För att sprida kunskap och belysa området säkerhetsskydd har Knowit lanserat en bloggserie. I sju inlägg kommer våra medarbetare att redogöra för utvalda delar av vad som bör ingå i ett systematiskt säkerhetsskyddsarbete samt dela med sig av sina erfarenheter från området. Förra gången skrev Victor Langåssve och Christel Manner i blogginlägg fem om säkerhetsskyddsklassificeringar. Denna vecka har vi kommit till inlägg 6 i serien, där Sebastian Tham beskriver hur man skapar goda förutsättningar för utbildning kopplat till säkerhetsskydd och varför detta är så viktigt. Mycket nöje!
Utbildning är något som vi alla vet behöver genomföras med jämna mellanrum, men som alltför ofta åsidosätts till förmån för andra(s) intressen. Utbildning anses i allmänhet inte lika viktigt eller kritiskt som en deadline eller ett kundmöte, vilket tyvärr ofta leder till att den prioriteras bort i våra överfulla kalendrar. Med det sagt kan det vara angeläget att påminna sig om vad Säkerhetsskyddsförordningen säger avseende utbildning:
”Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att den som anställs eller på annat sätt deltar i verksamheten får utbildning i säkerhetsskydd. Behovet av utbildning ska följas upp under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.”1
Med detta i åtanke blir det avgörande för oss som arbetar med säkerhetsskydd att skapa förutsättningar för att utbildningen får den plats den behöver i verksamhetsplaneringen och i kollegors vardag. Dessutom är säkerhetsskydd ett område som kan uppfattas som lite diffust och komplicerat: hur och vad ska jag egentligen utbilda i? Vem ska jag utbilda? Hur mycket tid kan jag kräva? Detta är återkommande frågor som kan vara svåra att besvara om inte arbetet med utbildning sker regelbundet. Jag hoppas med denna text kunna initiera ett tankesätt som kan lösa de utmaningar ni står inför som har blivit tilldelade uppgiften att utbilda era kollegor.
Hur kan förutsättningar skapas för att utbildningen ska kunna prioriteras? En av de viktigaste uppgifterna utbildaren har är att få med ledningen. Om säkerhetsorganisationen kan arbeta fram en tydligt kommunicerad utbildningsplan avseende säkerhetsskydd som är förankrad hos verksamhetsledningen är halva slaget vunnet. Om ledningen upplever ett värde i att verksamheten har ett starkt säkerhetsskydd kommer det vara betydligt lättare att få loss tid och resurser för genomförandet av utbildningen. Om chefen framhåller att det är viktigt så väljer medarbetarna förhoppningsvis utbildningen framför annat som står i kalendern. Hur vi får med våra chefer på tåget är dock svårt att säga kortfattat. Det behöver arbetas fram utifrån egna och verksamhetens förutsättningar, men det finns vissa generella frågeställningar som kan hjälpa till i denna process är:
-
Vad tjänar organisationen på att utbilda personalen inom säkerhetsskydd?
-
På vilket sätt blir vi en effektivare organisation efter genomförd utbildning?
-
Vilka risker finns det om personalen inte får utbildning?
Att ha ett tydligt syfte med tilltänkt utbildning är också avgörande. Syftet bör styra upplägget med utbildningen och bör vara tydligt och enkelt att förstå, gärna formulerat med endast en mening. Ju kortare, desto bättre. Syftet får dock inte endast vara att ”säkerhetsskyddet ska öka”, då kommer vi inte att nå framgång. Vi behöver vara mer specifika i våra beskrivningar. Om det är svårt att sammanfatta syftet på ett enkelt sätt kan det vara värt att dela upp utbildningen. Fler, men kortare utbildningspass, kan i många fall göra det lättare för mottagaren att ta till sig informationen och framför allt att få in det i sin kalender. Det är också avsevärt enklare att formulera ett tydligt syfte med ett utbildningspass om det handlar om ett avgränsat ämne. Det blir även mer lättförståeligt vad vi förväntar oss av deltagaren när utbildningspasset är slut.
Med kortare, men fler pass, ger vi också medarbetare en chans att reflektera över den information som har delgetts under utbildningen. Med detta sagt anser jag att det är smakligt att skapa en utbildningsserie inom säkerhetsskydd innehållande både grundkurser och påbyggnadskurser. Vissa ska förmodligen vara obligatoriska för många, medan andra bör vara frivilliga. Grundkursen bör vara en övergripande utbildning: en enkel introduktion till ämnet, samtidigt som den informerar om det grundläggande som behövs för att få arbeta med säkerhetsskyddsklassificerade uppgifter. Kurserna bör också vara anpassade efter de målgrupper som finns inom verksamheten. Det är sällan som alla inom en organisation är förtjänta av samma information. Handläggare har som exempel oftast andra utbildningsbehov än ledningsgruppen.
