Ihmisoikeuspuolustajiin kohdistuvat social engineering -hyökkäykset : SE-hyökkäysten torjunta ihmisoikeustyössä

Abstract

Työssä perehdyttiin SE-hyökkäyksiin (engl. social engineering), niiden toteutustapoihin ja suojautumiskeinoihin tieteellisen kirjallisuuden pohjalta. Opittua sovellettiin ihmisoikeustyön kontekstiin, jossa tarkasteltiin SE-hyökkäysten erityispiirteitä ja vaikutuksia ihmisoikeuspuolustajiin.

Tämän työn tutkimuksen tavoitteena oli kehittää ihmisoikeuspuolustajien suojautumista SEhyökkäyksiä vastaan. Tutkimuksessa haettiin vastauksia seuraaviin kysymyksiin: ”Kuinka hyvin ihmisoikeuspuolustajien itsearvio tietoturvaosaamisestaan vastaa heidän todellista osaamistaan SE-hyökkäyksiin liittyen?”, ”Voidaanko koulutuksen avulla parantaa osaamista ja tarkentaa itsearviota?” ja ”Miten osallistujien suhtautuminen SE-hyökkäyksiin muuttuu koulutuksen jälkeen?”.

Tutkimus toteutettiin kolmivaiheisena kysely- ja havainnointitutkimuksena: alkukysely, koulutus ja loppukysely. Kyselyissä mitattiin sekä itsearvioitua että todellista osaamista. Avoimet vastaukset pisteytettiin ja vertailtiin itsearvioihin. Henkilökohtaista kehitystä arvioitiin kyselyjen tulosten perusteella, ja asenteita tarkasteltiin koulutuksen sekä avoimien vastausten kautta.

Ennen koulutusta suurin osa vastaajista arvioi osaamisensa SE-hyökkäyksen keinoista ja seurauksista korkeaksi. Oma osaaminen koettiin heikoksi erityisesti SE-hyökkäyksistä yleisesti sekä tiedon merkityksestä. Avoimista vastauksista saadut pisteet osoittivat todellisen osaamisen olevan heikompaa lähes kaikissa osa-alueissa. Tulokset korostivat tarvetta koulutuksille erityisesti tiedon merkityksestä sekä SE-hyökkäyksen keinoista ja seurauksista. Koulutuksen jälkeen osallistujien itsearvio ja todellinen osaaminen parani selvästi. Itsearvion ja todellisen osaamisen välinen ero kaventui useilla osallistujilla, mutta säilyi erityisesti SE-hyökkäysten keinojen osalta suurena. Tämä osoittaa, että koulutus lisäsi osaamista, mutta olisi tärkeää kehittää keinoja, joilla osaaminen saataisiin vastaamaan osaamisen kokemusta.

Yleisesti avoimien vastausten laatu parani koulutuksen jälkeen. Henkilöiden asenteissa tapahtui havainnointien perusteella muutos positiivisempaan. Osallistujien sitoutuneisuus tutkimukseen ja siihen liittyvään tietoturvakoulutukseen oli heikko. Organisaation tulisikin korostaa henkilöstölle tietoturvakouluttautumisen priorisointia, mutta myös kehittää kouluttamismenetelmiä, jotka motivoivat henkilöstöä osallistumaan.

Jatkossa tutkimusta olisi syytä laajentaa suurentamalla otantaa ja mittaamalla osaamisen kehittymistä objektiivisemmilla mittareilla. Tutkimuksessa voisi hyödyntää pitkittäistutkimusta ja konkreettisempia osaamisen mittareita kuten simulaatioita. Näin saataisiin tarkempaa ja yleistettävämpää tietoa koulutuksen pidempiaikaisesta vaikuttavuudesta ja SE-hyökkäysten torjunnan kehittämisestä.