Awareness træning

Introduktion

Ved dine kolleger, hvad personoplysninger er?

Det kan være nødvendigt af flere grunde til at træne dine kolleger i informationssikkerhed, samt GDPR og databeskyttelse.

Hvis IT-sikkerhed er vigtigt for din organisation, så er det vigtigt at opbygge en stærk bevidsthed om IT-sikkerhed blandt medarbejderne i organisationen. Alle forretningsprocesser og systemer er netop drevet af mennesker, så hvis de begår fejl, så kan det ende med sikkerhedsbrud. Faktisk så involverer 68% af sikkerhedsbrud menneskelige fejl, hvad enten det er som offer for et phishing-angreb eller ved at sende data til forkert modtager..

Det er desuden et krav i GDPR-reglerne, at man skal implementere passende organisatoriske foranstaltninger for at sikre behandlingen af personoplysninger, og awareness træning er en sådan foranstaltning. GDPR-træning er desuden afgørende for GDPR compliance, fordi medarbejderne ikke kan behandle personoplysninger korrekt, hvis de hverken er i stand til at identificere personoplysninger i deres daglige arbejde eller har kendskab til databeskyttelsesprincipperne .

Lignende krav findes også i EU’s NIS 2-direktiv, der stiller krav om uddannelse af medarbejdere i grundlæggende cybersikkerhed for organisationer med en kritisk funktion i samfundet - og hvis man stræber efter en ISO 27001-certificering, så er awareness træning også et kontrolmål.

I resten af denne artikel kan du læse hvordan, at du kan bruge awareness træning til at uddanne dine kolleger.

IT-sikkerhed awareness træning

IT-sikkerhed er alles ansvar, og ikke kun IT-afdelingens eller chefens. Det er vigtigt, at alle – fra praktikanten til direktøren – har kendskab til grundlæggende cybersikkerhed, herunder trusler, sårbarheder og forebyggende foranstaltninger. Ét sikkerhedsbrud kan have store konsekvenser for virksomheden og dens interessenter, og det kan ske ved blot et klik på en phishing-mail.

Cyberangreb sker hele tiden, - oftere og oftere, og de udvikler sig konstant, og derfor er tilbagevendende awareness træning en vigtig foranstaltning for at hele organisationen kan stå imod disse.

Eksempler på træningsemner:

• Phishing-mails
• Håndtering af adgangskoder
• Sikker brug af internettet
• Sikker brug af mobile enheder
• Rapportering af sikkerhedhændelser

Ved at bruge IT sikkerheds awareness træning til at uddanne dine kolleger i praktiske færdigheder bliver de mere opmærksomme på IT-sikkerheden og handlekraftige i deres arbejde. Øget opmærksomhed omkring IT-sikkerhed kan fx medføre, at en produktansvarlig på eget initiativ tilføjer sikkerhedsfunktioner til systemer eller begrænser adgangen for almindelige brugere til visse oplysninger.

Uddannelse i IT-sikkerhed er også med til at skabe et fælles sprog i organisationen , hvilket forbedrer samtaler om IT-sikkerhed i organisationen. Når alle taler samme "sikkerhedssprog," bliver det nemmere at drøfte potentielle risici og løsninger til møder.

Når alle kan samarbejde om at identificere problemer i arbejdsgange og teknologier, bliver det lettere at styrke sikkerheden.

GDPR Awareness Træning

Arbejdsstyrken er ikke statisk - medarbejdere kommer og går, hvilket betyder, at de nye medarbejdere skal uddannes i GDPR-reglerne og informationssikkerhed. Derudover har vi mennesker en tendens til at glemme information over tid. Forglemmelse duer bare ikke i forhold til IT-sikkerheden og efterlevelse af databeskyttelsesreglerne, da medarbejderne fx altid skal behandle personoplysninger korrekt, hvilket i øvrigt skal dokumenteres - og derfor er løbende awareness træning nødvendig.

Eksempler på træningsemner

• Hvad er personoplysninger?
• Hjemmel til behandling af personoplysninger
• Databeskyttelsesprincipper
• Hvordan laves en risikovurdering?

Ved dine kolleger, hvad personoplysninger er? Ved de, at behandling af personoplysninger kræver en hjemmel i GDPR? Disse spørgsmål kan virke simple, men hvis svaret er "nej," bliver det svært at opnå GDPR-compliance.

GDPR-awareness træning er en effektiv måde at styrke organisationens evne til at samarbejde om databeskyttelse. Når kolleger i afdelinger som marketing og kundeservice har en grundlæggende forståelse af reglerne, kan de diskutere persondatabehandling på et kvalificeret grundlag uden konstant at inddrage virksomhedens jurister.

Med større kendskab til GDPR-reglerne bliver det også lettere at implementere forbedret databeskyttelsespraksis i virksomhedens forretningsprocesser. Medarbejderne vil være bedre rustet til at deltage aktivt i dialogen om at tilpasse arbejdsrutiner, så de overholder reglerne. Samtidig reduceres antallet af forespørgsler til GDPR-koordinatoren om basale spørgsmål som "Hvad er personoplysninger?" hvilket sparer tid og ressourcer.

Jobfunktioner

Behandlingen af persondata afhænger af medarbejderens jobfunktion, da både følsomheden af data og hyppigheden af behandlingen varierer. For eksempel arbejder HR typisk med følsomme personoplysninger som ansættelseskontrakter og helbredsoplysninger, mens kundeservice primært håndterer basale kontaktoplysninger.

