Estimert lesetid: 4–5 minutter
Du vet det sikkert allerede: Effektiv awareness-trening i virksomheten din er ikke lenger et nice-to-have.
Det er et krav. Hvis dere vil endre adferd i virksomheten, må awareness-opplæringen være kontinuerlig og målrettet – det er hele poenget med effektiv awareness i virksomheten.
NIS2 (EU-direktiv som ennå ikke er innlemmet i EØS-avtalen), DORA (gjennomføres i norsk rett via EØS-avtalen), ISO27001 og GDPR peker alle på behovet for en dokumentert innsats mot menneskelige risikoer – særlig dem som ikke kan patches med teknologi. Men å sende rundt en PDF én gang i året og krysse av i et Excel-ark er ikke en innsats. Det er en unnskyldning.
For selv om awareness-trening i økende grad dukker opp både i revisjonsrapporter og strategiske sikkerhetsplaner, henger kvaliteten fortsatt etter mange steder. Ikke fordi viljen mangler – men fordi treningen ikke er utformet for å endre adferd.
Og nettopp adferd er nøkkelen.
Ifølge Ebbinghaus’ glemselskurve glemmer vi opptil 80 % av ny kunnskap i løpet av få dager hvis vi ikke repeterer den. Med andre ord: Hvis awareness-treningen ikke er kontinuerlig, relevant og adferdsorientert, har den svært liten effekt.
Og enda mindre verdi den dagen tilsynsmyndigheten banker på.
Her får du 10 råd som kan bidra til å løfte awareness-treningen fra formalitet til faktisk endring:
1. Start med å selge inn poenget
Hvis medarbeiderne ikke forstår hvorfor de skal trenes, klikker de seg bare gjennom. Awareness må gi mening – også for dem som aldri tenker på cybersikkerhet til daglig.
2. Dropp fagspråket
De færreste medarbeidere er interessert i protokollnavn og compliance-paragrafer. De vil vite hva de konkret skal gjøre – og hvorfor. Snakk et språk man ikke trenger IT-bakgrunn for å forstå.
3. Del det opp – og gjenta det
Glem én årlig awareness-dag. Læring må deles opp i små doser og gjentas over tid hvis den skal sitte. Mikrolæring og nudging fungerer fordi de spiller på lag med hjernen – og arbeidsdagen.
4. Tilpass treningen til virkeligheten
En IT-supporter og en kundeservicemedarbeider har ulike risikoer – og bør derfor ikke få den samme treningen. Relevans er en forutsetning for effekt.
5. Fortell historier, ikke regler
«Du må ikke klikke på lenker» er ikke en brukbar regel. Men historien om IT-sjefen som klikket på e-posten om gratis kake (og utløste et ransomware-angrep), den husker man.
(Ja, det skjedde faktisk.)
6. Gjør det interaktivt
Ingen endrer adferd av å lese en PowerPoint. Treningen må aktivere – med refleksjon, quiz, simulering eller dialog. Det er ikke et informasjonsprosjekt. Det er et læringsprosjekt.
7. Fjern all unødvendig friksjon
Innlogginger, portaler og endeløse klikk dreper deltakelsen. Awareness må være lett tilgjengelig – ellers skjer det ikke. Bruk systemet de allerede bruker. Gjør det enkelt.
8. Gjenta. Gjenta. Gjenta.
En sikkerhetskultur skapes ikke med én kampanje. Det krever vedvarende påvirkning – og det er her awareness kan utgjøre en reell forskjell. Så lenge den fortsetter å være der.
9. Ledelsen må være med – ikke bare støtte opp
Awareness virker bare hvis det underbygges av adferd fra toppen. Når ledelsen tar treningen på alvor og deltar aktivt, blir det tydelig at dette ikke er «noe for de andre».
10. Mål det som betyr noe
«Har åpnet e-posten» er ikke et suksesskriterium. Mål i stedet om folk forstår poengene – og om de handler annerledes etterpå. Juster ut fra det.
Det handler ikke (bare) om trening – det handler (også) om ansvar
Awareness-trening blir altfor ofte redusert til et krav som skal oppfylles – i stedet for en investering i organisasjonens motstandskraft.
Men når det menneskelige elementet fortsatt er den mest utnyttede sårbarheten innen cybersikkerhet, er det ikke nok å kunne dokumentere at man har gjort noe.
Man må kunne dokumentere at det virker.
Skal awareness bli effektivt, må det flyttes ut av compliance-mappen og inn i hverdagen. Det må få en plass i ledermøtene og forankres som en løpende innsats, ikke en årlig begivenhet.
Det krever også at vi tør å spørre oss selv:
- Forstår medarbeiderne våre faktisk truslene vi står overfor?
- Vet de hvordan de best bør reagere?
- Og har vi gitt dem forutsetningene for å gjøre det riktige når presset kommer?
Hvis svaret er «kanskje», er det verdt å ta awareness-treningen på alvor.
Ikke for syns skyld. Men fordi det virker når det gjøres riktig.
Trenger du sparring på hvordan dette kan se ut hos dere? Ta kontakt.
Det koster ingenting å ta en prat, men det kan gi dere langt bedre avkastning enn det årlige medarbeidereventet om cybersikkerhet.
Forfatter: Kim Dalgaard-Duus