Estimert lesetid: 4 minutter
Se for deg et sikkerhetsbrudd i en nordisk virksomhet. Det starter ikke med avansert skadevare eller en sårbarhet i systemet. Det starter med en helt vanlig e-post som lander hos en ansatt som har det travelt. Han eller hun klikker på en lenke som ser legitim ut – og i det øyeblikket er skaden skjedd.
Slike hendelser skjer oftere enn de fleste tror. Ifølge den nyeste danske rapporten om befolkningens informasjonssikkerhet har 76 % av danskene vært utsatt for digital svindel som privatpersoner. Det høres kanskje ut som noe som først og fremst hører hjemme i privatlivet, men det gjør det ikke.
For menneskene som blir svindlet privat, er nøyaktig de samme som logger seg på virksomhetens nettverk mandag morgen. De bruker samme telefon, har samme adferd og ofte de samme passordene. Det er de digitale vanene deres – ikke IT-avdelingen – som i praksis avgjør hvor sårbar organisasjonen er.
Det er nettopp disse vanene angriperne er interessert i.
Når vi snakker om hackere, tenker mange fortsatt på tekniske ferdigheter og avanserte angrep. I virkeligheten jobber mange av dem minst like systematisk med mennesker. De observerer adferdsmønstre, kjenner igjen travelhet, utnytter tillit og vet hvordan hverdagsrutinene ser ut i nordiske organisasjoner.
Det handler derfor sjelden om å bryte ned et system. Det handler om å finne øyeblikket der et menneske handler på autopilot.
Og det er her phishing blir så effektivt.
Phishing ser ikke lenger ut som en trussel
De aller fleste vellykkede angrep utnytter sosiale og psykologiske mekanismer. De er bygget for å ligne noe mottakeren allerede kjenner: en e-post fra sjefen, en melding fra en kollega, en forespørsel om å bekrefte en leveranse.
Når noe føles kjent, reagerer vi raskt og tenker mindre.
Det er dette angriperne utnytter. Ikke fordi vi er naive, men fordi vi er mennesker. Og på en travel arbeidsdag er det ikke alltid mistanke som styrer musen. Det er automatiske handlinger. Rutiner. Tillit.
Teknologi stopper ikke adferd
Det er ikke det at tekniske løsninger ikke er viktige. Det er de. Men de kan ikke stå alene. Selv den mest avanserte brannmuren kan ikke hindre en ansatt i å klikke på en lenke i en godt utformet phishing-e-post. Det som utgjør forskjellen, er om den ansatte kjenner igjen mønsteret og vet hvordan man skal reagere.
Derfor er ikke awareness et kryss i et Excel-ark. Det er en sikkerhetsstrategi i seg selv.
Så hva gjør de mest digitalt sikre virksomhetene?
De jobber ikke med awareness som kampanjer, men som kultur.
De trener ikke for å oppfylle krav, men for å endre vaner.
De skaper ikke frykt, men forståelse.
Hos Mindzeed hjelper vi organisasjoner med å omsette menneskelig innsikt til digital sikkerhet. Vi bruker virkelighetsnære simuleringer, mikrolæring og adferdspsykologi som verktøy for å gjøre trygg digital adferd til en naturlig del av hverdagen.
Vil du vite hvordan organisasjonen deres ville reagert?
Vi viser dere gjerne hvordan trening og adferdsforståelse kan brukes til å styrke sikkerhetskulturen.
Book en demo – eller ta kontakt hvis dere har lyst på en faglig prat.
Det krever en strategi der mennesker er en del av løsningen, og ikke bare blir sett på som en risiko som skal minimeres. Digital awareness-trening er en del av den strategien. Vil du vite hvordan dere kan komme i gang – uten buzzwords og uten krøll?