Bevidsthed i dit team

Modul 9: Regler og organisation · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du organisere bevidsthed i et lille team: aftaler, anmeldelse uden skyld, øvelse og gentagelse.
Nøglebegreber: bevidsthed, adfærd, anmeldelseskultur, phishingøvelse (med samtykke og uden straf), ny medarbejder, kort gentagelse

At vide er ikke det samme som at gøre

Næsten alle ved, at man ikke skal klikke på mistænkelige links. Alligevel sker det hver dag, også hos folk der burde vide bedre. Det skyldes ikke dumhed. Det skyldes, at en phishingmail (lektion 1.2 og modul 3) rammer præcis det, der er svært ved at arbejde: travlhed, hastværk, ønsket om at hjælpe en kunde eller kollega. En fredag eftermiddag kvart i fem, mellem tredive andre mails, ser en "ubetalt faktura" helt almindelig ud.

Bevidsthed handler derfor ikke kun om viden, men om adfærd: hvad gør folk i virkeligheden, også når de er trætte eller har travlt? Målet er ikke, at alle skal blive eksperter. Målet er nogle faste reflekser:

1. Stop ved en besked, der beder om noget: penge, en adgangskode, et klik, en vedhæftet fil der skal åbnes, noget der skal installeres.
2. Kontrollér via en anden vej: log selv ind i stedet for at følge linket, ring tilbage på et kendt nummer.
3. Anmeld, hvis noget virker forkert, også hvis du allerede har klikket.

Den tredje refleks er den vigtigste, og den afhænger helt af, hvordan dit team håndterer det.

Anmeldelse uden skyld

Forestil dig to virksomheder. I den første får en medarbejder, der klikkede på et phishinglink, en sur reaktion fra ejeren: "Hvordan kan du være så dum?" I den anden siger ejeren: "Godt du siger det med det samme, så kan vi skifte din adgangskode nu."

Hvad sker der næste gang, nogen klikker? I den første virksomhed holder han mund og håber, at det går godt. I den anden virksomhed anmelder han det inden for fem minutter.

Den forskel er enorm. Ved en kontoovertagelse eller begyndende ransomware tæller timerne (lektion 1.3 og 3.5). En anmeldelse inden for fem minutter betyder: skift adgangskode, før angriberen har logget ind, træk sessioner tilbage, frakobl en computer fra netværket, før noget er krypteret. En anmeldelse efter tre uger, eller aldrig, betyder, at angriberen har haft al den tid, han havde brug for.

En god anmeldelseskultur har nogle kendetegn:

• Ét tydeligt anmeldelsessted. Alle ved, hvem de skal gå til: et navn og et telefonnummer, og en stedfortræder, hvis personen ikke er til stede. Det står også på incidentkortet (lektion 8.1).
• Tak, ikke straf. Den, der anmelder, også om sin egen fejl, får en tak. Sig det højt i teamet: "Sanne anmeldte i morges en falsk faktura, og derfor kunne vi advare de andre."
• Tvivl er også velkommen. "Jeg ved ikke, om det her er ægte" er en god anmeldelse. Hellere lade en ægte mail blive tjekket ti gange end at overse en falsk mail én gang.
• Ledelsens eksempel. Hvis ejeren selv fortæller, at han næsten faldt for noget, gør det det lettere for alle.

Straf virker mod hensigten. Ikke fordi fejl ikke er alvorlige, men fordi straf ikke mindsker antallet af fejl, kun antallet af anmeldelser.

Aftaler der gør adfærd nem

Folk følger lettere en regel, der er tydelig og nem. Sørg for, at den sikre adfærd også er den letteste adfærd. Nogle aftaler, der passer til næsten enhver lille virksomhed:

Skriv aftalerne ned på ét A4-ark. Ikke tyve sider politik, som ingen læser, men en liste, der kan hænge ved kaffemaskinen.

Øvelse

En aftale, du aldrig øver, glemmer du. Der er forskellige måder at øve på, fra lette til mere omfattende.

Se eksempler sammen. Brug fem minutter i personalemødet på en ægte mistænkelig mail, som nogen har modtaget (uden personoplysninger). Hvad kunne du se det på? Hvad var det rigtige domæne for linket? Det koster intet og virker overraskende godt, fordi det handler om rigtige beskeder i jeres egen indbakke.

En tabletop-øvelse. I drøfter sammen et scenarie: "Det er mandag morgen, og ingen kan længere komme til netværksdrevet. På hver pc er der en besked med et løsesumskrav. Hvad gør vi?" I gennemgår incidentkortet og ser, hvor det halter (lektion 8.1). En time, én gang om året.

