Klokken nærmer sig frokost, da Maja får en besked, der ser ud til at komme fra hendes leder. Den beder hende gennemføre en betaling med det samme. Kort efter dukker en uventet anmodning om at logge ind på hendes konto op, og på vej hjem opdager hun, at arbejdstelefonen er væk. Tre situationer på én dag. Heldigvis behøver hun ikke gætte sig frem.
NIS2 krav handler også om de rutiner, medarbejdere bruger, når noget virker forkert. Det gælder ikke kun it-afdelingen: En betaling, en adgangsanmodning eller en bortkommen enhed kan få betydning for hele organisationens cybersikkerhed. Derfor er det værd at se på, hvad man konkret gør, når sådan noget sker i løbet af en almindelig arbejdsdag.
Stop op, før du reagerer på beskeden
Først læser Maja beskeden igen. Afsenderens navn ligner lederens, og tonen er venlig, men der er pres på for at få betalingen ordnet straks. Skal hun klikke på betalingslinket, svare direkte eller kontrollere anmodningen ad en anden vej?
Hun vælger den kontaktvej, hun kender: Hun ringer til lederen på det nummer, hun allerede har gemt. Beskeden viser sig ikke at være en ægte betalingsanmodning. Maja sletter den efter organisationens procedure og giver den ansvarlige besked, så forsøget kan blive håndteret. Den lille pause er ofte den bedste del af sikkerhedsrutinen.
Ved mistanke om svindel skal du lade links og vedhæftninger være og undlade at sende oplysninger eller penge, før anmodningen er kontrolleret. Brug en kontaktmetode, du allerede kender, i stedet for oplysningerne i selve beskeden. Hvis du har klikket eller delt noget, skal du sige det hurtigt til den ansvarlige. Det er langt mere hjælpsomt end at prøve at skjule fejlen.
Det gælder også, når beskeden virker troværdig. Angreb kan være tilpasset en arbejdsopgave, en leverandør eller en travl situation. En kollega, der håndterer fakturaer, har måske brug for andre eksempler end en medarbejder, der arbejder med kundedata. God oplæring tager udgangspunkt i de opgaver, folk faktisk løser.
En uventet godkendelse er ikke en formalitet
Senere på dagen får Maja en anmodning om at logge ind, som hun ikke selv har sat i gang. Hun kunne godkende den for at få beskeden væk, men stopper i stedet. En godkendelse kan give en anden adgang til hendes konto. Derfor afviser hun anmodningen og melder den gennem organisationens aftalte kanal.
Adgangskoder skal være svære at gætte og må ikke genbruges på tværs af tjenester. Hvis organisationen stiller en adgangskodeadministrator til rådighed, kan den gøre det lettere at holde styr på dem. Flerfaktorgodkendelse giver et ekstra sikkerhedslag, men betyder ikke, at du skal godkende enhver anmodning. Kommer der en anmodning, uden at du selv har forsøgt at logge ind, så stop og meld det.
Hvem skal Maja kontakte? Det bør ikke være et mysterium. Organisationen skal fortælle tydeligt, om medarbejderen skal bruge en intern sikkerhedskanal, kontakte it-support eller ringe til en udpeget ansvarlig. En enkel kontaktvej virker bedre end en lang procedure, ingen kan finde midt i arbejdsdagen.
Arbejdsudstyret kræver også omtanke: Lås skærmen, når du går fra skrivebordet, og brug kun godkendte løsninger til arbejdsdata. På hjemturen opdager Maja, at arbejdstelefonen er væk. Hun melder det straks efter den aftalte procedure, så organisationen kan sikre adgangen. Det er netop i sådan en situation, at hurtig besked gør en reel forskel.
Gør beredskabet let at huske
Før en hændelse bør medarbejderen kende kontaktvejen og vide, hvordan arbejdsudstyret skal beskyttes. Når noget sker, skal medarbejderen stoppe den risikable handling, lade sporene være og melde, hvad der er sket. Derefter følger medarbejderen den ansvarliges instruktioner og deler relevante oplysninger, for eksempel hvilken enhed eller konto sagen drejer sig om.
Rutinerne kan stå på et kort ved arbejdsstationen eller i organisationens interne vejledning. Hold det kort: Stop, kontrollér, rapportér. En tyk mappe, der samler støv, hjælper ikke meget, når nogen står med en mistænkelig besked eller en manglende telefon.
NIS2 krav bliver mere anvendelige, når medarbejdere øver situationer, der ligner deres egne opgaver. Målrettet oplæring kan vise, hvordan man genkender svindel, beskytter konti og melder hændelser uden at tøve. Organisationen kan finde inspiration til oplæringen på siden om NIS2 krav og uddannelse. En kort øvelse med en falsk betalingsanmodning kan for eksempel lade medarbejderne afprøve den kendte kontaktvej, før presset opstår.
Mens Maja melder den bortkomne telefon, er hendes vigtigste opgave ikke at løse alt selv. Hun skal reagere hurtigt og give de rette personer besked. Det synes jeg er en fornuftig arbejdsdeling: Medarbejderen opdager og rapporterer, mens organisationen tager over og følger sin beredskabsplan.
Hvilke rutiner bør jeres næste øvelse handle om? Spørg medarbejderne, hvad de ville gøre ved en uventet loginanmodning, en hastende betalingsbesked eller en mistet arbejdsenhed. Hvis svaret ikke er tydeligt, er det et godt sted at begynde. Sikkerhed bliver mere håndgribelig, når folk får lov at øve sig på situationer, de kan genkende.
Se mere hos skillflow.dk.