Medvetenhet i ditt team

Modul 9: Regler och organisation · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du organisera medvetenhet i ett litet team: rutiner, anmälan utan skuld, övning och repetition.
Nyckelbegrepp: medvetenhet, beteende, anmälningskultur, phishingövning (med samtycke och utan bestraffning), ny medarbetare, kort repetition

Att veta är inte samma sak som att göra

Nästan alla vet att man inte ska klicka på misstänkta länkar. Ändå händer det varje dag, även hos personer som borde veta bättre. Det beror inte på dumhet. Det beror på att ett phishingmejl (lektion 1.2 och modul 3) spelar exakt på hur vi arbetar: stress, tidspress, viljan att hjälpa en kund eller kollega. En fredagseftermiddag kvart i fem, bland trettio andra mejl, ser en "obetald faktura" helt vanlig ut.

Medvetenhet handlar därför inte bara om kunskap, utan om beteende: vad gör människor egentligen, även när de är trötta eller har bråttom? Målet är inte att alla ska bli experter. Målet är några fasta reflexer:

1. Stanna upp vid ett meddelande som ber om något: pengar, ett lösenord, en klick, en bilaga att öppna, något att installera.
2. Kontrollera via en annan väg: logga in själv istället för att följa länken, ring upp på ett känt nummer.
3. Anmäla om något känns fel, även om du redan har klickat.

Den tredje reflexen är den viktigaste, och den beror helt på hur ditt team hanterar den.

Anmälan utan skuld

Föreställ dig två företag. I det första får en medarbetare som klickade på en phishinglänk en arg reaktion från ägaren: "Hur kan du vara så dum?" I det andra säger ägaren: "Bra att du säger till direkt, då kan vi byta ditt lösenord nu."

Vad händer nästa gång någon klickar? I det första företaget håller han tyst och hoppas att det går bra. I det andra företaget anmäler han det inom fem minuter.

Den skillnaden är enorm. Vid ett kontoövertagande eller en begynnande ransomwareattack räknas varje timme (lektion 1.3 och 3.5). En anmälan inom fem minuter betyder: byta lösenord innan angriparen har loggat in, återkalla sessioner, koppla bort en dator från nätverket innan något har krypterats. En anmälan efter tre veckor, eller aldrig, betyder att angriparen har haft all tid i världen.

En god anmälningskultur har några kännetecken:

• En tydlig kontaktpunkt. Alla vet vem de ska vända sig till: ett namn och ett telefonnummer, samt en ersättare om den personen inte är tillgänglig. Det står även på incidentkortet (lektion 8.1).
• Tacka, inte straffa. Den som anmäler, även om det gäller ett eget misstag, får ett tack. Säg det högt i teamet: "Sanne anmälde i morse en falsk faktura, tack vare det kunde vi varna de andra."
• Tveksamhet är också okej. "Jag vet inte om det här är äkta" är en bra anmälan. Hellre kontrollera ett äkta mejl tio gånger än missa ett falskt mejl en enda gång.
• Ledningens föredöme. Om ägaren själv berättar att han nästan gick på något, blir det lättare för alla andra.

Bestraffning ger motsatt effekt. Inte för att misstagen är oviktiga, utan för att bestraffning inte minskar antalet misstag, bara antalet anmälningar.

Rutiner som gör rätt beteende enkelt

Människor följer lättare en regel som är tydlig och enkel. Se till att det säkra beteendet också är det enklaste beteendet. Några rutiner som passar nästan alla småföretag:

Skriv ner rutinerna på ett enda A4-ark. Inte tjugo sidor policy som ingen läser, utan en lista som kan hänga bredvid kaffeautomaten.

Öva

En rutin du aldrig övar på glöms bort. Det finns olika sätt att öva, från enkla till mer omfattande.

Titta på exempel tillsammans. Ta fem minuter på teammötet för ett riktigt misstänkt mejl som någon fått (utan personuppgifter). Vad avslöjade det? Vad var länkens riktiga domän? Det kostar ingenting och fungerar förvånansvärt bra, eftersom det handlar om riktiga meddelanden i er egen mejlkorg.

En tabletop-övning. Ni diskuterar tillsammans ett scenario: "Det är måndag morgon och ingen kommer åt nätverksdisken längre. På varje dator finns ett meddelande med krav på lösen. Vad gör vi?" Ni går igenom incidentkortet och ser var det brister (lektion 8.1). En timme, en gång om året.

