På uppdrag av Myndigheten för samhällsskydd och beredskap (MSB) har en förstudie genomförts med syftet att sammanställa forskningsresultat om kompetenshöjande åtgärder inom informationssäkerhetsområdet för att kartlägga utbildningsbehov och identifierade nyttoeffekter. Arbetet har genomförts av forskare från tre olika lärosäten, Högskolan Skövde, Karlstad Universitet och Stockholms Universitet, samt inom tre forskningsdiscipliner nämligen pedagogik, informationssäkerhet och företagsekonomi.
Förstudien har haft i uppdrag att besvara följande frågeställningar:
Hur definieras kompetens?
Hur mäter man kompetens?
Hur skiljer sig olika typer av utbildningsinsatser avseende nyttoeffekter? Vilka erfarenheter,
utvärderingar förklaringsfaktorer kan identifieras?
Hur och i vilken utsträckning tillgodogörs olika typer av utbildningar?
Vad kännetecknar framgångsrika utbildningsinsatser?
Resultatet visar att kompetensbegreppet är svårdefinierat och det finns ingen tydlig definition av begreppet. Ett försök till en sammanfattande beskrivning av kompetensbegreppet utifrån granskningen är att kompetens innebär en viss uppsättning kunskaper, färdigheter, etik och attityder i en viss kontext. Kompetens innefattar både egenskaper och intentioner där egenskap inkluderar kunskap och färdighet, och intentioner innefattar etik och attityder. Allt måste dock relatera till en kontext och alltid ses i sitt sammanhang.
Ytterst få studier har fokus på mätning av kompetens både generellt och inom informationssäkerhetsområdet. De studier som genomfört någon form av mätning mäter främst kompetens utifrån det akademiska fältet och då i första hand utifrån ett kunskapsperspektiv. Forskning av mätning på yrkesverksamma är minimal inom de sökområden som granskats i denna förstudie.
Avseende kompetensbehov, nyttoeffekter, erfarenheter och framgångsfaktorer visar granskningen att framgångsfaktorer generellt är när utbildningsinsatserna för yrkesverksamma har ett praktiknära fokus. Motivationen och engagemanget hos de som går en utbildning är av avgörande betydelse. Det går inte direkt att avgöra vilka utbildningstyper eller aktiviteter som är av störst betydelse utan granskningen visar att en kombination av olika utbildningsformer och aktiviteter är att föredra. Vidare är dialog och diskussion i den dagliga verksamheten av stor betydelse för att bygga upp en hållbar säkerhetskultur i organisationen. Den s k tysta kunskapen ska inte underskattas utan behöver tas i beaktande och stödjas.
Ytterligare är ledningens engagemang, delaktighet och stöd för utbildningens genomförande av avgörande betydelse om en utbildning ska uppnå en tydlig effekt i verksamheten.
Granskningen visar att det finns behov av ytterligare forskning avseende kompetensbehov och på vilket sätt olika utbildningsinsatser ger effekt i organisationer. Förslag på ett diskussionsunderlag för framtida arbete har tagits fram. Förslagen innefattar bl a behov av kompetensanalyser, metoder och verktyg för att mäta utbildningseffekter, riktade kompetenshöjande insatser för managementnivån, longitudinella studier för uppföljning av effekter samt utveckling av metoder och verktyg för ett situerat lärande.
Granskningen har genomförts inom olika disciplinområden vilket har uppfattats mycket positivt av de deltagande forskarna. Eftersom informationssäkerhet är ett interdisciplinärt område krävs också att bredare perspektiv och ytterligare discipliner bör ingå i framtida fördjupade analyser i området. Exempel på tillkommande discipliner är beteendevetenskap, psykologi och juridik. Behovet av kompetens inom informationssäkerhetsområdet lär inte minska i framtiden och ytterligare forskning behövs för att rätt utbildning ska nå rätt person vid rätt tidpunkt och på rätt plats.
Skövde i mars 2014