Fra social engineering‑fund til bedre processer

Når en red team-øvelse viser, at en henvendelse i telefonen, en mail eller et besøg kunne bringe en modstander forbi forsvaret, kan den hurtigste reaktion være at bestille mere awareness-træning. Det kan være en del af svaret, men ikke nødvendigvis hele svaret. Fundene rettes mest varigt ved at ændre de arbejdsgange, kontroller og hjælpemidler, der gjorde det let at sige ja, og ved at gøre det let og ufarligt at sige nej eller melde. Træning virker bedst oven på processer, der understøtter den.

Hvorfor træning alene ikke rækker

En medarbejder, der skal vurdere hver henvendelse ud fra sin egen dømmekraft, bliver før eller siden snydt. Det britiske NCSC skriver i sin vejledning om phishing, at ingen træning kan lære brugerne at spotte alle forsøg, og anbefaler et forsvar i flere lag, hvor organisationen ikke er afhængig af, at den enkelte opdager alt. Samme logik gælder for henvendelser i telefonen og ved døren.

Det betyder ikke, at træning er spildt. NIS2-direktivets artikel 21 nævner grundlæggende cyberhygiejne og cybersikkerhedsuddannelse blandt de foranstaltninger, væsentlige og vigtige enheder mindst skal have, sammen med personalesikkerhed og adgangskontrolpolitikker. Træning og processer står side om side, og et fund fra en red team-øvelse er en anledning til at se på begge. Teksten er ikke juridisk rådgivning.

Læs fundet som en arbejdsgang

Begynd med at spørge, hvilken arbejdsgang medarbejderen var i, da henvendelsen kom. Social engineering-fund kan placeres i nogle få mønstre:

Bekræftelse mangler · en anmodning blev udført på baggrund af den kanal, den kom ad, uden en uafhængig bekræftelse.
Undtagelser er normale · arbejdsgangen har så mange undtagelser i hverdagen, at en usædvanlig anmodning ikke skilte sig ud.
Presset kommer fra rollen · medarbejderen måles på hurtig service og har ingen opbakning til at sige nej.
Meldevejen er uklar · medarbejderen fornemmede, at noget var galt, men vidste ikke, hvem der skulle have besked.

Hvert mønster peger på en anden rettelse. Det er derfor vigtigt, at rapporten beskriver fundet præcist nok til, at mønsteret kan genkendes. → Fund om mennesker i rapporten

Rettelser, der flytter byrden fra den enkelte

De mest effektive rettelser gør det sikre valg til det nemme valg. Nogle eksempler på begrebsniveau:

Bekræftelse ad en anden kanal · anmodninger om betalinger, ændrede kontooplysninger eller ny adgang bekræftes via en kendt kontakt, ikke via den kanal, anmodningen kom ad.
Færre undtagelser · en arbejdsgang med få, kendte undtagelser gør det lettere at se, når noget er usædvanligt.
Ret til at sige nej · en skriftlig opbakning fra ledelsen til, at medarbejderne må afvise eller udskyde en henvendelse, der ikke kan bekræftes, også når den ser ud til at komme fra ledelsen selv.
Enkel melding · én kendt måde at melde en mistænkelig henvendelse på, uanset kanal.

Rettelserne kan ligge uden for sikkerhedsfunktionens eget område, i økonomi, servicedesk, reception eller HR. Det gør det nødvendigt at have en ejer i den relevante del af organisationen. Sikkerhedsfunktionen kan formulere kravet og følge op, men den, der ejer arbejdsgangen, ved, hvordan ændringen påvirker hverdagen, og hvad der skal til, for at den faktisk bliver brugt. En rettelse, der gør arbejdet væsentligt tungere, risikerer at blive omgået igen. → Handlingsplan efter red teaming

Træning, der knytter sig til fundet

Når træning er en del af svaret, bør den knytte sig til de konkrete arbejdsgange, fundet handlede om. En generel kampagne om at være opmærksom giver mindre end en kort gennemgang for de relevante teams af den ændrede procedure og grunden til den.

