For deg som vil gjøre noe med IT-sikkerheten – uten å kjede de ansatte i hjel
Awareness-trening i IT-sikkerhet blir ofte misforstått – det handler ikke om å sende ut en video og håpe at noen ser den. Det handler om mennesker, timing og kontekst.
Cybertruslene blir stadig mer kreative. Folk blir distrahert. Og virksomhetene… ja, mange tror fortsatt at awareness-trening i IT-sikkerhet bare handler om å sende ut en video og håpe at noen ser den.
Awareness-trening i IT-sikkerhet trenger verken være tungt eller kjedelig – det handler om å engasjere de ansatte, ikke skremme dem.
For virkeligheten er denne:
82 % av alle sikkerhetsbrudd skyldes menneskelige feil.
Likevel er det bare et fåtall virksomheter som tester de ansattes kunnskap jevnlig. Det er litt som å gi noen et brannslukningsapparat uten noen gang å vise dem hvordan det virker.
Her får du 9 råd som hjelper deg med å få awareness til å gi mening – både for deg og for kollegene dine.
De 9 rådene i korte trekk
- Tren alle – ikke bare de i IT-avdelingen.
- Gi folk det som er relevant for rollen deres.
- Flett egne retningslinjer inn i treningen.
- Tren på et språk folk forstår – og på tidspunkter som passer.
- Husk å dokumentere – ellers teller det ikke.
- Dropp Excel-arkene – automatiser alt.
- Test de ansattes kunnskap – også før dere starter.
- Phishing er ikke alt – men det er viktig.
- Mikrolæring + nudging = bedre læring.
Awareness-trening i IT-sikkerhet trenger likevel ikke være kjedelig eller bare stå i en liste. Faktisk er det en av de mest effektive måtene å redusere risikoen for databrudd på. La oss se litt nærmere på de 9 punktene.
1. Tren alle – ikke bare de i IT-avdelingen
Det holder ikke å bare trene teknikere og IT-ansvarlige. De fleste phishingangrep rammer helt vanlige folk i HR, regnskap, salg og så videre.
Og selv om NIS2 (EU-direktiv som ennå ikke er innlemmet i EØS-avtalen) og GDPR ikke nødvendigvis rammer alle bransjer direkte, gjør kravene til dokumentasjon og ansvar det.
Awareness handler ikke bare om compliance – det handler om ansvar og trygghet. Også for den ansattes digitale liv hjemme.
Anbefalinger:
- Gjør det tydelig hvorfor alle skal trenes – og hva de får ut av det
- Løft frem at treningen også hjelper privat
- Kommuniser det som en felles oppgave – ikke en kontrolløvelse
2. Gi folk det som er relevant for rollen deres
Se for deg å få et kurs om sikkerhetsprotokoller i serverrom når du jobber i resepsjonen. Det er bortkastet tid – og skaper motstand.
Gjør heller dette: målrett treningen. En økonomimedarbeider må kunne avsløre direktørsvindel. En markedsføringsspesialist må vite hva man kan dele – og hva man ikke kan.
Anbefalinger:
- Bruk ordet «roller» – og la det styre treningen
- Del de ansatte inn i grupper med ulike mål
- Bruk eksempler fra hverdagen deres
3. Flett egne retningslinjer inn i treningen
De fleste virksomheter har fine PDF-er med retningslinjer – som ingen leser. Eller finner. Eller forstår.
I stedet for å gjemme dem bort på intranettet bør dere bygge dem inn i treningen. Når noe føles konkret og nært, er sjansen større for at det faktisk blir husket.
Anbefalinger:
- Lenk direkte til deres egne retningslinjer i kurset
- Bruk caser fra deres egen hverdag
- Sørg for at materialet er lett å finne i etterkant
4. Tren på et språk folk forstår – og på tidspunkter som passer
Ikke alle ansatte leser norsk perfekt. Ikke alle har ro til å ta et kurs kl. 14.12 mens supporttelefonen ringer.
Derfor må treningen kunne tas når det passer – og på det språket som gir mening.
Anbefalinger:
- Bruk en plattform med språkvalg og undertekster
- Sørg for mobilvennlighet og fleksibel tilgang
- Gi rom for at folk kan ta pause og komme tilbake
5. Husk å dokumentere – ellers teller det ikke
Har de fullført? Har de forstått det? Har dere bevis hvis noen spør?
