Medarbejderhensyn: en øvelse uden at udstille kolleger

Når en red team-øvelse omfatter social engineering eller fysisk adgang, bliver nogle kolleger mødt af holdet, og nogle af dem vil handle, som holdet håbede. Spørgsmålet er, hvordan organisationen kan bruge det til læring uden at udstille dem. Svaret hviler på et løfte, ledelsen giver, før øvelsen begynder: ingen enkeltperson bliver nævnt, bedømt eller får personlige konsekvenser af øvelsen. Løftet er kun noget værd, hvis det er indbygget i den måde, øvelsen planlægges, dokumenteres og afsluttes på.

Etikken bag løftet er beskrevet i → Etik i red teaming. Her handler det om, hvordan I holder det i praksis.

Løftet skal stå skrevet

Et mundtligt tilsagn fra CISO’en er ikke nok, fordi det er andre, der senere kan få lyst til at bryde det. En afdelingsleder vil gerne vide, hvem i teamet der lukkede holdet ind. En direktør spørger på et møde, hvem der var tale om. Hvis løftet ikke er skrevet ned og godkendt på det rette niveau, er det svært at sige nej.

Formulér det derfor som en beslutning i ledelsens godkendelse af øvelsen. Den kan fx sige, at resultater fra øvelsen ikke bruges i sager om den enkelte medarbejders ansættelse, at navne ikke videregives til ledere, og at kun white team har adgang til materiale, hvor personer kan genkendes. → Ledelsens godkendelse

Anonymitet begynder i planlægningen

Det er lettere at beskytte oplysninger, der aldrig er indsamlet. Aftal med holdet, at det i sin logbog og sine notater beskriver funktioner og situationer frem for personer: receptionen om formiddagen, en medarbejder i økonomi, en kollega ved personaleindgangen. Hvor et navn er nødvendigt for at kunne bekræfte et forløb, gemmes det adskilt fra resten og med adgang for få.

Databeskyttelsesforordningen siger, at personoplysninger skal indsamles til udtrykkeligt angivne formål og ikke må viderebehandles på en måde, der er uforenelig med dem. Oplysninger, der er indsamlet for at afprøve processer, bør derfor ikke dukke op i en anden sammenhæng senere. Hvordan reglerne gælder i jeres situation, er en vurdering for jeres databeskyttelsesrådgiver; teksten er ikke juridisk rådgivning. → Persondata i øvelsen

Under øvelsen: hensyn i situationen

Medarbejderhensyn handler ikke kun om rapporten. Under selve øvelsen skal holdet kunne afbryde en henvendelse, der skaber utryghed, og white team skal kunne gribe ind, hvis en kollega tydeligvis er presset. Aftal på forhånd, hvordan holdet afslutter en situation roligt, og hvem der tager kontakt til en medarbejder, der virkede påvirket.

Overvej også de kolleger, der ikke blev mødt af holdet, men som hører om det. Et rygte om, at der er nogen i bygningen, kan skabe uro. White team bør have et kort, ærligt svar klar, som ikke afslører øvelsen, men heller ikke efterlader folk utrygge. → Kommunikationsplan

Lederne skal kende løftet

De nærmeste ledere kan komme til at bryde løftet, uden at det er meningen. En leder, der hører, at nogen i afdelingen blev narret, vil naturligt spørge til det, tage det op på et teammøde eller nævne det i en medarbejdersamtale. Det kan ske i den bedste mening og alligevel opleves som en reprimande.

Beslut derfor, hvornår lederne får besked, og hvad de får at vide. En mulighed er, at de orienteres samtidig med debriefingen af medarbejderne og får en kort vejledning: at fundet handler om processer, at de ikke skal spørge ind til, hvem der var involveret, og at de skal henvise spørgsmål til white team. Ledere, der selv var en del af scenariet, skal behandles på samme måde som andre berørte.

Lederne er også dem, der kan omsætte fundene til bedre processer i hverdagen. Når de forstår, at øvelsen viste en mangel i rutinen og ikke hos en person, bliver de en hjælp i opfølgningen frem for en risiko.

De, der gjorde det rigtige

Hensynet gælder også de medarbejdere, der stoppede holdet, meldte en henvendelse eller nægtede at hjælpe. De har gjort præcis det, organisationen beder om, og de skal vide det. Det kan være dem, der føler sig mest snydt, fordi de troede, de havde fanget en rigtig modstander, og bagefter får at vide, at det var en øvelse.

Anerkendelsen skal være konkret og hurtig. Den kan gives personligt af en leder, der er blevet orienteret, eller af white team. Den bør ikke bruges i en fælles kampagne med navne, medmindre medarbejderen selv har sagt ja til det.

Når øvelsen er slut

Den første besked til de berørte bør komme fra en person, de har tillid til, og ikke fra holdet. Beskeden skal forklare, at formålet var at afprøve processer, og at ingen bliver vurderet på det, der skete. Detaljerne om forløbet er beskrevet i → Debriefing af medarbejdere.

Rapporten skal beskrive processer og funktioner. Hvis et fund kun giver mening med en genkendelig situation, kan beskrivelsen generaliseres, så læseren forstår mekanismen uden at kunne udpege personen. I små afdelinger kan selv en funktion være nok til at genkende nogen, og så må beskrivelsen gøres endnu bredere. → Fund om mennesker i rapporten

Aftal til sidst, hvornår materiale med genkendelige personer slettes, og hvem der bekræfter, at det er sket. Et løfte om anonymitet holder dårligt, hvis optagelser og notater ligger på et fællesdrev et år efter.

Det skal I lade være med

At give løftet mundtligt · det skal stå i ledelsens godkendelse.
At lade holdet notere navne som standard · funktioner og situationer kan være nok til formålet.
At give ledere adgang til rå data · kun white team skal kunne se, hvem der var involveret.
At glemme dem, der reagerede rigtigt · de skal anerkendes, ikke bare informeres.
At bruge en genkendelig situation i en præsentation · selv uden navn kan kollegerne vide, hvem det var.
At gemme materialet uden slutdato · anonymitet kræver også sletning.

Hvad kan og ikke kan konkluderes

Når løftet er skrevet ned og indbygget i dokumentation, adgang og sletning, kan organisationen bruge øvelsen til at forbedre processer uden at skade tilliden. Medarbejderhensyn kan ikke garantere, at ingen føler sig ilde berørt. Nogle vil gøre det alligevel, og det må organisationen tage alvorligt. Hensynet ændrer heller ikke ved, at enkelte situationer kan være genkendelige for de nærmeste kolleger.

Tjekliste til medarbejderhensynet

☐ Står løftet om anonymitet og ingen personlige konsekvenser i ledelsens godkendelse?
☐ Noterer holdet funktioner og situationer frem for navne?
☐ Er det aftalt, hvem der har adgang til materiale med genkendelige personer?
☐ Kan holdet og white team afbryde en situation, der skaber utryghed?
☐ Er anerkendelse af dem, der reagerede rigtigt, planlagt?
☐ Er der en dato for sletning, og en person, der bekræfter den?