Den amerikanske vejledning SP 800-50 Rev. 1 om læringsprogrammer inden for cybersikkerhed og privatliv beskriver programmer, der skal fremme ændret adfærd og en sikkerhedskultur, og som evalueres og forbedres over tid. Den tankegang passer godt til opfølgningen på en øvelse: træningen er et middel til at få en ny arbejdsgang til at virke, ikke et mål i sig selv.

Meldekulturen er en kontrol

En af de mest værdifulde opdagelser i en red team-øvelse er de medarbejdere, der meldte eller afviste. De viser, at meldevejen kan virke. Spørg, hvad der gjorde det muligt for dem, og hvad der skete med deres melding. Blev den fulgt op? Fik de svar? Nåede den frem til nogen, der kunne advare andre? → Eskalering

Hvis meldinger ikke bliver fulgt op, holder medarbejderne op med at melde. NCSC peger på, at medarbejdere, der får tilbagemelding på deres meldinger, ser, at de gør en forskel. Det er en lille investering, der styrker en af de få kontroller, der virker på tværs af kanaler.

Mål, om rettelserne virker

Rettelser af processer er sværere at måle end tekniske rettelser. Det er ikke nødvendigvis nok at konstatere, at en procedure er skrevet om. Overvej i stedet, om ændringen kan afprøves i mindre skala, fx ved en målrettet kontroløvelse for den arbejdsgang, der fejlede, eller ved at gennemgå et udsnit af de anmodninger, der er behandlet efter den nye procedure. → Små kontroløvelser

Næste red team-øvelse kan også bruges til at se, om rettelsen holder, men det bør ikke være den eneste måling. Der kan gå lang tid mellem øvelserne, og et scenarie vil ikke nødvendigvis ramme præcis samme arbejdsgang igen. → Genafprøvning

Det skal I lade være med

At svare med en kampagne alene · ret de arbejdsgange, der gjorde det let at sige ja.
At lægge rettelsen i sikkerhedsfunktionen · ejeren er den del af organisationen, der har arbejdsgangen.
At glemme dem, der meldte · deres erfaring viser, hvad der virker.
At lade meldinger forblive ubesvarede · det svækker den kontrol, I vil styrke.
At gøre ledelsen til en undtagelse · retten til at sige nej skal også gælde anmodninger fra ledelsen.
At regne en omskrevet procedure for rettet · afprøv den.

Hvad kan og ikke kan konkluderes

Et social engineering-fund viser, at en arbejdsgang kunne omgås i en konstrueret situation. Det viser ikke, at medarbejderne generelt er uopmærksomme, og det kan ikke rettes ved at bede dem om at være mere forsigtige. Rettelser i processer og støtte kan mindske risikoen, men ingen ændring fjerner den helt. Det giver mening at forvente færre muligheder og hurtigere melding, ikke at ingen bliver narret.

Tjekliste til opfølgningen

☐ Er hvert fund placeret i en arbejdsgang og et mønster?
☐ Har hver rettelse en ejer uden for sikkerhedsfunktionen, hvor det er relevant?
☐ Er bekræftelse ad en anden kanal indført for de anmodninger, der fejlede?
☐ Har ledelsen skriftligt bakket op om retten til at sige nej?
☐ Får medarbejdere tilbagemelding, når de melder?
☐ Er det aftalt, hvordan rettelserne afprøves?

Kilder

NCSC (UK): Phishing attacks, defending your organisation: forsvar i flere lag, træningens grænser og tilbagemelding på meldinger.
Building a Cybersecurity and Privacy Learning Program (SP 800-50 Rev. 1): læringsprogrammer, der skal fremme adfærdsændring og sikkerhedskultur og forbedres over tid.
Direktiv (EU) 2022/2555 (NIS2): artikel 21, stk. 2, litra g og i, om cyberhygiejne, uddannelse, personalesikkerhed og adgangskontrolpolitikker.

Senest gennemgået: oktober 2026.