Beräknad lästid: 4–5 minuter
Du vet det nog redan: effektiv awarenessträning i ditt företag är inte längre ett nice-to-have.
Det är ett krav. Om ni vill ändra beteende i företaget ska awarenessinsatser vara kontinuerliga och målinriktade – det är hela poängen med effektiv awareness i företaget
NIS2 (Cybersäkerhetslagen), DORA, ISO 27001 och GDPR (dataskyddsförordningen) pekar alla på behovet av dokumenterade insatser mot mänskliga risker – särskilt de som inte kan patchas med teknik. Men att skicka runt en pdf en gång om året och sätta bockar i ett excelark är ingen insats. Det är en ursäkt.
För även om awarenessträning i allt högre grad förekommer i både revisionsrapporter och strategiska säkerhetsplaner, haltar kvaliteten fortfarande på många håll. Inte för att intentionen saknas – utan för att träningen inte är designad för att förändra beteende.
Och just beteende är nyckeln.
Enligt Ebbinghaus glömskekurva glömmer vi upp till 80 % av ny kunskap inom loppet av några dagar, om vi inte återbesöker den. Med andra ord: om awarenessträningen inte är kontinuerlig, relevant och beteendeorienterad, har den mycket liten effekt.
Och ännu mindre värde, om tillsynen en dag knackar på.
Här får du 10 råd som kan vara med och lyfta awarenessträningen från formalia till faktisk förändring:
1. Börja med att sälja poängen
Om medarbetarna inte förstår varför de ska tränas, klickar de sig bara igenom. Awareness ska kännas meningsfullt – även för dem som aldrig tänker på cybersäkerhet till vardags.
2. Släpp fackspråket
Få medarbetare är intresserade av protokollnamn och compliance-paragrafer. De vill veta vad de konkret ska göra – och varför. Tala ett språk man inte behöver it-bakgrund för att förstå.
3. Dela upp det – och upprepa det
Glöm allt om en årlig awarenessdag. Lärande ska delas upp i små doser och upprepas över tid, om det ska fastna. Mikrolärande och nudging fungerar, eftersom de samspelar med hjärnan – och arbetsdagen.
4. Anpassa träningen till verkligheten
En it-supportmedarbetare och en kundservicemedarbetare har olika risker – och bör därför inte ha samma träning. Relevans är en förutsättning för effekt.
5. Berätta historier, inte regler
”Du får inte klicka på länkar” är ingen användbar regel. Men historien om it-chefen som klickade på mejlet om gratis tårta (och utlöste en ransomware-attack) kommer man ihåg.
(Yes, det hände.)
6. Gör det interaktivt
Ingen ändrar beteende av att läsa en powerpoint. Träningen ska aktivera – med reflektion, quiz, simulering eller dialog. Det är inget informationsprojekt. Det är ett lärandeprojekt.
7. Ta bort all onödig friktion
Inloggningar, portaler och klickfest dödar deltagande. Awareness ska vara enkelt att komma åt – annars händer det inte. Använd det system de redan använder. Gör det enkelt.
8. Upprepa. Upprepa. Upprepa.
En säkerhetskultur skapas inte med en kampanj. Det kräver ihållande påverkan – och det är här awareness kan göra verklig skillnad. Om den fortsätter att finnas där.
9. Ledningen ska vara med – inte bara backa upp
Awareness fungerar bara om det backas upp av beteende från toppen. När ledningen tar träningen på allvar och deltar aktivt blir det tydligt att det här inte är ”något för de andra”.
10. Mät det som betyder något
”Har öppnat mejl” är inget framgångskriterium. Mät i stället om folk förstår poängerna – och om de agerar annorlunda efteråt. Justera efter det.
Det handlar inte (bara) om träning – det handlar (också) om ansvar
Awarenessträning reduceras alltför ofta till ett krav som ska uppfyllas – i stället för en investering i organisationens motståndskraft.
Men när den mänskliga faktorn fortfarande är den mest utnyttjade sårbarheten inom cybersäkerhet, räcker det inte att kunna dokumentera att man har gjort något.
Man ska kunna dokumentera att det fungerar.
Det kräver att awareness flyttas ut ur compliance-mappen och in i vardagen, för att den ska bli effektiv. Att det får en plats i ledningsrummet, och att det förankras som en löpande insats, inte en årlig händelse.
Det kräver också att vi vågar fråga oss själva:
- Förstår våra medarbetare egentligen de hot vi står inför?
- Vet de hur de bäst reagerar?
- Och har vi gett dem förutsättningarna att göra rätt när pressen slår till?
Om svaret är ”kanske” – då är det värt att ta sin awarenessträning på allvar.
Inte för syns skull. Utan för att det fungerar, när det görs rätt.
Om du behöver sparring på hur det kan se ut hos er – hör av dig.
Det kostar ingenting att ta ett snack, men det kan ge er mycket bättre avkastning än det årliga medarbetarevenemanget om cybersäkerhet kan.
Författare: Kim Dalgaard-Duus