Se for deg at en medarbeider går på en overbevisende phishing-e-post. Ett klikk – og plutselig kan hackere ha fått en vei inn i virksomheten deres.
Hva gjør dere nå?
Velger dere å peke finger og kanskje gi en formell advarsel, eller bruker dere hendelsen som en læringsmulighet?
Stadig flere organisasjoner gjennomfører i dag phishing-simuleringer for å lære medarbeiderne å avsløre falske e-poster. Men tilnærmingen varierer: Noen steder ender det som en «ha, tok deg!»-øvelse, der feiltrinn utløser skam og straff, mens det andre steder blir et trygt rom der man blir klokere sammen.
Phishing: mennesket er det største sikkerhetshullet
Verizons årlige Data Breach Investigations Report (DBIR) dokumenterer at 82 % av alle sikkerhetsbrudd involverer den menneskelige faktoren – ofte i form av social engineering-angrep som phishing. Phishing er faktisk den mest utbredte teknikken når hackere går målrettet etter mennesker. Med andre ord: For angriperne er det ofte enklere å lure en medarbeider til å åpne døren enn å bryte den opp med tekniske midler.
Konsekvensen er at medarbeidere i hele organisasjonen – fra resepsjonen til ledelsen – må rustes til å gjenkjenne og stå imot disse angrepene. Også myndigheter og standarder har fått øynene opp for problemet. EUs NIS2-direktiv (som ennå ikke er innlemmet i EØS-avtalen) stiller for eksempel krav om at alle ansatte i vesentlige virksomheter jevnlig får opplæring i cybersikkerhet og kjenner til god praksis. Phishing-trening er altså ikke bare «nice to have», men et nødvendig verktøy i verktøykassen for moderne sikkerhetsledelse.
Uthenging virker mot sin hensikt
Når medarbeidere klikker på en falsk e-post i en test, kan det være fristende å gi frustrasjonen fritt løp. Dessverre ser vi eksempler på at noen organisasjoner håndterer det ved å henge ut eller straffe dem som går i fella. En undersøkelse viste at 42 % av organisasjonene har gitt medarbeidere disiplinære advarsler etter sikkerhetshendelser – og anekdotene om «kreative» straffer florerer. I ett tilfelle sendte en leder til og med ut en e-post til hele firmaet med navnet på medarbeideren som hadde gått på en phishing-e-post, som et advarende eksempel.
Problemet med uthenging og straff er at ingen lærer av å bli ydmyket. Forskning tyder på at en skyldkultur kan slå tilbake på organisasjonen som en boomerang: Medarbeidere som føler seg gjort til syndebukker, blir defensive og mister tilliten. Frykten for represalier kan i verste fall få folk til å skjule sikkerhetshendelser eller la være å rapportere dem – stikk motsatt av det vi ønsker.
Sikkerhetskultur rundt phishing-angrep fremfor frykt
Heldigvis viser det seg at medarbeidere reagerer langt mer positivt når ledelsen velger læring fremfor kjeft og fingerpeking. I Karen Renauds studie beskrev ansatte hvordan forståelse fra sjefen etter en sikkerhetsfeil gjorde dem ivrige etter å rette opp og unngå gjentakelser. Ingen ble hengt ut; i stedet fikk de hjelp til å begrense konsekvensene og lære av feilen.
Resultatet var et sterkere forhold mellom arbeidsgiver og medarbeider – og en person som var motivert for å gjøre det bedre fremover. Denne tilnærmingen – noen kaller det en «no blame-kultur» – er gull verdt for sikkerheten. Når folk tør å innrømme feil og dele nestenulykker, får dere som ledelse den informasjonen dere trenger for å reagere raskt på trusler. Kulturen preges av åpenhet og kontinuerlig forbedring.
Men det sprer seg også som ringer i vannet. Det gir ikke bare bedre IT-sikkerhet – det styrker også den generelle kulturen i organisasjonen. En trygg og tillitsbasert tilnærming til læring betyr at folk tør å rekke opp hånden, stille spørsmål og si ifra når noe føles feil – på alle områder. Og det betyr at man støtter hverandre i stedet for å peke finger. Når en medarbeider tør å innrømme en feil – og blir møtt med nysgjerrighet i stedet for skam – blir det lettere for andre å gjøre det samme. Den typen kultur lønner seg i lengden. Ikke bare på sikkerhetsfronten, men også for trivsel, samarbeid og ansvarsfølelse.
Slik bruker dere phishing-tester som læringsverktøy
Phishing-simuleringer kan være et effektivt våpen mot cybertrusler – hvis de brukes riktig. Her er fire konkrete anbefalinger for hvordan de blir en læringsmulighet i stedet for en straff:
1. Gjør det realistisk – og uten forvarsel. Phishing-angrep kommer uanmeldt, og det bør treningen også gjøre. Test ulike typer angrep, og ikke forenkle dem.
2. Gi rask, konstruktiv tilbakemelding. Når en medarbeider klikker, skal vedkommende få hjelp, ikke kjeft. Det kan være en vennlig forklaring eller en kort læringsvideo.
3. Anerkjenn det som gjøres riktig. Belønn dem som oppdager og rapporterer forsøk. Lag små konkurranser, bruk badges eller bare anerkjennelse – det virker.
4. Ledelsen går foran. Gjør det tydelig at formålet er læring, og la også ledere delta og dele egne feil. Det skaper trygghet og tillit.
Phishing-simuleringer skal ses som et læringsrom, ikke en eksamenssituasjon. Derfor fungerer det best når dere gjør det til en fast del av virksomheten – noe alle forventes å delta i, kontinuerlig.
Referanser:
- ENISA – EUs byrå for cybersikkerhet (2023)
- Verizon (2022). Data Breach Investigations Report
- Karen Renaud, Wall Street Journal
- CREST (2021)
- NIST Special Publication 800-53 (Rev. 5, 2022)
- Nordic Cyber Group (2023)