Föreställ dig att en medarbetare faller för ett övertygande phishingmejl. Ett klick – och plötsligt har hackare potentiellt fått en väg in i er organisation.
Vad gör ni nu?
Väljer ni att peka finger och kanske ge en officiell varning, eller använder ni händelsen som ett lärtillfälle?
Flera organisationer genomför i dag phishing-simuleringar för att träna medarbetarna i att upptäcka falska mejl. Tillvägagångssättet varierar dock: På vissa ställen blir det en “jag lurade dig”-övning, där felsteg utlöser skam och bestraffning, medan det på andra ställen blir ett tryggt rum där man tillsammans blir klokare.
Phishing: människan är det största säkerhetshålet
Verizons årliga Data Breach Investigations Report (DBIR) visar att 82 % av alla säkerhetsincidenter involverar den mänskliga faktorn – ofta i form av social engineering-attacker som phishing. Faktum är att phishing är den mest utbredda tekniken när hackare går målinriktat efter människor. Med andra ord: för angriparna är det ofta enklare att lura en medarbetare att öppna dörren än att bryta upp dörren med tekniska medel.
Konsekvensen är att medarbetare i hela organisationen – från receptionen till ledningen – måste rustas för att känna igen och stå emot dessa attacker. Myndigheter och standarder har också fått upp ögonen för problemet. EU:s NIS2-direktiv (Cybersäkerhetslagen i Sverige) ställer till exempel krav på att alla anställda i väsentliga verksamheter löpande utbildas i cybersäkerhet och känner till goda rutiner. Phishing-träning är alltså inte bara “nice to have”, utan ett nödvändigt verktyg i verktygslådan för modern säkerhetsledning.
Utskämning ger motsatt effekt
När medarbetare klickar på ett falskt mejl i ett test kan det vara frestande att låta frustrationen få fritt utlopp. Tyvärr ser vi exempel på att vissa organisationer hanterar det genom att skämma ut eller bestraffa dem som nappar. En undersökning fann att 42 % av organisationerna har gett medarbetare disciplinära varningar efter säkerhetsincidenter – och anekdoterna om “kreativa” straff är många. I ett fall skickade en chef rentav ut ett mejl till hela företaget med namnet på den medarbetare som hade fallit för ett phishingmejl, som ett varnande exempel.
Problemet med utskämning och bestraffning är att ingen lär sig av att bli förödmjukad. Forskning pekar på att en skuldkultur kan drabba organisationen som en bumerang: Medarbetare som känner sig gjorda till syndabockar blir defensiva och förlorar förtroende. Rädslan för repressalier kan i värsta fall få folk att dölja eller låta bli att rapportera säkerhetsincidenter – precis tvärtemot vad vi vill uppnå.
Säkerhetskultur kring phishingattacker i stället för rädsla
Lyckligtvis visar det sig att medarbetare reagerar betydligt mer positivt när ledningen väljer lärande framför ”utskällning” eller pekande finger. I Karen Renauds studie beskrev anställda hur förståelse från chefen efter ett säkerhetsmisstag gjorde dem ivriga att rätta till det och undvika upprepning. Ingen hängdes ut; i stället fick de hjälp att mildra konsekvenserna och lära sig av misstaget.
Resultatet blev en starkare relation mellan arbetsgivare och medarbetare – och en person som var motiverad att göra bättre ifrån sig framöver. Det här synsättet – som vissa kallar en “no blame culture” – är guld värt för säkerheten. När folk vågar erkänna misstag och berätta om det som nästan gick fel, får ni som ledning den information ni behöver för att snabbt reagera på hot. Kulturen präglas då av öppenhet och ständig förbättring.
Men det sprider sig också som ringar på vattnet. Det skapar inte bara bättre it-säkerhet – det stärker också den generella kulturen i organisationen. Ett tryggt och tillitsbaserat synsätt på lärande innebär att folk vågar räcka upp handen, ställa frågor och säga ifrån när något känns fel – på alla områden. Och det innebär att man stöttar varandra i stället för att peka finger. När en medarbetare vågar erkänna ett misstag – och möts av nyfikenhet i stället för skam – blir det lättare för andra att göra detsamma. Den typen av kultur lönar sig i längden. Inte bara på säkerhetsfronten, utan även i trivsel, samarbete och ansvarskänsla.
Så använder ni phishing-tester som läroverktyg
Phishing-simuleringar kan vara ett effektivt vapen mot cyberhot – om de används rätt. Här är fyra konkreta rekommendationer för hur de blir till ett lärtillfälle i stället för ett straff:
1. Gör det realistiskt – och utan förvarning. Phishingattacker kommer oanmälda, så det bör träningen också göra. Testa olika typer av attacker och undvik att förenkla dem.
2. Ge snabb, konstruktiv feedback. När en medarbetare klickar ska personen få hjälp, inte utskällning. Det kan vara en vänlig förklaring eller en kort lärovideo.
3. Uppmärksamma det som görs rätt. Belöna dem som upptäcker och rapporterar försök. Ordna små tävlingar, använd badges eller bara erkännande – det fungerar.
4. Ledningen går i täten. Gör det tydligt att syftet är lärande, och låt även chefer delta och dela sina egna misstag. Det skapar trygghet och förtroende.
Phishing-simuleringar ska betraktas som ett lärorum, inte en tentamenssituation. Därför fungerar det bäst när ni kör det som en fast del av er organisation och något som kontinuerligt förväntas att alla deltar i.
Referenser:
- ENISA – Europeiska unionens cybersäkerhetsbyrå (2023)
- Verizon (2022). Data Breach Investigations Report
- Karen Renaud, Wall Street Journal
- CREST (2021)
- NIST Special Publication 800-53 (Rev. 5, 2022)
- Nordic Cyber Group (2023)