En medarbejder åbner en mail fra en velkendt leverandør. Beskeden beder om at ændre betalingsoplysninger, og afsenderens navn ser rigtigt ud. Heldigvis stopper medarbejderen op, finder organisationens procedure frem og kontrollerer anmodningen gennem en anden kanal. Den korte pause kan være forskellen på en almindelig arbejdsdag og en dyr fejl.
Sådan ser cybersikkerhed ofte ud i praksis: et valg ved skærmen, i telefonen eller på vej ud ad døren – ikke en plan, der samler støv på en hylde. NIS2 krav bliver først brugbare, når medarbejderne ved, hvad de skal gøre, og ledelsen sørger for, at arbejdsgangene gør det muligt. Sikkerhed skal passe ind i arbejdet, ikke stå i vejen for det.
Ansvar skal kunne mærkes i de daglige valg
Hvem har ansvaret for at kende reglerne? Det korte svar er, at ansvaret deles. Ledelsen skal sætte retningen og skabe tydelige rammer, medarbejderne skal følge de procedurer, der gælder for deres opgaver, og de it- og sikkerhedsansvarlige skal gøre rammerne til konkrete handlinger.
Ansvar bliver dog hurtigt luftigt, hvis det kun står i et dokument. Forestil dig, at en delt arbejdscomputer forsvinder. En kollega opdager det sidst på dagen. Hvis proceduren er tydelig, ved kollegaen, hvem der skal kontaktes, og melder det med det samme i stedet for at vente til næste morgen. Det handler ikke om at kunne reglerne udenad, men om at kende næste skridt.
Ledelsen skal gøre mere end at sende en besked om, at alle skal passe på. Der skal være en enkel vej til at indberette mistænkelige e-mails, tabt udstyr og usædvanlige forespørgsler. Medarbejderne skal også vide, at det er bedre at spørge én gang for meget end at gætte. Efter min mening er den tryghed en af de mest oversete dele af et godt beredskab.
Når NIS2 krav bliver knyttet til roller og konkrete situationer, bliver det lettere for den enkelte at se, hvad der skal gøres. En kollega i økonomi kan for eksempel møde falske betalingsanmodninger, mens en medarbejder med ansvar for adgangsstyring skal holde øje med delte konti. Grundprincipperne er de samme, men risiciene følger med arbejdsopgaverne.
Fra mistanke til handling uden panik
Ved en mistænkelig hændelse hjælper det sjældent at følge mavefornemmelsen alene. En enkel beslutningssti kan give ro: Var anmodningen ventet? Kan den bekræftes gennem en kendt kanal? Er der allerede blevet klikket, delt oplysninger eller mistet udstyr? Hvem siger proceduren, at man skal kontakte? Svarene skal føre til en tydelig handling – ikke en lang jagt på den rette person.
Tag betalingsmailen fra før. Medarbejderen svarer ikke med nye oplysninger, men ringer til leverandøren på et nummer, organisationen allerede har registreret. Det er en god vane, for kontaktoplysningerne i selve mailen kan også være falske. Hvis noget stadig virker forkert, sender medarbejderen beskeden videre til den aftalte ansvarlige. Ingen skældud og ingen improviseret efterforskning.
En anden dag beder en ekstern samarbejdspartner om en kollegas adgangsoplysninger. Medarbejderen siger nej og spørger i stedet, hvordan adgangen kan gives sikkert. Det beskytter både personen og organisationen. Adgang bør gives gennem en godkendt løsning, hvor rettigheder kan styres og fjernes igen – ikke deles i en besked.
Hvis nogen allerede har klikket på et mistænkeligt link, gælder det om at melde det hurtigt efter de lokale retningslinjer. Så får de ansvarlige mulighed for at vurdere hændelsen og begrænse følgerne. Det handler ikke om at undgå enhver fejl, men om at reagere ordentligt, når noget går galt.
Undervisning kan gøre reglerne mere håndgribelige. I stedet for kun at gennemgå generelle råd kan medarbejderne øve sig på mails, telefonopkald og deling af adgang. På Skillflows side om uddannelse i NIS2 krav kan organisationer finde inspiration til læring, der tager udgangspunkt i sikkerhedsopgaverne. Den kobling mellem viden og øvelse er mere brugbar end endnu en tekst, der bliver læst og glemt.
Undervisning, der følger arbejdet
En praktisk uddannelsesplan begynder med medarbejdernes hverdag. Hvilke oplysninger håndterer de? Hvilke systemer bruger de? Hvornår samarbejder de med eksterne? Svarene peger på relevante øvelser og viser, hvem der skal holde procedurerne forståelige. Det behøver ikke være et stort kursus; korte samtaler om realistiske situationer kan også sætte gode vaner fast.
Et team kan for eksempel gennemgå, hvad der sker, hvis en delt computer forsvinder fra et mødelokale. Hvem melder det? Hvilke oplysninger skal gives? Skal nogen lukke adgangen? Når medarbejderne taler forløbet igennem, opdager de ofte, hvor proceduren er uklar. Det er nyttigt, selv om det kan være lidt irriterende at finde ud af, at den flotte vejledning mangler det vigtigste svar.
Ledelsen kan følge op ved at spørge, om medarbejderne ved, hvor vejledningen findes, og hvordan de melder en hændelse. Samtaler, øvelser og gennemgang af tidligere hændelser kan vise, om læringen fungerer i praksis. Målet er ikke at fange nogen i en fejl. Opfølgningen skal vise, hvor organisationen bør forklare sig bedre eller ændre en arbejdsgang.
Arbejdsgange ændrer sig. Nye digitale værktøjer, leverandører og samarbejdsformer kan skabe andre risici, så undervisning og beredskab skal følge med. Når en procedure ændres, skal de berørte medarbejdere vide, hvad der er nyt, og hvor de kan få hjælp. Det lyder enkelt, men opdateringerne bliver let overset, når indbakken allerede bugner.
En kort øvelse kan samle trådene: En medarbejder får en mail om ændrede betalingsoplysninger, og afsenderen presser på for et hurtigt svar. Hvad gør organisationen? Medarbejderen kontrollerer anmodningen gennem en kendt kanal, ændrer ikke noget på baggrund af mailen alene og melder mistanken efter proceduren. Ledelsen følger op på, om fremgangsmåden var tydelig, og om noget skal justeres. Så bliver cybersikkerhed mindre en plakat på væggen og mere en naturlig del af arbejdet.
Beredskabet tager form gennem de små, gentagne valg. Med klare roller, øvelse og plads til spørgsmål kan medarbejderne handle tidligere og mere sikkert. Reglerne bliver ikke enklere af sig selv, men hverdagen bliver mere overskuelig, når alle ved, hvad næste skridt er.
Se mere hos skillflow.dk.