä tarvitsen."
3. "Auttaakseni muita saamaan työnsä tehtyä."

Tasapainon löytäminen vastuullisen hallinnan ja liiallisen puuttumisen välillä on nykypäivän IT-johtajille ratkaiseva haaste. Työntekijöiden sääntöjenmukaisen toiminnan varmistaminen etenkin toimiston ulkopuolella on yhä tärkeämpää hybridityön yleistyessä.

Avain onnistumiseen on sääntöjen selkeys ja käytännöllisyys. Sääntöjen noudattamisen tulee olla helppoa ja luonnollista, eikä sen pitäisi häiritä työntekoa. Jotta tämä onnistuisi, yritysten tulee:

• Ymmärtää työntekijöiden tarpeet ja toimintaympäristö. Eri toimialat ja roolit vaativat erilaisia käytäntöjä. Keskustelut työntekijöiden kanssa auttavat tunnistamaan, mitkä säännöt ovat aidosti hyödyllisiä ja mitkä aiheuttavat tarpeetonta kuormitusta.
• Panostaa käyttäjäystävällisiin prosesseihin ja työkaluihin. Mitä helpompaa sääntöjen noudattaminen on, sitä vähemmän työntekijöillä on tarvetta etsiä kiertoteitä.
• Korostaa yhteistyötä. Kun työntekijät kokevat, että heitä kuunnellaan ja heidän tarpeensa otetaan huomioon, he ovat valmiimpia sitoutumaan yhteisiin tavoitteisiin.

Tietoturvan ja vaatimustenmukaisuuden varmistaminen edellyttää ympäristöä, jossa tietojen hallinta on selkeää ja valvonta tehokasta. Canonin tutkimus korostaa, että tietojen hallinnan läpinäkyvyys on yhä monille IT-päättäjille haaste. Vain noin puolet ilmoitti, että heillä on mahdollisuus tarkastella ja seurata, miten asiakirjoja hallinnoidaan. Esimerkiksi vain 53 % pystyy seuraamaan, miten asiakirjoja jaetaan. Ilman tällaista näkyvyyttä on vaikea varmistaa, että työntekijät toimivat sääntöjen mukaisesti.

Monet IT-päättäjät ovat kuitenkin jo ryhtyneet toimiin. Yhä useampi organisaatio on ottanut käyttöön digitaalisen asiakirjahallinnan, joka mahdollistaa automaation parhaiden käytäntöjen varmistamiseksi. Perustason toimenpiteisiin kuuluu esimerkiksi:

• Automaattiset käyttöoikeudet, joilla hallitaan, kuka pääsee käsiksi asiakirjoihin ja niiden sijainteihin.
• Arkaluonteisten asiakirjojen automaattinen poistaminen tietyn ajan kuluttua.

Vaikka monet organisaatiot ovat jo siirtyneet digitaalisten ratkaisujen käyttöön, suuri osa IT-päättäjistä myöntää, ettei heillä ole vielä otettu käyttöön edes kaikkia perustason järjestelyjä. Esimerkiksi automaattiset käyttöoikeudet on käytössä vain 51 %:lla vastaajista. Tämä osoittaa, että monilla organisaatioilla on vielä matkaa kattavien valvonta- ja hallintatyökalujen hyödyntämiseen.

IT-päättäjien keskeinen tavoite on varmistaa liiketoimintatietojen turvallinen ja vaatimustenmukainen hallinta. Tämä ei kuitenkaan saa tapahtua työntekijöiden tehokkuuden tai joustavuuden kustannuksella. Tasapainon saavuttamiseksi tarvitaan:

• Asianmukaiset työkalut ja teknologiat, jotka tarjoavat riittävän näkyvyyden tietojen käyttöön ilman manuaalista valvontaa.
• Ihmislähtöinen lähestymistapa, joka huomioi työntekijöiden tarpeet ja työnteon arjen.