Phishing-trening for ansatte: slik får dere sikkerhetsopplæring som virker
De fleste bedrifter har gode filtre mot søppelpost og virus. Likevel kommer noen e-poster gjennom, og da er det en ansatt som avgjør om angrepet lykkes. Ifølge amerikanske CISA starter rundt 90 prosent av vellykkede dataangrep med en phishing-e-post.
Derfor er opplæring av de ansatte et av de mest lønnsomme sikkerhetstiltakene en liten bedrift kan gjøre. Her er hva som skiller opplæring som virker fra opplæring som bare blir krysset av.
Hvorfor et årlig kurs ikke er nok
Mange bedrifter har hatt et sikkerhetskurs: en presentasjon, kanskje en film, og en quiz til slutt. Det er bedre enn ingenting, men effekten varer sjelden lenge. Svindelmetodene endrer seg, og kunnskap som ikke brukes, blir fort glemt.
Det som virker, er det samme som i all annen trening: korte økter, ofte, med tilbakemelding med en gang. Det er tanken bak phishing-trening.
Hva er phishing-trening?
Phishing-trening, eller phishing-simulering, betyr at de ansatte jevnlig får realistiske, men ufarlige svindel-e-poster. De ligner på det ekte svindlere sender: en faktura som må betales, en pakke som venter, en melding om at passordet snart går ut.
- Den som oppdager forsøket, kan melde fra og få bekreftelse på at det var riktig.
- Den som klikker, får med en gang en kort forklaring på hva som burde ha avslørt e-posten.
- Bedriften ser hvordan det går over tid, og hvor det trengs mer øving.
Øyeblikket rett etter et klikk er det beste tidspunktet å lære på. Da husker man hvordan det føltes å bli lurt, uten at noe gikk galt.
Dette kjennetegner opplæring som virker
Fem ting å se etter
- Kort. Leksjoner på noen få minutter, ikke en halv kursdag.
- Jevnlig. Tester og leksjoner gjennom hele året, til tilfeldige tidspunkt.
- Tilpasset. Vanskelighetsgraden følger den enkelte, så ingen kjeder seg og ingen blir overkjørt.
- Automatisk. Ingen hos dere skal trenge å planlegge kampanjer eller purre på folk.
- Målbart. Dere ser utviklingen over tid og kan dokumentere at opplæringen skjer.
Ikke heng ut de som klikker
Målet er en kultur der folk melder fra, ikke en der de skjuler at de har klikket. Den ansatte som klikker på en test i dag, er den som ringer IT med en gang når det skjer på ekte, så lenge opplevelsen var lærerik og ikke flau.
Det betyr i praksis:
- Fortell de ansatte at opplæringen starter, og hvorfor.
- Bruk resultatene til å se hvor bedriften trenger mer øving, ikke til å peke ut enkeltpersoner.
- Gjør det enkelt å melde fra om mistenkelige e-poster, for eksempel med en egen knapp i Outlook.
Slik innfører dere phishing-trening
- Informer. Fortell de ansatte hva som skal skje og hva målet er. Har dere tillitsvalgte, bør de involveres tidlig.
- Koble til. Hent brukerne fra Microsoft 365 eller Google, slik at nye ansatte kommer med automatisk.
- Sørg for at testene kommer frem. E-postfilteret må vite at testene er ufarlige, ellers stoppes de.
- Mål utgangspunktet. De første testene viser hvor bedriften står i dag.
- La det gå. Tester og leksjoner kommer jevnlig gjennom året.
- Følg opp. Se på resultatene sammen med ledelsen noen ganger i året.
Hva bedriften får ut av det
Den viktigste gevinsten er færre vellykkede angrep. Men det er også andre grunner til å komme i gang:
- Krav fra kunder. Store kunder og offentlige oppdragsgivere spør stadig oftere om opplæring av ansatte i sikkerhetsvedlegg og anbud.
- Ledelsens ansvar. Styret og daglig leder har ansvar for at virksomheten forvaltes forsvarlig, også når det gjelder digital risiko. Les mer i artikkelen om NIS2 og hva som faktisk gjelder i Norge.
- Dokumentasjon. En logg over gjennomført opplæring er enkel å vise frem når noen spør.
Slik gjør vi det: Nimblr
Vi bruker Nimblr, en plattform for sikkerhetsopplæring utviklet i Sverige og levert av OfficeLink Mobil og IT. Den passer godt for små og mellomstore bedrifter fordi den går av seg selv:
- Realistiske tester av phishing, svindelforsøk og skadevare, også på SMS.
- Interaktive leksjoner på norsk, på under fem minutter.
- Tidspunkt og vanskelighetsgrad tilpasses hver ansatt.
- Brukerne hentes fra Microsoft Entra ID eller Google, og de ansatte trenger ikke logge inn.
- Rapporteringsknapp i Microsoft 365, dashbord og månedlige rapporter.
Vi setter det opp, sørger for at testene kommer frem, og går gjennom resultatene sammen med dere. Les mer om Nimblr.
Opplæring reduserer risikoen, men ingen blir helt immune. Derfor hører den sammen med tekniske tiltak som tofaktor, backup og overvåking døgnet rundt.
Ofte stilte spørsmål
Er det lov å sende falske phishing-e-poster til de ansatte?
Phishing-trening er vanlig og brukes av mange virksomheter. Informer de ansatte på forhånd, bruk resultatene til læring og ikke til å straffe enkeltpersoner, og involver tillitsvalgte der dere har det.
Hvor ofte bør de ansatte få tester?
Jevnlig gjennom hele året fungerer bedre enn én stor kampanje. Med Nimblr velges tidspunktene automatisk ut fra hver ansatt.
Hvor mye tid tar det for de ansatte?
Lite. En leksjon tar noen få minutter, og testene kommer i den vanlige innboksen.
Hva gjør vi hvis noen har klikket på en ekte phishing-e-post?
Bytt passord på kontoen med en gang, logg den ut av alle enheter og ta kontakt med IT. Se også sjekklisten for phishing på e-post.
Er opplæring nok?
Nei. Opplæring gjør angrep mindre sannsynlige, men må kombineres med tofaktor, oppdateringer, backup og gjerne overvåking.
Vil dere komme i gang med opplæring av de ansatte? Book 30 minutter eller ta kontakt.
