5. Institutionell teori

Question 1

Vad är en institution?

Answer 1

”Institutioner är strukturer baserade på mer
eller mindre för givet tagna, formella eller informella,
regler vilka begränsar och kontrollerar (eller stöder)
socialt beteende”.

Question 2

Vad är syftet med att applicera institutionellt teori inom informationssäkerhet?

Answer 2

Genom att:
Analysera/förstå och förklara vad som styr mänskligt beteende kan vi:

Påverka och styra beteendet så det blir bra för informationssäkerheten

Question 3

Vilka analysobjekt går det att applicera institutionell teori på?

Answer 3

Endast där det finns mänskligt beteende.

• ex på administrativa åtgärder

Question 4

Vilka analysnivåer finns?

Answer 4

Individ

Organisationsenhet
- avdelning

Organisation
- företag/myndighet

Bransch
- telekombranschen

Land

Kontinent

Question 5

Vad är bakomliggande antagandet?

Answer 5

Graden av säkerhet i alla informationssystem bestäms i slutändan av människors handlande.

Question 6

Hur begränsar institutioner mänskligt beteende?

Answer 6

De definierar

• legala
• moraliska
• kulturella

gränser.

Question 7

Enligt Scott finns tre pelare för institutioner, vilka?

Answer 7

Regulativa
Normativa
Kulturella-kognitiva

-delar vilka, tillsammans med tillhörande aktiviteter och resurser, skänker stabilitet och mening åt socialt liv

Question 8

Vad är regulativa institutioner?

Answer 8

Utvecklas under tid, börjar som idéer och slutar som regler/lagar.

Efterlevnad krävs genom tvång/juridiskt sanktionerande.

• ex GDPR

Question 9

Vad är normativa institutioner?

Answer 9

Bindande förväntningar/standarder. Certifiering, ackreditering.

Moraliskt styrda.

Handlar om att leva upp till oskrivna regler och förväntningar.

• ex roller inom informationssäkerhet i ett företag – förväntningar på beteende utifrån roller.

Question 10

Vad är kulturella-kognitiva institutioner?

Answer 10

Delade uppfattningar, inte uppskrivna. Syns som gemensamma värderingar/handlingar.

• ex inom informationssäkerhet: Hur man faktiskt beter sig vid sidan om regler, säkerhetskultur.

Question 11

Hur skapas och upprätthålls en institution? (5 steg)

Answer 11

1) Institutionen kodas in i aktören genom en socialiseringsprocess
2) När institutionen är ”internaliserad” omvandlas den till ett ”skript” (handlingsmönster)
3) När aktören agerar i enlighet med handlingsmönstret etableras institutionen
4) Andra aktörer kan se handlingsmönstret och tar upp samma mönster
5) Efter en tid ses handlingsmönstret som ”självklart”

Question 12

Hur överförs institutioner? (bärare) (3)

Answer 12

Symboliska system:
- Regler, lagar, värderingar, förväntningar, etc.

Relationssystem:
- Styrsystem, identiteter, etc.

Rutiner:
- Protokoll, lojalitet, rollbeskrivningar, riktlinjer, etc.

Question 13

Ge exempel på institutionella bärare inom infosäk:

Answer 13

• Standarden ISO/IEC 27001 och 27002 som berättar hur man kan styra sin informationssäkerhet
• Informationssäkerhetspolicyer i organisationer
• Informella rutiner som styr hur man får agera

Question 14

Hur bör en analys göras utifrån detta synsätt? (3 steg)

Answer 14

1. Tänk – vilka regler – formella eller informella – styr beteendet här?
2. Vilka institutionella ”bärare” finns, vilka saknas?
3. Om beteendet är ”osäkert”, hur kan jag använda kunskapen om institutioner för att påverka det i ”säker” riktning? Hur kan en bryta mönstret?

Question 15

Nämn tre tvingande mekanismer för organisationer? (3)

Answer 15

• Lagkrav
• Kundkrav
• Ägarkrav

Question 16

Vad är mimetiska mekanismer?

Answer 16

• Följ ledande konkurrent

Question 17

Vad är normativa mekanismer?

Answer 17

• Konsulter (copy-and-paste policyer)

- Personcertifieringar som ger liknande synsätt