Hva slags kunnskap, bevissthet og praksis har lærere i skolen rundt informasjonssikkerhet?

Masterstudentene Rune Vålandsmyr Olsen og Simen Tokerud ved Institutt for informasjonssystemer ved Universitetet i Agder er interessert i informasjonssikkerhet.

I sin masteroppgave, Teachers’ awareness, knowledge and practice of information security in school, har de under veiledning av førsteamanuensis Cathrine Tømte undersøkt hvordan lærere i skolen forholder seg til dette.

Viktig tema

Nyhetsartikler om elever som har kommet seg inn i systemer i skolen de ikke burde hatt tilgang til gjorde at de to studentene ønsket å finne ut mer om informasjonssikkerhet i skolen.

– Vi ble nysgjerrige på spørsmål om hvordan disse elevene hadde fått tilgang til dataen og om det er systemet, læreren, skoleeier eller andre som har feilet, forteller Tokerud.

I og med at samfunnet og skolen blir mer og mer digitalt mener de at det er viktig at aktørene i skolen vet noe om risikoer knyttet til informasjonssikkerhet som følger med den digitale utviklingen.

– I skolen håndteres det for eksempel sensitive opplysninger om elever. Da er det spesielt viktig at de som jobber der har god kontroll på rutiner rundt informasjonssikkerhet for å hindre at disse opplysningene skal komme på avveie, sier Olsen.

Tømte påpeker også at en økende digitalisering av og i samfunnet betyr at vi må lære barn og unge å bli gode digitale borgere.

– Her er digital dømmekraft avgjørende og inn under digital dømmekraft finner vi også det som har med informasjonssikkerhet å gjøre. Dette må lærere og skoleledere ha kunnskap om slik at de både kan være gode rollemodeller og ikke minst pedagogisk legge til rette for at barna utvikler en god digital sikkerhetskultur, hevder hun.  

Manglende fokus i skolen

Informasjonssikkerhet i skolen er et understudert tema i Norge. Det er gjort noen kvantitative undersøkelser, men Olsen og Tokerud har gått kvalitativt til verks i sitt mastergradsarbeid ved å intervjue lærere, IT-ansvarlige, rektorer og skoleeiere i Kristiansand og Vennesla kommuner.

– Vi fant ut at det er et forbedringspotensial knyttet til dette temaet i skolen, sier Tokerud.

– Kommunene har i stor grad brukt tid på anskaffelse av hardware og software for å oppnå 1:1-dekning for elevene og utvikling av pedagogiske opplegg som drar nytte av dette. Opplæring og trening for skolene i informasjonssikkerhet har til nå ikke blitt prioritet, til tross for at Vennesla kommunes nye digitaliseringsstrategi setter fokus på temaet, fortsetter han.

Manglende fokus på informasjonssikkerhet blir ifølge Olsen og Tokerud forklart med at lærere har det veldig travelt og har lite tid til overs i hverdagen.

– Dette er selvsagt forståelig, men da er det kommunens ansvar å prioritere informasjonssikkerhet, mener Olsen.

Både han og Tokerud mener at utfordringene knytta til informasjonssikkerhet i skolen henger sammen med organisasjonskulturen.

– Vi har snakket med rektorer og skoleeiere som sier at informasjonssikkerhet ikke er deres hovedfokus, forteller Tokerud.

– Samtidig opplevde mange av lærerne vi intervjuet at de ikke sitter med ansvaret for dette, men at det er enten IT-avdeling, rektor eller kommunen som har ansvaret for informasjonssikkerheten i skolen, forsetter han.

– Svaret er imidlertid at de alle har et delt ansvar for at dette skal fungere, sier Olsen.

Han legger til at alle som jobber i skolen har sine ansvarsområder avhengig av hvor i systemet de jobber. Både rektor, IT-avdeling og lærere må ha en felles forståelse av at de sammen har et samlet ansvar for informasjonssikkerheten.

– Lærere og skolen generelt må få kunnskap om for hvor viktig dette er, og kommunen og rektorer må prioriterer informasjonssikkerhet høyere slik at lærerne får tid til å sette seg skikkelig inn i stoffet, sier han.

Tokerud og Olsen minner om at det ofte er en langvarig og krevende prosess å endre en organisasjonskultur.

