Cyber governance og respekt for medarbejderne: Mål fremgang uden overvågning

Enhver CISO kender dilemmaet: Hvordan beviser man over for interne revisorer, direktionen og bestyrelsen, at organisationens sikkerhedsniveau løftes, uden samtidig at skabe en mistillidskultur præget af digital overvågning? Fristelsen til at oprette individuelle dashboards med lister over "dårlige elever", der klikkede forkert eller oversprang et e-læringsmodul, kan være stor. Men straffende kontrol nedbryder den interne tillid og får medarbejderne til at skjule deres fejl i stedet for at rapportere dem proaktivt.

Mellem strenge compliancekrav, NIS 2-loven, hensynet til medarbejdernes privatliv og Datatilsynets praksis skal ledelsen af IT-sikkerhed gentænkes. Det er fuldt ud muligt at forene præcis ledelsesrapportering med en anerkendende ledelsesstil. Nøglen ligger i kollektiv motivation, gennemsigtige målepunkter og en kompromisløs overholdelse af princippet om dataminimering.

Hvordan dokumenterer man medarbejdernes engagement og fremgang på en konstruktiv måde?#

Kort sagt: For at dokumentere cybersikkerhedens fremgang uden individuel kontrol bør I prioritere aggregerede data på afdelingsniveau, frivillige engagementsrater og åben kommunikation. Denne metode styrker det kollektive ansvar, overholder kravene fra GDPR og giver revisorerne solide beviser på en kontinuerlig sikkerhedskultur uden nogensinde at udstille enkeltpersoner.

At dokumentere træningen af jeres medarbejdere er ikke ensbetydende med at føre en gabestok over individuelle fejltrin. En sund governance-model bygger på effektmålinger på afdelingsniveau eller på tværs af datterselskaber. Når I erstatter individuel monitorering med en dynamisk holdindsats, ændrer I fundamentalt opfattelsen af sikkerhed i hele virksomheden.

Denne overgang kan understøttes gennem konkrete tiltag:

• Aggregering af resultater per afdeling: I stedet for at registrere den enkelte medarbejders nøjagtige score, bør I analysere den samlede udvikling i økonomiafdelingen, marketing eller HR. Det fremmer vidensdeling og kollegial sparring.
• Offentliggørelse af fælles milepæle: Etablér kollektive mål (eksempelvis 80 % aktiv deltagelse i et kvartal) og anerkend åbent afdelingerne, når disse niveauer nås.
• Fuld åbenhed om indsamlede data: Informér tillidsrepræsentanter, samarbejdsudvalg og medarbejdere på forhånd om, hvad der måles, hvorfor det måles, og hvem der har adgang til rapporterne.

Denne tilgang gør compliance til et samlende projekt på tværs af organisationen, hvor IT-sikkerhed bliver en kilde til fælles stolthed frem for en sur pligt.

Hvorfor kræver GDPR og awareness-målinger en anerkendende tilgang?#

Kort sagt: Datatilsynet og GDPR stiller strenge krav om proportionalitet og dataminimering ved behandling af medarbejderdata. En straffende overvågning af adfærd skaber umiddelbare juridiske risici og ødelægger den åbne rapporteringskultur, som er helt afgørende for at bremse reelle cyberangreb i tide.

Den europæiske og danske databeskyttelseslovgivning slår fast, at arbejdspladsen ikke må udvikle sig til et rum for totalovervågning. Når I gennemfører awareness-træning, behandler I personoplysninger (navne, gennemførelsestidspunkter, testresultater og reaktionsmønstre på simuleringer). Indsamling af uforholdsmæssige, straffende målinger udsætter derfor direkte organisationen for juridiske komplikationer.

Dataminimering opbygger tillid

Princippet om dataminimering fastsætter, at I udelukkende må behandle oplysninger, der er strengt nødvendige for det erklærede formål. Som CISO har du brug for at vide, om jeres organisation er modstandsdygtig over for ransomware eller social engineering. Er det nødvendigt at gemme en treårig historik over en bestemt medarbejders fejlklik? Nej. Dokumentation til bestyrelsen, revisionsudvalget eller eksterne auditører skal være aggregeret, anonymiseret eller pseudonymiseret, så den afspejler tendenser og risikomønstre frem for personlige synderegistre.