Uten data og dokumentasjon blir awareness bare «noe vi gjorde en gang».
Anbefalinger:
- Sørg for at dere kan se gjennomføring per ansatt
- Bruk statistikk til å finne svake punkter
- Del ut diplomer eller badges – det motiverer mer enn man tror
6. Dropp Excel-arkene – automatiser alt
Det blir fort tungvint hvis du manuelt må holde oversikt over hvem som skal ta hvilke kurs – særlig i større organisasjoner med mange ansatte og jobbfunksjoner.
Men det kan automatiseres. Når treningsplattformen snakker med virksomhetens systemer (f.eks. brukeradministrasjonen deres), får nye ansatte automatisk tildelt riktig kurs – uten at noen trenger å løfte en finger.
Anbefalinger:
- Bruk systemintegrasjon (f.eks. mot HR-system eller brukeradministrasjon)
- Tildel trening automatisk ut fra den ansattes rolle eller avdeling
- Sørg for at nye ansatte automatisk blir onboardet i treningen fra første dag
7. Test de ansattes kunnskap – også før dere starter
Det gir ikke mening å måle «fremgang» hvis du ikke vet hvor folk startet.
Test før og etter. Ikke for å peke fingre, men for å finne ut hvor skoen trykker – og hva som virker.
Anbefalinger:
- Lag enkle før- og etter-tester
- Bruk realistiske scenarioer – ikke lurespørsmål
- Gjør det til en del av læringen, ikke en eksamen
8. Phishing er ikke alt – men det er viktig
Phishing er fortsatt den mest brukte metoden for å få tilgang til systemer. Ifølge trendrapporten skjer nesten 9 av 10 vellykkede angrep via social engineering.
Men det stopper ikke der. Svake passord, falske fakturaer og manipulering over telefon er også hverdag.
Anbefalinger:
- Lag bredere tester som dekker flere typer angrep
- Bruk tilbakemeldinger til å forbedre treningen
- Vis eksempler på ekte angrep – det setter ting i perspektiv
9. Mikrolæring + nudging = bedre læring
Ifølge Ebbinghaus’ glemselskurve glemmer vi opptil 70 % av ny kunnskap i løpet av det første døgnet hvis vi ikke blir minnet på den jevnlig.
Derfor fungerer mikrolæring: korte læringsbiter spredt utover tid. Når det kombineres med varsler, diplomer, poeng og små nudges, fester budskapet seg.
Digital awareness blir ikke bare en sjekkliste, men et felles prosjekt som skaper ansvar og engasjement.
Det skal ikke føles som undervisning ledelsen tvinger på de ansatte – det skal oppleves som reell utvikling. Og det merkes, både i kulturen og på bunnlinjen.
Anbefalinger:
- Del kurset opp i moduler – og dryss dem utover året
- Bruk automatiske påminnelser og varsler
- Belønn engasjement med diplom, badge eller poengsum
Vis samlet fremgang – så det føles som et felles prosjekt.
Når awareness-trening i IT-sikkerhet tilpasses den enkelte rollen og virksomhetens risikobilde, begynner det å virke i praksis.
Takk for at du leste
Vi vet godt at awareness-trening ikke er verdens hotteste tema. Men det er ganske viktig. Ikke bare fordi det står i lovverket – men fordi 82 % av alle sikkerhetsbrudd starter med noe så enkelt som en menneskelig feil.
Og det er tankevekkende at så få virksomheter faktisk tester de ansattes kunnskap, selv om angrepene blir stadig mer personlige og vanskeligere å oppdage. AI og IT-kriminelle har gjort det vanskelig selv for den beste menneskekjenneren å avgjøre om Hans fra IT ER Hans fra IT – eller en helt annen med langt fra gode intensjoner.
Derfor handler ikke awareness om å krysse av noe i et Excel-ark. Det handler om å ruste folk til å handle trygt – både på jobben og privat.
Mindzeed lager awareness som faktisk blir gjennomført
Hos oss får du ikke bare tilgang til et læringssystem. Du får en løsning som blir brukt. Med høy gjennomføringsgrad, relevant innhold og tydelig dokumentasjon.