En medarbejder får en mail, der ligner en besked fra en leverandør. Vedhæftet ligger en faktura, og emnefeltet virker velkendt. Men afsenderadressen ser lidt skæv ud. Skal mailen åbnes, slettes eller sendes videre? Når tvivlen melder sig midt i en travl arbejdsdag, hjælper en mappe med regler ikke meget. Her skal man kunne bruge sin viden med det samme.
Arbejdet med NIS2 krav handler derfor ikke kun om dokumenter og formelle procedurer. Medarbejdernes viden og handlinger er også en del af organisationens cybersikkerhed. Gode arbejdsgange skal kunne holde til en travl tirsdag – ikke bare se pæne ud på papir.
Samme hændelse, forskellige roller
Hvordan ser en mistænkelig mail ud fra medarbejderens stol? Først gælder det om at standse op, tjekke afsenderen og lade være med at åbne en vedhæftet fil, hvis noget virker forkert. Derefter skal medarbejderen vide, hvordan mailen indberettes, og hvem der kan hjælpe. En kort øvelse med en falsk leverandørfaktura gør valget konkret og lettere at huske end en abstrakt gennemgang af phishing.
For lederen ser opgaven lidt anderledes ud. Hvis en medarbejder deler en adgangskode i en chat for at få arbejdet videre, skal lederen kunne tage det op uden at holde en skideballe. En fælles snak kan gøre det tydeligt, hvordan adgang skal håndteres, og hvor man søger hjælp. Fejl skal tages alvorligt, men folk skal også turde fortælle om dem.
Den sikkerhedsansvarlige skal kunne modtage beskederne, vurdere hændelsen og sætte den aftalte arbejdsgang i gang. Derfor bør uddannelsen tage udgangspunkt i organisationens egne kontaktveje og ansvarsområder – ikke i en standardtekst, der kunne passe på hvem som helst. Når rollerne er tydelige, er der mindre risiko for, at alle går ud fra, at en anden tager sig af sagen.
Øv beslutningen, før noget går galt
Et lille beslutningskort kan gøre det nemmere at huske næste skridt: Hvad er sket? Hvem skal have besked? Hvad gør vi nu? Spørgsmålene er enkle, og det er netop en fordel, når pulsen stiger. Forestil dig for eksempel, at en medarbejder mister sin arbejdstelefon på en rejse. Hvis proceduren er øvet på forhånd, ved medarbejderen, hvem der skal kontaktes, og hvilke oplysninger der skal gives.
Den slags scenarier kan bruges i sikkerhedstræning for hele organisationen, men øvelserne bør passe til de forskellige roller. Ledelsen kan træne ansvar og beslutninger under en hændelse, mens it-medarbejdere øver den tekniske håndtering og vurdering. Andre medarbejdere har især brug for at kende tegnene på mistænkelige henvendelser og vide, hvordan de indberetter dem. Det er mere brugbart end at sende alle gennem præcis det samme kursus.
Vil I gøre NIS2 krav mere håndgribelige gennem uddannelse, kan I tage udgangspunkt i Skillflows ressource om uddannelse i NIS2 krav. Brug den som afsæt for en snak om jeres egne arbejdsgange og behov. En øvelse føles først relevant, når medarbejderne kan genkende deres egen arbejdsdag i den.
Gør ansvar tydeligt, og følg op
Efter en øvelse skal medarbejderne ikke nøjes med et løst råd om at være forsigtige. De skal vide, hvor de indberetter en mistænkelig mail, hvem der modtager beskeden, og hvad de selv skal gøre imens. Skriv arbejdsgangen i et sprog, der er til at forstå, og brug de kanaler, folk faktisk kan finde. En tydelig procedure er bedre end en flot en, der ligger gemt i en mappe.
Opfølgning behøver ikke blive til en stor kampagne. Hvis flere deltagere tøver, når de skal svare på, hvem der skal have besked, er det et tegn på, at kontaktvejen skal forklares bedre. Lad næste øvelse tage fat på netop det. Så bliver læring en tilbagevendende del af sikkerhedsarbejdet – ikke en engangsaktivitet, der forsvinder, så snart kalenderen er fuld igen.
En enkel plan for næste arbejdsuge kan begynde med én situation: Vælg for eksempel den mistænkelige leverandørmail. Øv, hvordan den undersøges og indberettes, og aftal bagefter, hvem der følger op på spørgsmålene. Det behøver ikke være højtideligt; en kort snak på et teammøde kan gøre en forskel. Heldigvis behøver cybersikkerhed ikke altid komme med projektor og kaffe i papkrus.
Fra øvelse til vane
Når medarbejdere, ledere og sikkerhedsansvarlige kender deres roller, hænger organisationens indsats bedre sammen. NIS2 krav bliver dermed ikke bare noget, der står i en politik, men viden, medarbejderne kan bruge, når noget ser forkert ud. Målet er færre gætterier, tydeligere ansvar og sikkerhedsvaner, der passer ind i hverdagen.
Se mere hos skillflow.dk.
