Bevisstgjøring i teamet ditt

Modul 9: Regler og organisering · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du organisere bevisstgjøring i et lite team: avtaler, meldekultur uten skyld, øving og repetisjon.
Nøkkelbegreper: bevisstgjøring, atferd, meldekultur, phishingøvelse (med samtykke og uten straff), ny medarbeider, kort repetisjon

Å vite er ikke det samme som å gjøre

Nesten alle vet at man ikke skal klikke på mistenkelige lenker. Likevel skjer det hver dag, også hos folk som vet bedre. Det skyldes ikke dumhet. Det skyldes at en phishing-e-post (leksjon 1.2 og modul 3) treffer nøyaktig der vi er sårbare: tidspress, hastverk, ønsket om å hjelpe en kunde eller kollega. En fredag ettermiddag kvart på fem, mellom tretti andre e-poster, ser en «ubetalt faktura» helt vanlig ut.

Bevisstgjøring handler derfor ikke bare om kunnskap, men om atferd: hva gjør folk egentlig, også når de er slitne eller har det travelt? Målet er ikke at alle skal bli eksperter. Målet er noen faste reflekser:

1. Stopp ved en melding som ber om noe: penger, et passord, et klikk, åpning av et vedlegg, installering av noe.
2. Sjekk via en annen vei: logg inn selv i stedet for å følge lenken, ring tilbake på et kjent nummer.
3. Meld fra hvis noe ikke stemmer, selv om du allerede har klikket.

Den tredje refleksen er den viktigste, og den avhenger helt av hvordan teamet ditt håndterer den.

Meldekultur uten skyld

Se for deg to bedrifter. Hos den første får en medarbeider som klikket på en phishinglenke en sint reaksjon fra eieren: «Hvordan kan du være så dum?» Hos den andre sier eieren: «Bra at du sier fra med en gang, da kan vi endre passordet ditt nå.»

Hva skjer neste gang noen klikker? I den første bedriften holder vedkommende munn og håper det går bra. I den andre bedriften melder vedkommende fra innen fem minutter.

Den forskjellen er enorm. Ved en kontoovertakelse eller begynnende løsepengevirus teller hvert time (leksjon 1.3 og 3.5). En melding innen fem minutter betyr: endre passord før angriperen har logget inn, trekke tilbake økter, koble en datamaskin fra nettverket før noe er kryptert. En melding etter tre uker, eller aldri, betyr at angriperen har hatt all verdens tid.

En god meldekultur har noen kjennetegn:

• Ett tydelig meldepunkt. Alle vet hvem de skal kontakte: et navn og et telefonnummer, og en stedfortreder hvis den personen ikke er tilgjengelig. Dette står også på hendelseskortet (leksjon 8.1).
• Takk, ikke straff. Den som melder fra, også om sin egen feil, får en takk. Si det høyt i teamet: «Sanne meldte i morges fra om en falsk faktura, slik kunne vi varsle de andre.»
• Det er greit å være usikker. «Jeg vet ikke om denne er ekte» er en god melding. Bedre å la ti ekte e-poster bli sjekket enn å overse én falsk e-post.
• Ledelsens eksempel. Hvis eieren selv melder fra om at han nesten gikk i fellen, gjør det det lettere for alle.

Straff virker mot sin hensikt. Ikke fordi feil ikke er alvorlige, men fordi straff ikke fører til færre feil, bare færre meldinger.

Avtaler som gjør riktig atferd enkel

Folk følger lettere en regel som er tydelig og enkel. Sørg for at den sikre atferden også er den enkleste atferden. Noen avtaler som passer for nesten alle små bedrifter:

Skriv avtalene ned på ett A4-ark. Ikke tjue sider med retningslinjer som ingen leser, men en liste som kan henge ved kaffemaskinen.

Øving

En avtale du aldri øver på, glemmer du. Det finnes forskjellige måter å øve på, fra lett til tungt.

Se på eksempler sammen. Bruk fem minutter i teammøtet på en ekte mistenkelig e-post som noen fikk (uten personopplysninger). Hva avslørte den? Hva var det ekte domenet bak lenken? Dette koster ingenting og fungerer overraskende godt, fordi det handler om ekte meldinger i deres egen innboks.

En tabletop-øvelse. Dere diskuterer sammen et scenario: «Det er mandag morgen og ingen kommer lenger inn på nettverksdisken. På hver PC står det en melding med krav om løsepenger. Hva gjør vi?» Dere går gjennom hendelseskortet og ser hvor det butter (leksjon 8.1). Én time, én gang i året.