En phishingövning. Ni skickar kollegorna ett efterbildat phishingmejl för att se vem som klickar och vem som anmäler. Det kan vara lärorikt, men bara om det görs rätt:

• Med samtycke och i förväg aviserat. Berätta i förväg att det kommer övningar i år, utan att ange datum. Ingen ska kunna känna sig lurad i efterhand.
• Utan bestraffning. Den som klickar får genast en kort förklaring om vad som avslöjade det, ingen tillrättavisning och ingen namnlista på teammötet.
• Mät det som räknas. Antalet anmälningar är viktigare än antalet klick. En övning där tre personer klickar men fem anmäler inom tio minuter är lyckad.
• Inga elaka teman. Inget falskt mejl om en bonus, uppsägning eller en kollegas hälsa. Det skadar förtroendet mer än det ger.
• Tänk på integriteten. Spara inte längre än nödvändigt vem som klickade, och använd det aldrig i en bedömning.

För ett team på fem personer räcker ofta den första formen. En phishingövning är först meningsfull när rutinerna och kontaktpunkten finns på plats.

Nya medarbetare och repetition

Två tillfällen är extra viktiga.

Första arbetsdagen. En ny medarbetare får konton, en dator och tillgång till system. Just under de första veckorna vet han ännu inte hur saker normalt går till, och känner därför inte heller igen vad som avviker. En bedragare som utger sig för att vara "IT-avdelningen" eller "VD:n" har då större chans att lyckas. Ta en halvtimme vid starten för A4-arket med rutiner, kontaktpunkten, lösenordshanteraren och aktivering av tvåfaktorsautentisering. Lägg in det i samma checklista som resten av introduktionen (lektion 7.1).

Kort repetition. Medvetenhet avtar med tiden. En lång utbildning per år fungerar sämre än fem minuter varje månad. Idéer till en sådan kort repetition:

• diskutera ett misstänkt mejl från den här månaden;
• lyft fram en rutin från A4-arket och fråga om den fortfarande fungerar;
• ett nytt slags bedrägeri som varit i nyheterna (till exempel en ny förevändning via sms eller WhatsApp, lektion 3.4);
• frågan "har någon anmält något den här månaden?" och tacka den som gjorde det.

I praktiken: så här ser det ut

Ett exempel, sammansatt av situationer som ofta förekommer. En arkitektbyrå med nio personer hade ett policydokument på fjorton sidor som undertecknades vid anställning och sedan aldrig öppnades igen. Efter ett nära-lyckat fakturabedrägeri ändrade de tre saker: ett A4-ark med sex rutiner vid skrivaren, ett fast namn och telefonnummer att anmäla till, samt fem minuter "misstänkt post" på teammötet varje första måndag i månaden. Under det första halvåret kom det in fler anmälningar än under de föregående fem åren. Två av dem var riktiga attacker, som upptäcktes så tidigt att ingenting hände. Resten var falsklarm, och det tackades för varje gång.

Sammanfattning

• Medvetenhet handlar om beteende: stanna upp, kontrollera via en annan väg och anmäla.
• Anmälan utan skuld ger snabba anmälningar; bestraffning minskar bara antalet anmälningar, inte antalet misstag.
• Lägg fast rutinerna på ett enda A4-ark och gör det säkra beteendet till det enklaste beteendet.
• Öva med riktiga exempel och en tabletop-övning; genomför en phishingövning bara aviserad i förväg, utan bestraffning och med hänsyn till integritet.
• Lägg extra fokus på nya medarbetare och repetera kort och ofta.

Quiz

Uppgift

Uppgift D9.2: En medvetandeplan för ditt team. Skapa ett A4-ark för ditt eget företag med högst åtta rutiner, utse en kontaktpunkt och en ersättare, och planera för det kommande året när du gör en kort repetition och vilken övning du genomför. Besvara därefter reflektionsfrågorna.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• Är det här mejlet verkligen från WebOké? Känna igen nätfiske och använda rabattkoden
• Nederländska NCSC, Phishing: https://www.ncsc.nl/phishing
• Råd från NCSC, Cyberveilig Check för egenföretagare och småföretag: https://tools.ncsc.nl/cyberveilig-check/
• Polisen och CERT-SE (anmäl bedrägeri och phishing): https://polisen.se/