– Det er derfor viktig at vi kommer i gang med denne prosessen så fort som mulig, og at det i mellomtiden gjøres mer forskning på området for å sikre tilstrekkelig digital kompetanse i hele skolesystemet, sier de.

Et felles ansvar

Olsen og Tokerud mener at det må settes av tid til arbeid med informasjonssikkerhet på ulike nivåer i skolesektoren hvis det skal skje noen positiv endring.

– Først og fremst er det viktig at alle lærere innser at de har et samlet ansvar, sier Olsen.

Han oppfordrer lærere til å be om å få gå på kurs om informasjonssikkerhet og at de følger de retningslinjene som skolen kommer med.

– Det er viktig at lærerne stiller seg kritisk til bruk av applikasjoner eller tjenester utenom det IT-avdelingen og kommunen anbefaler. Sjekk gjerne hvem som lager tjenesten, og om de har et dårlig rykte når det gjelder informasjonssikkerhet, fortsetter Olsen.

Studentene oppfordrer også lærerne til å være oppmerksomme på at elever kan komme seg inn i systemer som ikke de skal ha tilgang til.

– Skoleeier bør på sin side prioritere tid til opplæring og trening av informasjonssikkerhet i skolen, og vi anbefaler at det i samarbeid med skolene arrangeres informasjonssikkerhetsuker, gjerne i samarbeid med nasjonale initiativer som nettvettdagen og personverndagen, sier Tokerud.

– For å vedlikeholde kunnskapen og bevisstheten blant lærerne kan skolene for eksempel utnevne en forkjemper for informasjonssikkerheten som har ansvar for å lede ukentlige diskusjoner på 5-10 minutter rundt temaet, forslår han.   

De nyutdannede masterstudentene anbefaler også at skoleeier arrangerer kurs for rektorer.

– Det er utrolig vanskelig å endre skolens syn på informasjonssikkerhet hvis rektor ikke er klar over risikoene digitalisering innebærer, og hvor viktig det er at skolen beskytter seg mot disse, sier Olsen.

Bør være en del av undervisningen  

Tokerud og Olsen er opptatt av at elevene ofte blir glemt når det er snakk om informasjonssikkerhet i skolen.

– Lærerne får ofte en stor del av ansvaret for opplæring av elevene i sikker bruk av internett og digitale enheter. De legger vekt på kildekritikk, deling av bilder online, nettmobbing og andre temaer innen cyberethics og cybersafety, men de legger ikke særlig stor vekt på informasjonssikkerhet i opplæringen, noe elevene kunne trengt mer av, sier Tokerud.  

Elevene lærer for eksempel at de ikke skal lage enkle passord eller dele passordet sitt med andre, men opplæring i bruk av “password managers”, flerfaktorautentisering og antivirusprogrammer blir ofte glemt, ifølge Tokerud.  

Olsen og Tokerud mener at også lærerutdanningene bør gi informasjonssikkerhet en større plass i undervisningen.

– Vi har sett noen kvantitative data fra andre land der de fleste lærerstudentene viser lav kompetanse innenfor ulike typer trusler mot informasjonssikkerheten. De fleste vet for eksempel ikke hva phishing, bakdører og keyloggers er, forteller Olsen.  

– Våre egne funn blant lærere i Agder stemmer godt overens med funnene fra utenlandske studier blant lærerstudenter.  Vi foreslår derfor å få inn et eget fag rettet mot informasjonssikkerhet. Hvis dette blir for snevert, kan faget utvides til generell digital kompetanse og ta for seg alle tre kunnskapsdomener fra C3-rammeverket.

Tømte er enig med Olsen og Tokerud i at informasjonssikkerhet bør bli en integrert del av lærerutdanningen slik at studentene er godt forberedt på å håndtere dette når de skal ut i skolen.

UiA tilbyr sine studenter på grunnskolelærerutdanningene å velge emnet Digitalisering i skolen og lærerens profesjonsfaglige digitale kompetanse. Tømte har ansvar for emnet og underviser der i samarbeid med grunnskolelærere i delte stillinger som er tilsatt gjennom satsninger i ProDiG-prosjektet. 

– I emnet bruker vi mye tid på temaet etikk, som er ett av de sju områdene i Rammeverket for lærerens profesjonsfaglig digitale kompetanse, og her inngår informasjonssikkerhet, forteller Tømte og oppfordrer studentene på grunnskolelærerutdanningene til å velge emnet i sin utdanning.