Hvordan laver man awareness-træning?

Det korte svar: Effektiv awareness-træning handler ikke bare om at gennemføre et kursus én gang om året. Den skal være målrettet, relevant og gentages løbende, så den ændrer adfærd og skaber en stærk sikkerhedskultur. Brug konkrete eksempler, test viden og skab ledelsesopbakning – så bliver træningen både nyttig og nødvendig.

I henhold til artikel 43 i GDPR skal man give “passende databeskyttelsesuddannelse til personale, der har permanent eller regelmæssig adgang til personoplysninger”. Artiklen giver ikke specifikke oplysninger om, hvordan I skal uddanne personalet, hvor ofte I skal gøre det, eller hvilke emner I skal dække. Hver virksomhed bør vælge eller oprette et “passende” uddannelsesprogram.

Bemærk, at der kræves uddannelse for personale, der har “permanent eller regelmæssig adgang til personoplysninger”. Den brede definition af personoplysninger i GDPR gør, at dette gælder for de fleste medarbejdere. Det er dog ikke alle, der har eller bør have samme adgang til personlige oplysninger – det er en anden snak.

Et godt awareness-træningsprogram bør hjælpe jer med at udvikle en kultur, hvor beskyttelse af persondata og compliance bliver sat i fokus. Det skal motivere jeres medarbejdere til at beskytte virksomhedens systemer og de mennesker I har data på. I praksis skal det træne jeres medarbejdere i at:

1. Være opmærksom på folks persondata
2. Genkende sikkerhedstrusler
3. Forstå, hvad der står på spil
4. Arbejde for at minimere databrud

Programmet skal omfatte hele jeres virksomheden fra top til bund, være kontinuerlig og engagerende samt gøre brug af en række forskellige emner og kvalitetsmaterialer.

En undersøgelse fra Cyberpilot viste, at medarbejdere, der modtog løbende awareness-træning og blev udsat for phishing-tests, begik 50 % færre fejl under et simuleret phishingangreb. Det viser tydeligt, at når folk forstår risikoen for at eksponere følsomme data – og er bevidste om truslen fra cyberkriminalitet – handler de mere ansvarligt. Derfor er det afgørende, at jeres awareness-træning ikke blot gennemføres, men faktisk virker. For at fange og fastholde medarbejdernes opmærksomhed anbefaler Cyberpilot tre konkrete greb:

1. Gør det personligt
2. Gør det kort og klart
3. Gør det nemt at huske

Hvis indholdet af jeres awareness-kursus opfylder disse tre krav, vil det med stor sandsynlighed blive hængende i jeres medarbejderes bevidsthed, og forme den måde, de håndterer sikkerhed og GDPR-udfordringer på. Det lyder måske enkelt, men det er stadig en større udfordring at lave en interessant og effektiv awarenesstræning.

Men hvad bør jeres awareness-træning bestå af? Hvilke emner skal I dække, og hvor ofte? Her er nogle af de emner, som vi foreslår, at I dækker i jeres sikkerheds- og awareness-træningsprogram:

1. Valg og forvaltning af adgangskoder
2. Genkendelse af personoplysninger
3. Phishing-varianter, og hvordan man opdager dem
4. Forståelse af retten til privatliv
5. GDPR-principper og compliance
6. Beskyttelse af følsomme data
7. Sådan praktiserer man dataminimering
8. Fejl i forbindelse med e-mailsikkerhed
9. Brug af delt wifi og VPN’er
10. Softwareopdateringer og sikkerhed
11. Sikkert arbejdsudstyr
12. Sikkerhed på hjemme-arbejdspladser

Hvis I fokuserer på blot ét af disse emner hver måned, vil det være nok information til at holde uddannelse i beskyttelse af privatlivets fred og awareness-træning i gang i et helt år. Nogle virksomheder planlægger en awareness-træningsdag og forsøger at tage så mange af disse emner op som muligt. Det kan blive en ret opslidende dag. Hvis man forsøger at afdække mange oplysninger på én gang, kan det være svært for folk at huske det, de har lært. Og det vil være problematisk at måle forbedringer.

Hvert af de ovennævnte emner er for vigtige til, at man kan proppe dem alle sammen sammen i ét langt seminar. Vi foreslår et program, der indeholder korte, men regelmæssige sessioner baseret på hvert af disse emner. Fokus bør lægges på at hjælpe folk med at se deres betydning, de involverede indsatser og derefter hvordan de kan forbedre deres praksis.

For mange virksomheder er det ikke muligt at bruge egen tid på at planlægge, designe og implementere et engagerende program for awareness-træning. Ikke alene ville det være for tidskrævende at oprette egne undervisningsmaterialer og ressourcer, men man ville også være nødt til at lave en masse research for at holde sig opdateret, da sikkerhedstrusler konstant ændrer sig.

Derfor vælger nogle virksomheder at sende deres medarbejdere til et seminar om awareness-træning i håb om, at de vil absorbere oplysningerne og uddanne resten af holdet. Dette er ikke særlig effektivt af to grunde:

• Grund #1: Som nævnt ovenfor har det vist sig, at regelmæssig løbende uddannelse er bedre end at forsøge at pakke alt ind på én dag.
• Grund #2: Ved at involvere alle får man bedre resultater end ved at regne med, at kun nogle få personer kan give det videre, som de kan huske fra et hurtigt og intensivt seminar.