Ebbinghausin unohtamiskäyrä: Miten ankkuroida kyberturvallisuustaidot pysyvästi?

Monissa suomalaisissa organisaatioissa toistuu joka vuosi sama tuttu kaava. Henkilöstö suorittaa pakollisen 45 minuutin verkkokoulutuksen, vastaa monivalintakysymyksiin ja palaa normaaleihin työtehtäviinsä. Vaatimustenmukaisuuden näkökulmasta laatikko on ruksittu. Silti vain muutamaa viikkoa myöhemmin työntekijä klikkaa haitallista sähköpostiliitettä tai käyttää samaa salasanaa useassa järjestelmässä. Miksi tämä kuilu säilyy, vaikka koulutuksiin panostetaan jatkuvasti?

Syynä ei ole henkilöstön osaamattomuus tai piittaamattomuus, vaan ihmisaivojen biologinen toimintatapa. Ilman säännöllistä ja kohdennettua mieleenpalauttamista aivot karsivat tiedon, jota ne eivät koe arjessa välttämättömäksi. Tämän vuoksi CISO-johdon, tietoturvajohtajien ja koulutusvastaavien on uudistettava koulutusstrategiaansa: lyhytkestoiset teoriatiedot on kyettävä muuntamaan pysyväksi prosessuaaliseksi muistiksi.

Miksi 80 prosenttia kyberturvakoulutuksesta unohtuu kuukaudessa?#

Lyhyesti: Ebbinghausin unohtamiskäyrä osoittaa, että aivot pyyhkivät pois noin 80 prosenttia opitusta tiedosta 30 päivän kuluessa, ellei tietoa aktivoida uudelleen. Massiiviset kerran vuodessa järjestettävät kurssit kuormittavat työmuistia luomatta käytännön rutiineja digitaalisia uhkia vastaan.

Saksalainen psykologi Hermann Ebbinghaus mallinsi jo 1800-luvun lopulla tiedon eksponentiaalisen unohtumisen ajassa. Hänen tutkimuksensa osoittavat, että ilman aktiivista kertausta ihmisaivot menettävät lähes 50 prosenttia opitusta tiedosta jo 24 tunnin sisällä ja yli 80 prosenttia kuukauden kuluessa.

Kyberturvallisuuden kontekstissa tämä ilmiö selittää perinteisten kerran vuodessa suoritettavien koulutusten rakenteellisen epäonnistumisen:

• Kognitiivinen kuormitus: Salasanojen, sosiaalisen manipuloinnin, kalasteluviestien ja salauksen ahtaminen yhteen pitkään koulutussessioon ylikuormittaa vastaanottajan keskittymiskyvyn.
• Kontekstisidonnaisuuden puute: Työntekijä ei osaa yhdistää kerran vuodessa kuultua abstraktia sääntöä epäilyttävään sähköpostiin, joka saapuu perjantai-iltapäivän kiireessä.
• Deklaratiivinen muisti vastaan prosessuaalinen muisti: Turvallisuusohjeen ulkoa muistaminen (deklaratiivinen muisti) ei tarkoita sitä, että henkilöllä olisi automaattinen selkäydinrefleksi kyseenalaistaa väärennetty kirjautumissivu (prosessuaalinen muisti).

Tehokas tietoturva perustuu välittömiin ja oikeisiin reflekseihin. Refleksejä ei kuitenkaan koskaan rakenneta passiivisella vuosikatsauksella.

Miten selättää unohtamiskäyrä tietoisuusohjelmassa?#

Lyhyesti: Muistin heikkenemistä voidaan torjua jakamalla tieto lyhyisiin mikrosisältöihin ja soveltamalla jaksotettua toistoa. Säännöllinen aktivoiminen vahvistaa hermoverkkoja ja muuttaa passiiviset ohjeet kestäviksi, vaistonvaraisiksi suojautumisrutiineiksi.

Kognitiotiede suosittelee Ebbinghausin käyrän kääntämiseksi jaksotettua toistoa (spaced repetition). Joka kerta kun opittu asia palautetaan mieleen ennen kuin se ehtii unohtua kokonaan, sen unohtumisvauhti hidastuu. Tämä vakauttaa ja syventää osaamista pitkällä aikavälillä.

Siirtyminen pelillistettyyn mikro-oppimiseen

Raskaan vuosittaisen koulutuspaketin sijaan huomattavasti tehokkaampi tapa on jakaa oppiminen ympäri vuotta 2-3 minuutin mittaisiin harjoituksiin. Juuri tähän perustuu Cyber Journey, joka on lukuihin ja lyhyisiin mikrotuokioihin jäsennelty progressiivinen oppimispolku.

