Awareness-træning

Awareness-træning (sikkerhedsbevidsthedstræning) er et struktureret program designet til at uddanne medarbejdere i cybersikkerhedsrisici og give dem færdigheder til at genkende og reagere korrekt på trusler. De fleste alvorlige sikkerhedshændelser begynder med en handling foretaget af et menneske — et klik, en godkendelse, en videresendt fil — og det er derfor awareness-træning giver mere sikkerhed pr. investeret krone end de fleste tekniske tiltag.

Kerneemner for awareness-træning

Phishing-genkendelse

Praktisk træning i at identificere phishing-e-mails, smishing (SMS) og vishing (telefonsvindel). Inkluder simulerede phishing-kampagner for at teste og forbedre medarbejdernes evne.

Adgangskodehygiejne

Undervis i stærke adgangskoder, password managers, og vigtigheden af unikke adgangskoder per tjeneste. Forklar hvorfor MFA er afgørende.

Social engineering

Gør medarbejdere opmærksomme på manipulationsteknikker: pretexting, baiting, tailgating og CEO-fraud. Brug rollespil og virkelige eksempler.

Datasikkerhed

Korrekt håndtering af følsomme data: klassificering, opbevaring, deling og sletning. Særligt relevant under GDPR.

Sikkert hjemmearbejde

Brug af VPN, sikre Wi-Fi-netværk, fysisk sikring af enheder og adskillelse af privat/arbejdsmæssig brug.

Effektive metoder

• Microlearning: Korte lektioner (5-10 minutter) er mere effektive end lange kurser
• Simulationer: Regelmæssige phishing-tests holder bevidstheden skarp
• Gamification: Pointsystemer og konkurrencer øger engagement
• Storytelling: Virkelige cases gør trusler konkrete og relaterbare
• Løbende påmindelser: Plakater, intranet-artikler og nyhedsbreve holder emnet aktuelt

Måling af effekt

Mål programmet effektivitet med:

• Click rate på simulerede phishing-kampagner (bør falde over tid)
• Rapporteringsrate af mistænkelige e-mails (bør stige over tid)
• Vidensvurderinger via quizzer og tests
• Antal hændelser forårsaget af menneskelige fejl

Krav og anbefalinger

NIS2-direktivet kræver eksplicit at organisationer tilbyder awareness-træning til medarbejdere og ledelse. ISO 27001 stiller tilsvarende krav under Annex A kontrol 6.3 (Information Security Awareness, Education and Training).

Center for Cybersikkerhed i Danmark anbefaler at awareness-træning gennemføres mindst kvartalsvist og tilpasses aktuelle trusler. Topledelsen bør deltage aktivt for at signalere vigtighed.