Ytterligare något som behöver tillgodoses är att utbildningen är givande och intressant för våra kollegor. Undvik att skapa utbildningar som endast innehåller paragrafer och regelverk – med sådana utbildningar kommer våra kollegor att sluta lyssna innan vi ens börjar. Självklart ska innehållet i regelverken förmedlas, men det behöver ske i ett sammanhang som gör säkerhetsskydd begripligt för den som inte arbetar med ämnet. Vi behöver vara pedagogiska och beskriva hur just denna paragraf eller stycke berör våra kollegors vardag. Kom med exempel, sätt det i ett vardagligt sammanhang: ”på vilket sätt berör detta mina kollegor?”. Om du inte kan göra det, bör du överväga om det överhuvudtaget ska tas med i utbildningen. Förvaring av säkerhetsskyddsklassificerade handlingar är ett bra exempel på något som berör merparten av de som kommer i kontakt med säkerhetsskydd. I bilaga 1 i FFS 2019:2 från Försvarsmakten står att handlingarna ska förvaras enligt skyddsklass 1. Visar vi en bild med den texten kommer förmodligen ingen att bli något klokare. Vi kan i stället förklara vad skyddsnivå 1 innebär och vad skillnaden mellan nivå 1 och 3 är, samt beskriva vad det innebär i praktiken. Det är ofta först när deltagaren får regelkraven omsatta till ”verklighet” som den förstår varför säkerhetsskydd är viktigt och hur det påverkar dennes vardag.
Något som är svårare att påverka, men kanske ännu viktigare är att få sina kollegor att vilja gå på utbildningen. Om medarbetaren upplever ett personligt intresse i att delta kommer utbildningen att ge deltagarna ett större mervärde och samtidigt öka uteffekten av utbildningen. Vi vill skapa en inställning, ett tankesätt, hos kollegorna; de behöver tänka säkerhetsskydd i arbetet. Självklart kan vi inte begära att det kommer av sig självt, men om vi kan få deltagarna att tänka till innan, eller åtminstone under tiden de deltar i säkerhetsskyddskänslig verksamhet har vi nått stor framgång. Målbilden är att skapa medarbetare som tänker säkerhetsskydd automatiskt och utan någon större kraftansträngning. Detta åstadkommer vi främst genom att få dem att tycka säkerhetsskydd är intressant. Om vi får våra kollegor att intressera sig för ämnet kommer också verksamhetens säkerhetsskydd att öka per automatik och förhoppningsvis leda till att organisationen inte bara är reaktiv, utan också proaktiv i sitt säkerhetskyddsarbete. Ett konkret förslag för att få utbildningen att bli mer intressant är att konkretisera ämnet, ge deltagarna verkliga exempel från nyhetsflödet och historien. Lite populärkulturella referenser från verkligheten kan ofta liva upp!
I slutändan är dock det viktigaste att du som utbildare tycker ämnet är roligt. Om du tycker det är intressant och kul kommer deltagarna att dras med i ditt engagemang. Positivitet och engagemang smittar av sig oavsett ämne. Lycka till!
Sebastian Tham är specialist inom säkerhetsskydd med en lång bakgrund av säkerhetstjänst inom Försvarsmakten. Sebastian arbetar med att analysera verksamheters behov av säkerhetsskydd samt implementering av efterföljande säkerhetsskyddsåtgärder.
Fortsätt gärna följa vår bloggserie där Marie Sjöberg i nästa blogginlägg, seriens sista inlägg, kommer sammanfatta seriens lärdomar och blicka fram mot de ändringar i säkerhetsskyddslagen som träder i kraft den 1 december 2021. Du får också gärna ta kontakt med någon ur vårt säkerhetsskyddsteam om du vill prata mer om säkerhetsskydd. På Knowit är vi vana att arbeta med säkerhetsskydd, och våra specialister stöttar kunder i alla olika delar under regelverket – oavsett om det handlar om analyser, ledningssystem, juridiska bedömningar eller utformande och implementation av åtgärder.
Process för säkerhetsskyddsarbete
Fotnoter
1:SSF 2018:658 5 kap 1 §