Undgå mørketal og frygt for sanktioner

Hvis en medarbejder ved, at en sikkerhedsfejl udløser en advarsel til den nærmeste leder, bliver den umiddelbare reaktion ofte at skjule hændelsen i håb om, at ingen opdager det. Når I fjerner sanktionerne fra træningsmiljøet, fjerner I også frygten. Den hurtige og spontane indberetning af en mistænkelig mail er det sande bevis på en moden og stærk sikkerhedskultur.

Hvilke formater skaber motivation uden at stigmatisere?#

For at teste og styrke medarbejdernes reflekser uden at skabe stress fungerer en spilbaseret og etapeopdelt tilgang særdeles godt. Den genererer pålidelige data om organisationens modenhed, samtidig med at oplevelsen forbliver engagerende og motiverende.

Dette er kernen i tematiske konkurrencer som Super Challenge, der tilbyder quizzer inden for cybersikkerhed og kunstig intelligens fordelt på runder og tematiske universer i selvbetjening (med 5 gratis adgange uden kreditkort). Formatet afdækker viden og adfærd i en uformel ramme og leverer brugbare nøgletal til CISO'en uden at udsætte enkeltpersoner for negativt pres.

Følgende principper sikrer en afbalanceret evalueringsproces:

• Målrettet opfølgning på gruppeniveau: Hvis en afdeling viser kollektive svagheder over for deepfakes eller phishing, kan I tilbyde skræddersyede workshops uden at omtale individuelle fejl.
• Motivation gennem gamification: Udfordrende formater motiverer medarbejderne til at spille igen for at forbedre afdelingens placering, hvilket understøtter indlæringen naturligt og frivilligt.
• Klare rapporter til revision og tilsyn: Træk overskuelige rapporter, der fremhæver dækningsgrader, mestrede emner og generelle udviklingsområder, som er lige til at præsentere for eksterne auditører, cyberforsikringsselskaber eller CFCS.

BRAIN SECURITY I PRAKSIS · Super Challenge

Foren operationel stringens med en sund medarbejderkultur#

Cybermodenhed i danske virksomheder og organisationer måles ikke på antallet af uddelte sanktioner, men på hvor hurtigt og trygt medarbejderne samarbejder om at identificere og afværge trusler. Ved at etablere en transparent governance-model med fokus på gruppedynamik opbygger I et reelt, menneskeligt cyberforsvar.

Vil I styrke jeres medarbejderes færdigheder med engagerende formater og samtidig bevare solid sporbarhed til jeres compliance? Kontakt vores team for en drøftelse for at høre, hvordan I strukturerer et træningsprogram tilpasset jeres risikobillede.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Cyber Resilience Act (CRA): Sådan styrker I Security by Design i udvikling og R&D (Compliance (NIS 2, DORA, ISO)) : Hvordan forberedes softwareudviklere og produktchefer på EU's CRA? Lær at integrere Security by Design i hverdagen uden at miste fart.
• Cyberforsikring: Dokumentationskrav til awareness og phishing-tests for CISO (Compliance (NIS 2, DORA, ISO)) : Cyberforsikring og risikovurdering: Forstå kravene til awareness-træning, phishing-testfrekvens og den dokumentation, forsikringsselskaber kræver.
• PCI DSS v4.0 Krav 12.6: Styrk jeres indsats mod phishing og social engineering (Compliance (NIS 2, DORA, ISO)) : Få styr på PCI DSS v4.0 krav 12.6 med målrettet awareness-træning mod phishing og social engineering. Se CISO-anbefalingerne til QSA-audits her.
• Hvorfor softwareudviklere og IT-profiler også falder for phishing (og hvordan I udfordrer dem) (Industries & Roles) : Opdag hvorfor jeres tekniske IT-profiler falder for social engineering, og hvordan I lykkes med cybersikkerhedsbevidsthed for udviklere.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Challenge : Fleksibel reflekskonkurrence inden for cyber og AI: tidsstyrede minispil i arkadestil.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)