En phishingøvelse. Du sender kollegerne en efterlignet phishingmail for at se, hvem der klikker, og hvem der anmelder. Det kan være lærerigt, men kun hvis du gør det rigtigt:

• Med samtykke og bebudet. Fortæl på forhånd, at der kommer øvelser i løbet af året, uden at nævne datoen. Ingen må føle sig bedraget bagefter.
• Uden straf. Den, der klikker, får straks en kort forklaring på, hvad han kunne have set det på, ingen irettesættelse og ingen liste med navne i personalemødet.
• Mål det, der tæller. Antallet af anmeldelser er vigtigere end antallet af klik. En øvelse, hvor tre personer klikker, men fem anmelder det inden for ti minutter, er en succes.
• Ingen ondskabsfulde temaer. Ingen falsk mail om en bonus, afskedigelse eller en kollegas helbred. Det skader tilliden mere, end det gavner.
• Vær opmærksom på privatliv. Gem ikke oplysninger om, hvem der klikkede, længere end nødvendigt, og brug det aldrig til en bedømmelse.

For et team på fem er den første form ofte nok. En phishingøvelse giver først mening, når aftalerne og anmeldelsesstedet er på plads.

Nye medarbejdere og gentagelse

To tidspunkter er særligt vigtige.

Den første arbejdsdag. En ny medarbejder får konti, en bærbar og adgang til systemer. Netop i de første uger ved han endnu ikke, hvordan ting plejer at foregå, og derfor heller ikke, hvad der er afvigende. En svindler, der udgiver sig for at være "it-afdelingen" eller "direktøren", har så større chance for at lykkes. Brug en halv time ved opstarten på A4-arket med aftaler, anmeldelsesstedet, adgangskodeadministratoren og aktivering af totrinsbekræftelse. Sæt det ind i den samme tjekliste som resten af onboardingen (lektion 7.1).

Kort gentagelse. Bevidsthed falmer. Én lang træning om året virker dårligere end fem minutter hver måned. Idéer til sådan en kort gentagelse:

• drøft en mistænkelig mail fra denne måned;
• fremhæv én aftale fra A4-arket og spørg, om den stadig virker;
• en ny type svindel, der har været i nyhederne (for eksempel et nyt påskud via sms eller WhatsApp, lektion 3.4);
• spørgsmålet "har nogen anmeldt noget denne måned?" og tak den, der gjorde det.

I praksis: sådan ser det ud

Et eksempel, sammensat af situationer der ofte forekommer. Et arkitektfirma med ni medarbejdere havde et politikdokument på fjorten sider, som blev underskrevet ved ansættelsen og aldrig åbnet igen. Efter et næsten lykkedes fakturasvindelforsøg ændrede de tre ting: et A4-ark med seks aftaler ved printeren, et fast navn og telefonnummer til anmeldelse, og fem minutter om "mistænkelig post" i personalemødet den første mandag i hver måned. I det første halve år kom der flere anmeldelser ind end i de foregående fem år. To af dem var rigtige angreb, som blev opdaget så tidligt, at der ikke skete noget. Resten var falske alarmer, og dem blev der hver gang bare sagt tak for.

Opsummering

• Bevidsthed handler om adfærd: stop, kontrollér via en anden vej, og anmeld.
• Anmeldelse uden skyld giver hurtige anmeldelser; straf giver kun færre anmeldelser, ikke færre fejl.
• Nedskriv aftalerne på ét A4-ark, og gør den sikre adfærd til den letteste adfærd.
• Øv med ægte eksempler og en tabletop-øvelse; lav kun en phishingøvelse bebudet, uden straf og med opmærksomhed på privatliv.
• Giv ekstra opmærksomhed til nye medarbejdere, og gentag kort og ofte.

Quiz

Opgave

Opgave D9.2: En bevidsthedsplan for dit team. Lav et A4-ark for din egen virksomhed med højst otte aftaler, udpeg et anmeldelsessted og en stedfortræder, og planlæg for det kommende år, hvornår du gentager kort, og hvilken øvelse du laver. Besvar derefter refleksionsspørgsmålene.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• Er denne mail virkelig fra WebOké? Genkend phishing, og brug aktionskoden
• SAMSIK, råd til virksomheder: https://sikkerdigital.dk/
• sikkerdigital.dk: https://sikkerdigital.dk/
• Politiet (anmeldelse af svindel og phishing): https://politi.dk/