Awareness-træning

Hvorfor viden ikke er nok

Styrelsen for Samfundssikkerhed (SAMSIK) skriver i vejledningen Cyberforsvar der virker, at god sikkerhedsadfærd handler om, hvad medarbejderne gør – ikke om, hvad de ved. Plakater, nyhedsbreve og informationsmøder kan skabe kendskab, men ændrer sjældent adfærd i sig selv.

Derfor bør awareness-træning tage udgangspunkt i konkrete situationer fra jeres egen hverdag: Hvem betaler fakturaer? Hvem modtager mails fra ukendte afsendere? Hvem bliver ringet op af “support”? Jo tættere træningen er på de rigtige opgaver, jo større chance for, at den bliver brugt, når det gælder.

Det bør træningen dække

Sikkerdigital.dk anbefaler, at alle i virksomheden kender truslerne og har en sund skepsis over for mails, links, opkald og sms’er. I praksis dækker et godt forløb typisk:

• Svindelbeskeder: phishing på mail, sms og QR-koder samt falske opkald (vishing).
• Betalinger: faste godkendelsesprocedurer og tjek af ændrede kontonumre – se direktørsvindel.
• Login: hvorfor MFA og en adgangskodeadministrator beskytter, og hvorfor man aldrig godkender en login-anmodning, man ikke selv har startet.
• Data: hvad der må sendes, deles eller indtastes i AI-værktøjer – jf. AI-politik.
• Hvad man gør efter et fejltrin: hvem man kontakter, og at det er bedre at melde et klik end at skjule det.

Phishingtests: nyttige, men med omtanke

Mange forløb indeholder simulerede phishingmails, der viser, hvem der klikker, og giver læring på stedet. I Microsoft 365 findes funktionen Attack simulation training, som kræver Microsoft 365 E5 eller Microsoft Defender for Office 365 Plan 2 – den indgår altså ikke i alle abonnementer.

Sikkerdigital.dk har seks principper for sikkerhedstest. Et af dem er, at testen skal teste organisationen, ikke den enkelte medarbejder, og aldrig må udstille enkeltpersoner. Aftal på forhånd mål, rammer, og hvem der kontaktes, hvis en test skaber forvirring.

Sikkerhedskultur: gør det let at sige fra

Sikkerdigital.dk anbefaler en positiv sikkerhedskultur, hvor man kan tale åbent om sikkerhedshændelser. SAMSIK peger på en simpel tænke-pause før man deler oplysninger eller klikker, og på at tvivl i sig selv er grund nok til at handle.

Ledelsens rolle er afgørende: Hvis direktøren selv springer over procedurerne, gør medarbejderne det også. Det skal være helt legitimt at ringe til en leder og spørge, om en betalingsanmodning er ægte.

Typiske misforståelser

• “Vi har haft et kursus.” Én gennemgang om året fastholder sjældent adfærd. Korte, gentagne indslag virker bedre.
• “Vores medarbejdere er det svageste led.” Medarbejdere, der melder mistanke hurtigt, er en del af forsvaret. Skyld og skam får folk til at tie.
• “Træning erstatter teknik.” Nej – spamfilter, MFA og endpointbeskyttelse fanger meget, men ikke alt. Træningen tager sig af resten.

Spørgsmål I kan stille

• Ved alle medarbejdere, hvem de skal kontakte, hvis de har klikket på noget mistænkeligt?
• Har vi en fast procedure for betalinger og ændrede kontooplysninger – og følger ledelsen den selv?
• Hvor ofte får medarbejderne en kort opfølgning, og er indholdet tilpasset vores branche?
• Måler vi, hvor mange der melder mistænkelige mails – ikke kun hvor mange der klikker?
• Bliver nye medarbejdere introduceret til reglerne fra første dag?

Hvornår giver det mening at få hjælp?

Hvis I vil i gang uden at bygge et forløb selv, kan Furesø Data hjælpe med at koble træningen til jeres egne procedurer og tekniske opsætning i Microsoft 365. Se også IT-sikkerhed.

Spørgsmål og svar

Relaterede ord