Pinsamt hemligt: När tystnadskulturen blir säkerhetens största sårbarhet 

Har du sett den? Den svarta, slitna stämpeln med den skarpa texten:

SEKRETESS – Utan stöd i 15 kap. 2 § offentlighets- och sekretesslagen – AV FUNDAMENTAL BETYDELSE FÖR ILLUSIONENS UPPRÄTTHÅLLANDE – PINSAMT HEMLIG. Utlämnande av denna handling kommer att hanteras med kraftigt dröjsmål.

Denna stämpel, framtagen av konsultbolaget Securebyme, framstår vid en första anblick som en träffsäker satir över svensk förvaltningsbyråkrati och det eviga sökandet efter syndabockar. Men bakom den humoristiska fasaden döljer sig en brutal sanning om modern cybersäkerhet.

Det är en diagnostisk märkning för en djupt dysfunktionell säkerhetskultur.

Inom juridiken skyddar 15 kap. 2 § offentlighets-och sekretesslagen (OSL) uppgifter som är av betydelse för rikets säkerhet eller Sveriges försvarsförmåga. Men när den metaforiska stämpeln ”Pinsamt Hemligt” trycks på en händelse, ett misstag eller en sårbarhet, handlar det inte om att skydda nationen. Det handlar om att skydda ledningens eller individens rykte, dölja teknisk skuld eller upprätthålla en skör illusion av perfekt kontroll. Denna tystnadskultur är inte bara ett ledarskapsmisslyckande – den utgör en av de absolut största dolda attackytorna i dagens digitala landskap.

Anatomin bakom tystnaden: Varför vi döljer misstag

Varför väljer så många medarbetare – och till och med erfarna säkerhetschefer – att tiga när något går snett? Nyare forskning visar att upp till 40 % av alla kända säkerhetsincidenter i organisationer förblir orapporterade till den interna ledningen. Ännu mer anmärkningsvärt är att hela 40 % av den faktiska säkerhetspersonalen medger att de har undvikit att rapportera incidenter eller sårbarheter av rädsla för personliga eller professionella konsekvenser.

Drivkrafterna bakom denna tystnad är djupt mänskliga och kan delas in i tre kategorier:

1. Rädsla för skuldbeläggning: I en bestraffande organisation är självbevarelsedriften Om medarbetare vet att ett misstag leder till repressalier, offentlig hängning eller uppsägning, blir den rationella handlingen att dölja felet och hoppas att ingen upptäcker det.
2. Rädsla för pinsamheter: Att erkänna att man klickat på en uppenbar bluff, råkat dela känsliga data eller konfigurerat en molnserver helt öppen är förknippat med stark social ångest. Ingen vill framstå som inkompetent inför sina kollegor.
3. Kravet på ”illusionen”: I många ledningsgrupper mäts framgång genom gröna instrumentpaneler och snygga PowerPoint-presentationer. Att räcka upp handen och visa att en kritisk process är röd ses som ett hot mot den gemensamma

När tystnaden får råda får angriparen exakt vad den vill ha: tid. Tiden som en angripare kan röra sig fritt i ett nätverk innan de upptäcks – förlängs dramatiskt när den som först anar oråd väljer att hålla tyst. Det som kunde ha varit en snabb lösenordsåterställning eller en isolerad server under måndagen, förvandlas till en fullskalig ransomware-katastrof på fredagen.

Rättvis- vs. skuldbeläggande kultur: Skillnaden mellan liv och död

Teorin om rättvis kultur, som ursprungligen utvecklades av professor James Reason inom flygsäkerheten, betonar vikten av att skilja på ärliga mänskliga misstag och medvetet vårdslösa handlingar.

• I en skuldbeläggande kultur ställs frågan: ”Vem orsakade felet och hur ska de straffas?”

Resultatet blir att misstagen stämplas som ”Pinsamt Hemliga” och döljs i det tysta.

• I en rättvis kultur ställs istället frågan: ”Vad i våra processer, system eller prioriteringar tillät detta misstag att ske, och hur kan vi lära oss av det?”

Tabell: Illusionen vs. Verklig säkerhetskultur