En phishingøvelse. Du sender kollegene en falsk phishing-e-post for å se hvem som klikker og hvem som melder fra. Det kan være lærerikt, men bare hvis du gjør det riktig:

• Med samtykke og varsel på forhånd. Fortell på forhånd at det kommer øvelser dette året, uten å nevne datoen. Ingen skal føle seg lurt i etterkant.
• Uten straff. Den som klikker, får med en gang en kort forklaring på hva som kunne avslørt den, ingen irettesettelse og ingen liste med navn i teammøtet.
• Mål det som teller. Antall meldinger er viktigere enn antall klikk. En øvelse der tre personer klikker, men fem melder fra innen ti minutter, er vellykket.
• Ingen ondsinnede temaer. Ingen falsk e-post om bonus, oppsigelse eller en kollegas helse. Det skader tilliten mer enn det gir av læring.
• Pass på personvernet. Ikke oppbevar informasjon om hvem som klikket lenger enn nødvendig, og bruk det aldri i en vurdering av ansatte.

For et team på fem er den første formen ofte nok i seg selv. En phishingøvelse er først nyttig når avtalene og meldepunktet er på plass.

Nye medarbeidere og repetisjon

To tidspunkter er ekstra viktige.

Den første arbeidsdagen. En ny medarbeider får kontoer, en laptop og tilgang til systemer. Nettopp i de første ukene vet han ennå ikke hvordan ting normalt foregår, og dermed heller ikke hva som er avvikende. En svindler som utgir seg for å være «IT-avdelingen» eller «daglig leder» har da større sjanse til å lykkes. Bruk en halvtime ved oppstart på A4-arket med avtaler, meldepunktet, passordbehandleren og aktivering av tofaktorautentisering. Ta dette med i samme sjekkliste som resten av onboardingen (leksjon 7.1).

Kort repetisjon. Bevisstgjøring svinner hen. Én lang opplæring i året fungerer dårligere enn fem minutter hver måned. Ideer til en slik kort repetisjon:

• diskutere en mistenkelig e-post fra denne måneden;
• trekke frem én avtale fra A4-arket og spørre om den fortsatt fungerer;
• en ny type svindel som var i nyhetene (for eksempel et nytt påskudd via sms eller WhatsApp, leksjon 3.4);
• spørsmålet «har noen meldt fra om noe denne måneden?» og takke den som gjorde det.

I praksis: slik ser det ut

Et eksempel, satt sammen av situasjoner som ofte forekommer. Et arkitektkontor med ni ansatte hadde et retningslinjedokument på fjorten sider som ble signert ved ansettelse og aldri åpnet igjen etterpå. Etter et nesten vellykket fakturasvindelforsøk endret de tre ting: et A4-ark med seks avtaler ved printeren, et fast navn og telefonnummer å melde fra til, og fem minutter om «mistenkelig post» i teammøtet hver første mandag i måneden. I det første halvåret kom det inn flere meldinger enn i de foregående fem årene. To av dem var ekte angrep, som ble oppdaget så tidlig at ingenting skjedde. Resten var falske alarmer, og det ble takket for hver gang.

Oppsummering

• Bevisstgjøring handler om atferd: stoppe, sjekke via en annen vei, og melde fra.
• Meldekultur uten skyld gir raske meldinger; straff fører bare til færre meldinger, ikke færre feil.
• Skriv ned avtalene på ett A4-ark og gjør den sikre atferden til den enkleste atferden.
• Øv med ekte eksempler og en tabletop-øvelse; gjennomfør en phishingøvelse bare etter varsel, uten straff og med oppmerksomhet på personvern.
• Gi ekstra oppmerksomhet til nye medarbeidere, og repeter kort og ofte.

Quiz

Oppgave

Oppgave D9.2: En bevisstgjøringsplan for teamet ditt. Lag et A4-ark for din egen bedrift med maksimalt åtte avtaler, utpek et meldepunkt og en stedfortreder, og planlegg for det kommende året når du skal ha kort repetisjon og hvilken øvelse du skal gjennomføre. Besvar deretter refleksjonsspørsmålene.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• Er denne e-posten virkelig fra WebOké? Gjenkjenne phishing og bruke aksjonskoden
• Nasjonal sikkerhetsmyndighet (NSM), om phishing: https://nsm.no/
• Råd fra NSM for selvstendig næringsdrivende og små og mellomstore bedrifter: https://nsm.no/
• Politiet (anmeldelse av svindel og phishing): https://www.politiet.no/