Derfor er det værdifuldt at tilbyde målrettet træning, der passer til hver enkelt jobfunktions specifikke behov og ansvar. Dette sikrer, at medarbejderne får den nødvendige viden til at håndtere persondata korrekt inden for deres arbejdsområde og bidrager til en stærkere databeskyttelsespraksis i hele organisationen.

Nye medarbejdere

Nye medarbejdere har ikke nødvendigvis kendskab til IT-sikkerhed eller GDPR-regler, især hvis det er deres første job. De kender heller ikke organisationens arbejdsgange, IT-systemer eller de forventninger, der er til brugen af interne systemer, bærbare computere osv.

Derfor er det vigtigt at introducere nye medarbejdere til disse emner som en del af deres onboarding, så de kan bidrage til at overholde GDPR-reglerne i deres daglige arbejde. 

Onboarding er samtidig en enestående mulighed for at styrke organisationens kultur. Nye medarbejdere kommer ofte med engagement og friske perspektiver, og ved at introducere gode vaner fra starten kan du forme en positiv og ansvarlig tilgang til IT-sikkerhed og databeskyttelse.

Fratrædende medarbejdere

Det kan også være relevant at tilbyde træning til fratrædende medarbejdere for at informere dem om, hvordan deres personoplysninger fortsat behandles af virksomheden, eksempelvis til skatteopgørelser, samt hvordan de kan udøve deres rettigheder i denne forbindelse.

Fratrædelsesperioden er desuden en oplagt mulighed for at minde medarbejderne om databeskyttelsesprincipperne for håndtering af personoplysninger. Eksempelvis kan en sælger måske overveje at kopiere virksomhedens kundedatabase til brug i sit nye job, hvilket er uacceptabelt. Awareness-træning i denne periode kan fungere som en påmindelse om korrekt databeskyttelsesadfærd og understrege, at beskyttelse af virksomhedens data også er vigtig i slutningen af ansættelsen.

Hypighed

Løbende awareness-træning er afgørende for at holde medarbejderne opdateret om IT-sikkerhed og GDPR-compliance. Uden regelmæssig vedligeholdelse af viden risikerer man, at den hurtigt går tabt. Derfor er det en god idé at gennemføre træning med jævne mellemrum, eksempelvis månedligt, for at sikre, at IT-sikkerhed og databeskyttelse forbliver i fokus.

Med korte træningssessioner hver 3-4 uge på blot 5-7 minutter kan du balancere behovet for uddannelse med medarbejdernes daglige arbejdsopgaver. Denne tilgang sørger for, at sikkerhed og compliance fastholdes som en prioritet, uden at det bliver en byrde for medarbejderne.

Format

Træningen til dine kolleger kan leveres i forskellige formater: via e-mails, en e-læringsplatform eller ved selv at undervise, for eksempel på et personalemøde.

Hvis du vælger selv at undervise, kan det være passende med en 30-60-minutters session enten halvårligt eller årligt. Mangler du tid, kompetencer eller ressourcer til at stå for undervisningen, kan du vælge at købe adgang til en e-læringsplatform. Det sparer tid og giver medarbejderne fleksibilitet til at gennemføre træningen, når det passer ind i deres arbejdsdag.

Alternativt kan du selv udarbejde træningsmateriale og sende det ud via e-mail. Kollegerne kan så gennemgå materialet, når de har tid, hvilket gør det til en enkel og omkostningseffektiv løsning.

Træningsmateriale

Det kan være en udfordring at udvikle og vedligeholde et effektivt træningsmateriale til dine kolleger. Det kræver både tid og ressourcer at skabe materiale, der er både korrekt og engagerende, samtidig med at det tager tid og fokus fra kollegers travle arbejdsdag.

For at sikre, at træningen altid er korrekt og opdateret, skal både du og eventuelle bidragende kolleger investere tid i at udarbejde og opdatere indholdet. 

Dit alternativ hertil er at bruge en e-læringsplatform, som har specialiseret sig i at lave korrekt og engagerende materiale af kort varighed, så det ikke tager for meget af dine kollegers arbejdstid. 

Evaluering

Det kan være udfordrende at måle effektiviteten af awareness-træning, men enkelte metoder kan være tilstrækkelige.

En oplagt mulighed er at teste medarbejdernes viden efter en gennemført session. Dog sikrer et korrekt testsvar ikke nødvendigvis, at medarbejderen handler korrekt i praksis – men det kan stadig være det mest effektive værktøj, der er til rådighed.

En anden tilgang er at spørge medarbejderne om deres oplevelse af træningen. Træning, der skaber engagement og entusiasme, har ofte en positiv indvirkning på medarbejdernes adfærd og deres evne til at anvende det lærte i hverdagen.

Flere virksomheder bruger simulerede phishing-angreb til at teste, hvor godt medarbejderne omsætter deres viden om phishing til praksis. Problemet med disse angreb er, at de ofte kun fokuserer på e-mail-phishing, som kun er én ud af mange typer phishing. Det rejser spørgsmålet, hvor effektiv denne metode egentlig er.

Dokumentation

Awareness-træningen bidrager også til organisationens compliance, så det er vigtigt at dokumentere, at den er gennemført. Dette kan gøres så enkelt som at gemme e-mails om den månedlige træning eller trække rapporter fra e-læringsplatformen, der viser gennemførte træningsaktiviteter.

Opsummering

Awareness træning er et vigtigt element i enhver organisations IT-sikkerhed og databeskyttelse for at undgå menneskelige fejl, sikre korrekt behandling af personoplysninger, og det skaber et fællessprog i organisationen, samt understøtter en god sikkerhedskultur.

Det er desuden både et direkte og indirekte krav i forskellige lovgivninger og informationssikkerhedsstandarder.