Yhdistämällä arcade-visailumekaniikoita oppimisprosessiin työntekijä siirtyy passiivisesta seuraajasta aktiiviseksi tekijäksi:

• Säännölliset ja kevyet herätteet: Asioita käsitellään toistuvina pieninä annoksina ilman, että työntekijöiden kalenterit kuormittuvat.
• Rytmitetty mieleenpalauttaminen: Keskeisiin teemoihin palataan eri näkökulmista, mikä pakottaa aivot aktiiviseen tiedonhakuun ja vahvistaa muistijälkeä.
• Vahvempi sitoutuminen: Pelillinen lähestymistapa poistaa turvallisuusaiheiden ympäriltä turhan jäykkyyden ja pitää mielenkiinnon yllä viikosta toiseen.

Prosessuaalinen muisti: valppaudesta automaattiseksi rutiiniksi#

Jotta työntekijä ilmoittaisi tietoturvapoikkeamasta epäröimättä tai tarkistaisi viestin lähettäjän aitouden automaattisesti, toimintamallin täytyy muuttua selkäydinreaktioksi. Tässä astuu kuvaan prosessuaalinen muisti, sama muistijärjestelmä, jonka avulla ajamme polkupyörää tai autoa miettimättä jokaista yksittäistä liikettä.

Tämän muistijäljen vakiinnuttaminen organisaatiossa vaatii kolme keskeistä elementtiä:

• Aktiivinen testaaminen: Kysymyksen esittäminen ja työntekijän asettaminen käytännön valintatilanteeseen aktivoi aivoja huomattavasti enemmän kuin passiivisen ohjeistuksen lukeminen.
• Välitön palaute: Välitön tieto siitä, miksi valinta oli oikea tai virheellinen, korjaa väärinkäsitykset heti ja muodostaa oikeita kognitiivisia assosiaatioita.
• Vaihtelevat tilanneharjoitukset: Eri kontekstien hyödyntäminen (visailut, simulaatiot ja käytännön skenaariot) opettaa tunnistamaan poikkeamat myös arvaamattomissa arkitilanteissa.

Kun nämä periaatteet yhdistetään Cyber Journeyn kaltaiseen jatkuvaan ohjelmaan, jota viedään eteenpäin asiantuntijoidemme tukemana, tietoturvakulttuuri lakkaa olemasta hallinnollinen pakkopulla ja muuttuu organisaation yhteiseksi suojakilveksi.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Journey

Rakenna organisaatiollesi kestävä oppimisohjelma#

Unohtamisen kierteestä irtautuminen edellyttää tutkittuja menetelmiä, motivoivia formaatteja ja nykyaikaiseen työarkeen soveltuvia työkaluja. Kun suojaat organisaatiotasi suunnitelmallisilla ja lyhyillä toistoilla, minimoit inhimillisen riskin tehokkaasti ja pysyvästi. Myös Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus (NCSC-FI) painottaa jatkuvan ja mitattavan harjoittelun merkitystä arjen häiriönsietokyvyn ylläpidossa.

Haluatko rakentaa organisaatiollesi oppimispolun, joka luo aitoja ja pysyviä kyberturvarefleksejä? Ota meihin yhteyttä ja keskustellaan siitä, miten pitkäkestoinen oppimisohjelma toteutetaan parhaiten teidän ympäristössänne.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Tiimien välinen kilpailu: Ratkaisu yli 80 prosentin kyberturvaosallistumiseen (Gamification) : Opi järjestämään osallistava kyberturvakilpailu organisaatiossasi ja aktivoi kaikki tiimit pelillisyyden sekä tiimihengen avulla yli 80 prosentin tasolle.
• 7 kognitiivista vinoumaa joita kyberrikolliset hyödyntävät (ja miten aivot valmennetaan torjumaan ne) (Gamification) : Opi miten hakkerit manipuloivat kognitiivisia vinoumia ja miten pelillistäminen auttaa CISOa kouluttamaan työntekijöistä aktiivisen kyberpuolustuksen.
• Tietoturvatietoisuuden KPI-mittarit: mittaa kulttuuria klikkausprosenttia syvemmältä (Gamification) : Löydä olennaiset tietoturvatietoisuuden KPI-mittarit. Arvioi organisaatiosi todellista kyberturvakulttuuria pelkän kalasteluklikkausprosentin sijaan.
• Cyber Resilience Act (CRA): Tuotekehityksen ja T&K-tiimien sitouttaminen sisäänrakennettuun tietoturvaan (Compliance (NIS 2, DORA, ISO)) : Miten yhdistää ohjelmistokehittäjät ja tuotehallinta CRA-vaatimuksiin? Rakenna kestävä Security by Design -kulttuuri tuotekehitykseen ilman nopeuden hidastumista.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Journey : Oppimispolku etenemiskarttana: lyhyet luvut ja sisäänrakennettu arcade-visa ilman tilin luomista.
• Suunnittele organisaatiosi Kyberturvallisuuskuukauden ohjelma
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)