Debriefing af medarbejdere efter social engineering

Når en red team-øvelse har brugt social engineering, sidder der bagefter medarbejdere, som blev narret, presset eller bedt om noget, de ikke burde have givet. Hvordan de får det at vide, afgør, om øvelsen efterlader læring eller mistillid. Debriefingen hviler på tre ting: den er planlagt, før øvelsen begynder, den handler om situationen og ikke om personen, og den giver medarbejderen noget konkret at gøre anderledes, uden at nogen bliver gjort til syndebuk.

Hvorfor debriefingen er en del af bestillingen

Det er fristende at se debriefingen som en eftertanke, der kan klares med en mail, når rapporten er færdig. Men den medarbejder, der åbnede en dør eller gav en oplysning i telefonen, kan have fået en ubehagelig oplevelse, og nogle vil have hørt om øvelsen fra kolleger, før de hører det fra ledelsen. Hvis organisationen ikke selv fortæller historien, bliver den fortalt i kantinen.

Det britiske NCSC skriver i sin vejledning om phishing, at det ikke virker at give brugerne skylden for klik, og at medarbejdere, der frygter repressalier, ikke melder fejl hurtigt eller slet ikke. Det samme gælder for henvendelser i telefonen og ved døren. En debriefing, der opleves som en irettesættelse, gør organisationen dårligere til at opdage den næste rigtige henvendelse. → Medarbejderhensyn

Planlæg derfor debriefingen sammen med resten af øvelsen: hvem den omfatter, hvem der gennemfører den, og hvornår den sker. Det hører hjemme i rules of engagement eller i et bilag til dem. → Rules of engagement for en red team-øvelse

Hvem skal debriefes

Kredsen er større end de medarbejdere, der gav efter. Overvej mindst tre grupper:

De, der blev kontaktet og gav efter · de har brug for en forklaring og en anerkendelse af, at situationen var konstrueret til at virke troværdig.
De, der afviste eller meldte · de har gjort det, organisationen ønsker, og skal have det at vide.
De, der stoppede holdet · en medarbejder, der greb ind i bygningen eller ringede til sikkerhedsfunktionen, har krav på en tydelig anerkendelse. → Hvis holdet bliver stoppet i bygningen

Ledere for de berørte medarbejdere skal også orienteres, så de ikke hører om det tilfældigt. Orienteringen bør gøre det klart, at øvelsen ikke må bruges i den enkeltes ansættelsesforhold.

Hvornår debriefingen sker

Tidspunktet er en afvejning. Sker den med det samme, mens oplevelsen er frisk, risikerer den at afsløre øvelsen for resten af organisationen. Venter den til efter afslutningen, kan der gå uger, hvor medarbejderen har undret sig eller fortalt om oplevelsen til andre.

En brugbar løsning er at skelne. Hvis en medarbejder tydeligt er påvirket, har eskaleret til ledelsen eller har meldt en hændelse, der sætter noget i gang, bør white team kunne beslutte en tidlig, fortrolig samtale. For de øvrige samles debriefingen kort efter øvelsens afslutning, så alle får den samme forklaring på samme tid. → White team

Indholdet i samtalen

En god debriefing er kort og konkret. Den forklarer, at der har været en aftalt øvelse, godkendt af ledelsen, og at formålet var at afprøve processer, ikke personer. Den gennemgår situationen i grove træk: hvad der blev forsøgt, og hvilke tegn der kunne have vakt mistanke. Og den slutter med det, medarbejderen kan gøre næste gang, fx hvem der skal kontaktes, og hvordan en henvendelse kan bekræftes ad en anden vej.

Undgå at gennemgå detaljer om holdets fremgangsmåde. De hjælper ikke medarbejderen, og de kan sprede sig. Fokus er på genkendelse og melding, ikke på hvordan henvendelsen blev bygget.

Spørg også medarbejderen. Hvad gjorde situationen svær? Var der noget i arbejdsgangen, der pressede til et hurtigt ja? Svarene kan være de mest værdifulde fund om processer, som øvelsen giver, og de bør føres videre uden navne. → Fra social engineering-fund til bedre processer

Hvem der gennemfører den

Den, der debriefer, skal kunne svare på spørgsmål og have mandat til at love, at øvelsen ikke får personlige konsekvenser. Det kan være en fra sikkerhedsfunktionen eller white team, gerne sammen med den nærmeste leder eller HR. Holdet selv kan deltage, hvis det giver mening, men det bør ikke være den samme person, der udførte henvendelsen, uden at medarbejderen er spurgt først.

Overvej, om HR eller en tillidsrepræsentant skal være til stede, særligt hvis medarbejderen har reageret stærkt. I organisationer med mange lokationer kan det være nødvendigt at bruge lokale ledere, og så skal de have en fælles forklaring og de samme svar på de spørgsmål, der kan komme. → HR og tillidsrepræsentanter

Opfølgning efter samtalen

Debriefingen slutter ikke, når samtalen er overstået. Giv medarbejderne et sted at vende tilbage med spørgsmål, fx en navngiven kontaktperson i sikkerhedsfunktionen, og fortæl dem, hvad organisationen gør med det, øvelsen viste. Hvis en arbejdsgang bliver ændret, fordi en medarbejder forklarede, hvorfor den var svær at overholde, er det værd at sige højt. Det viser, at forklaringen blev brugt til noget.

Saml også en kort status til white team: hvem der er debriefet, om nogen har reageret stærkt, og om der er spørgsmål, der skal besvares bredere. Den status bør ikke indeholde vurderinger af den enkelte. Den skal kun sikre, at ingen bliver glemt, og at temaer, der går igen, kommer med i det videre arbejde med processerne.

Det skal I lade være med

At debriefe ved mail alene · en skriftlig besked kan ikke svare på spørgsmål og kan læses som en anklage.
At gennemgå holdets fremgangsmåde i detaljer · det giver ikke læring og kan sprede sig.
At glemme dem, der gjorde det rigtige · anerkendelse er lige så vigtig som forklaring.
At lade lederen høre om det tilfældigt · orientér lederen før eller samtidig med medarbejderen.
At love anonymitet, I ikke kan holde · sig ærligt, hvem der kender til forløbet.
At bruge debriefingen som awareness-kursus · den handler om den konkrete situation, ikke om en generel gennemgang.

Hvad kan og ikke kan konkluderes

En velgennemført debriefing kan vende en ubehagelig oplevelse til læring og give sikkerhedsfunktionen viden om, hvorfor processerne ikke holdt. Den kan ikke fjerne, at medarbejderen blev ført bag lyset, og den kan ikke garantere, at tilliden er intakt. Om tilliden har lidt skade, viser sig først over tid, fx i om medarbejderne fortsat melder mistænkelige henvendelser.