Experten tipsar: Så tränar du anställda i cybersäkerhet

– Det vi på Junglemap alltid betonar är att cybersäkerhetsträning inte är ett event – det är en kontinuerlig process som måste få pågå året runt. Cybersäkerhet handlar om lärande och det är inget man kan bocka av vid ett enstaka tillfälle. Många företag här i Sverige genomgår stora utbildningsdagar med fokus på cybersäkerhet en eller två gånger om året. Vår erfarenhet visar dock att det ofta är alldeles för mycket information på en gång och att det mesta glöms bort ganska snabbt, säger Junglemaps kommunikationschef Per Lagerström.

”Stärker minnet och förståelsen”

Nanoformatet är uppdelat på det sättet att varje lektion är max tre minuter lång. Formatet är vetenskapligt bevisat effektivt för att människor ska kunna ta till sig och framför allt minnas informationen.

– Vi använder principen om spaced repetition och kombinerar det med den pedagogiska metoden retrieval practice. Det innebär att deltagarna får hämta tillbaka det de lärt sig i praktiken. När man aktivt återkallar kunskap aktiveras andra delar av hjärnan, vilket stärker minnet och förståelsen, säger Per Lagerström.

Per berättar att många av Junglemaps kunder har sett att det upplägget inte bara har ökat medvetenheten om cybersäkerhet, det leder även till att fler faktiskt följer säkerhetsrutinerna i vardagen.

– Men det handlar inte bara om att utbilda utan även om att engagera. Cybersäkerhet är en verksamhetsfråga och inte bara en fråga för it-avdelningen. NIS2-direktivet lyfter just detta, att just ledningen behöver förstå vad som är viktigast att skydda i sin verksamhet och varför.

De ”mänskliga brandväggarna” måste stärkas

Per säger att de ofta pratar om att stärka de ”mänskliga brandväggarna”, vilket innebär att alla anställda behöver vara delaktiga i de säkerhetsåtgärder som implementeras. Men det är enligt Per inte alltid lätt att få igenom det budskapet.

– En av de största hindren vi ser är att få chefer att engagera sig i cybersäkerhetsfrågor. Våra undersökningar visar att medan över 95 procent av våra deltagare säger att deras medvetenhet ökat efter våra kurser är det bara hälften som upplever att deras chefer stöttar det arbetet. Det är ett stort problem eftersom chefens engagemang har en direkt inverkan på hur väl cybersäkerheten integreras i organisationens kultur.

Som svar på det har Junglemap därför valt att erbjuda särskilda kurser för chefer, med fokus på hur de kan stödja säkerhetssamarbetet på ett mer effektivt sätt. Per Lagerström poängterar dock att kursen är designad på så sätt att det inte ska bli en börda på chefernas redan pressade scheman.

– Det är en kurs på tre minuter var tredje vecka. Enligt oss är det tid även en hårt pressad chef har tid för.

”Många säkerhetsincidenter sker i gränslandet”

En annan viktig punkt att ta i beaktning är att göra utbildningen relevant för individen. Enligt Per Lagerström blir anställda mer engagerade när de ser att kunskaperna är användbara även i deras privata liv, till exempel för att skydda hemmanätverk eller att hantera lösenord säkert.

– Just den aspekten är särskilt viktig i dag i det hybrida arbetslivet som blivit normen efter pandemin. Gränsen mellan arbete och privatliv har i mångt och mycket suddats ut och många säkerhetsincidenter sker just i gränslandet mellan dessa sfärer. Det kan vara på ett café, ett hotell, en flygplats eller via osäkra routrar och lösenord på hemmaplan, säger Per och fortsätter:

– Det är viktigt att företag inte bara utbildar sina anställda om hur de ska agera på arbetsplatsen, utan också hur de kan upprätthålla säkerhet i sina privata liv. På så sätt minskar risken för att dåliga vanor följer med tillbaka till arbetsplatsen och skapar en starkare säkerhetskultur som helhet.

Kontraster i kostnader

Cybersäkerhet är dock inte bara en teknisk utmaning utan även en kommunikationsmässig sådan. It-chefer och säkerhetsansvariga behöver enligt Per Lagerström bli bättre på att förklara varför säkerhet är viktigt och kunna koppla det till verksamhetens mål och utmaningar.

– Kommunikationen går i två riktningar kan man säga, både uppåt till ledningen och nedåt till de anställda. Det handlar om att kliva ut ur tekniska detaljer och kunna prata på ett sätt som gör att ledningsgruppen förstår vikten av dessa frågor. Att kunna visa hur säkerhet påverkar affären eller verksamhetens uppdrag är ofta nyckeln till att få ledningsgruppens stöd och resurser.

Ett konkret exempel enligt Per är att ställa kostnaden för en utbildning i relation till vad en cyberattack kan kosta företaget. Det finns otaliga exempel på organisationer som drabbats av intrång vilket resulterat i enorma kostnader och långa avbrott.

– Vi brukar retoriskt fråga: ”Tycker du det verkar tråkigt med en kurs i informationssäkerhet? Testa då hur tråkigt det är att bli hackad”. Det är en enkel men effektiv påminnelse om vikten av att ligga steget före, säger Per och avslutar med:

– Cybersäkerhet måste bli en naturlig del av vardagen, något som är lika självklart som att sätta på sig säkerhetsbältet i bilen. Om reglerna är för krångliga eller om utbildningen inte matchar verksamhetens behov kommer de anställda att hitta genvägar som äventyrar säkerheten. Det handlar om att göra rätt på ett enkelt sätt – och att skapa en kultur där säkerhet inte är en börda utan en del av det dagliga arbetet.