En faktura lander i indbakken. Den ligner noget fra en kendt leverandør, men medarbejderen stopper op, tjekker afsenderen og følger arbejdspladsens procedure, før vedhæftningen åbnes. Den korte pause kan gøre en stor forskel. NIS2 krav bliver først nyttige, når medarbejderne ved, hvad de skal gøre midt i en almindelig arbejdsdag.
Hvem gør hvad, når sikkerheden er på spil?
Cybersikkerhed er ikke kun it-afdelingens opgave. Medarbejderne skal følge de aftalte arbejdsgange, beskytte deres loginoplysninger og sige til, når noget ser forkert ud. Lederen skal gøre det trygt at spørge og indberette problemer. Den sikkerhedsansvarlige skal omsætte organisationens procedurer til klare instruktioner og sørge for, at hændelser bliver håndteret.
På en hjemmearbejdsdag logger en medarbejder måske på et internt system. Vedkommende bruger organisationens godkendte adgangsmetode og deler ikke sit login med en kollega – heller ikke for at spare et minut. Sådan bliver adgangsstyring konkret: Beskyttelsen afhænger både af teknikken og af de valg, medarbejderen træffer. Ingen rolle kan løfte ansvaret alene.
Lederen behøver ikke kunne svare på alle tekniske spørgsmål. Det vigtigste er at kende rapporteringsvejen, prioritere læring og reagere roligt, når nogen melder en fejl. Den sikkerhedsansvarlige skal kunne se mønstre på tværs af organisationen, mens medarbejderen skal kende sine næste skridt. Klare roller mindsker risikoen for, at en mistanke bare bliver liggende i indbakken.
Uddannelse skal passe til den konkrete arbejdsrolle
En kort øvelse med en mistænkelig mail kan være mere relevant end en lang gennemgang af abstrakte begreber. Økonomimedarbejdere kan øve sig i at opdage falske fakturaer og ændrede betalingsoplysninger. Ledere kan øve sig i at modtage en indberetning, mens sikkerhedsansvarlige træner vurdering og koordinering. NIS2 krav giver bedst mening, når undervisningen tager udgangspunkt i de opgaver, folk faktisk løser.
Hvis eksemplerne ikke ligner arbejdsdagen, bliver det svært for kollegerne at vide, hvad de skal gøre. Brug derfor situationer fra organisationens egne arbejdsgange, og lad deltagerne vælge deres næste handling. En medarbejder kan for eksempel få en mail med en faktura som vedhæftning. Før filen åbnes, skal afsenderen kontrolleres, og den aftalte procedure følges. Det lyder enkelt, men en øvelse gør næste skridt lettere at huske.
Organisationer, der vil koble undervisningen til de konkrete forventninger, kan begynde med Skillflows ressource om NIS2 krav og uddannelse. Brug indholdet som afsæt for en samtale om ansvar, sikkerhedsbevidsthed og arbejdsroller – ikke som erstatning for organisationens egne procedurer. Efter min mening er det netop den kobling, der gør læring anvendelig i stedet for bare informativ.
Fra mistanke til hurtig indberetning
En mail virker mistænkelig? Åbn ikke vedhæftningen, og svar ikke med oplysninger. Kontrollér afsenderen på en måde, organisationen har godkendt, og brug den aftalte kanal til at spørge eller indberette. Hvis det er svært at finde ud af, hvor man skal henvende sig, bør proceduren gøres lettere at finde. Det er bedre at spørge end at gætte.
En kollega opdager, at en fil med kundeoplysninger er sendt til den forkerte modtager. Hændelsen skal straks meldes efter organisationens procedure, så de ansvarlige kan vurdere situationen og begrænse følgerne. Det kan være ubehageligt at indrømme en fejl, men en hurtig og rolig indberetning hjælper mere end tavshed. Lederens reaktion er vigtig: Fokus skal være på at håndtere hændelsen og lære af den – ikke på at placere skyld.
Medarbejderen skal vide, hvem der skal kontaktes, og hvilke oplysninger der er nyttige. Den sikkerhedsansvarlige kan derefter vurdere, om andre systemer eller kolleger skal inddrages. Hold instruktionen enkel: Beskriv, hvad der skete, hvornår det blev opdaget, og hvad der allerede er gjort. Den lille rutine kan spare værdifuld tid, når presset er på.
Gør sikker adfærd til en del af arbejdsdagen
Et enkelt kursus skaber ikke nødvendigvis en fast vane. Aftal, hvordan læringen skal følges op: Tag korte eksempler op på teammøder, gentag rapporteringsvejen, og gennemgå procedurer, når opgaver eller systemer ændrer sig. Ledere kan spørge, om instruktionerne er nemme at finde, mens sikkerhedsansvarlige kan bruge indberetninger til at se, hvor der er brug for mere vejledning. Opfølgning skal opleves som støtte, ikke som en prøve.
Begynd med at undersøge, hvilke situationer medarbejderne oftest møder, og hvad de er usikre på. Vælg derefter øvelser, der passer til de forskellige roller, og vis tydeligt, hvordan man indberetter en hændelse. Hvis en procedure ikke fungerer i praksis, skal den justeres, så den kan bruges på en travl arbejdsdag. Det er mere holdbart end at sende den samme generelle påmindelse til alle.
Medarbejderne skal kunne huske de enkle valg: Stop op, hvis du er i tvivl, beskyt adgangen, del kun oplysninger med den rette modtager, og indberet fejl hurtigt. NIS2 krav bliver på den måde ikke et dokument, der samler støv, men en ramme for handlinger, som medarbejdere, ledere og sikkerhedsansvarlige kan gentage. Det er måske ikke den mest spændende del af cybersikkerhed, men den skal fungere, når hverdagen kører.
Se mere hos skillflow.dk.
