Hvorfor CISO, HR og AI-ansvarlig må samle sine kampanjer

Mellom stadige varsler om målrettet phishing (spear-phishing) fra IT-sikkerhetsteamet, obligatoriske HR-kurs om arbeidsmiljø og retningslinjer for generativ AI fra innovasjonsavdelingen, opplever mange ansatte informasjonsmetning. Denne kognitive overbelastningen kalles ofte oppmerksomhetstretthet i ledergruppen. Når hver avdeling driver sine egne initiativer i lukkede siloer, blir resultatene gjerne skuffende: lave fullføringsgrader, glemte råd etter 48 timer og en generell frustrasjon over stadige digitale pålegg.

Risikobildet har endret seg fundamentalt. I dag utgjør en feilformulert prompt i en offentlig tilgjengelig språkmodell (LLM) både et konfidensialitetsbrudd for CISO, et kompetanseløft for HR og en strategisk blindsone for AI-ansvarlig. Å skille opplæringen i cybersikkerhet fra bruken av nye AI-verktøy gir ikke lenger mening i praksis. Tiden er inne for å bygge en felles front for å styrke kompetansen effektivt uten å overvelde organisasjonen.

Hvordan samkjøre sikkerhetsbevissthet og AI-opplæring?#

Kort oppsummert: Å samkjøre cybersikkerhet og AI-opplæring handler om å forene budskapene om databeskyttelse og trygg bruk av generative verktøy i et felles, engasjerende ritual. Dette motvirker oppmerksomhetstretthet hos de ansatte og gir målbar innsikt i virksomhetens digitale vaner.

Skillelinjen mellom cybertrusler og legitim AI-bruk er i dag visket ut. Trusselaktører benytter tekstgeneratorer til å skreddersy overbevisende svindelforsøk, samtidig som ansatte utilsiktet kan mate kildekode eller finansielle opplysninger inn i åpne forbrukertjenester. Ved å adressere begge temaene under ett etablerer dere en helhetlig digital sikkerhetskultur som støtter opp under NSMs grunnprinsipper for IKT-sikkerhet og Datatilsynets forventninger til internkontroll.

Konkrete gevinster ved en trepartsallianse

For å lykkes med denne samordningen må tre nøkkelroller i virksomheten samarbeide tett:

• CISO / Sikkerhetsansvarlig: Tilfører risikovurderinger, kartlegger sårbarheter knyttet til skygge-AI (Shadow AI), og tydeliggjør kravene til beskyttelse av forretningshemmeligheter og personopplysninger.
• HR-ledelsen: Styrer endringsledelsen, passer på det pedagogiske tempoet, sikrer ansattes engasjement og fremmer tverrfaglig kompetanseutvikling.
• AI-lederen eller AI-ressursen: Viser det reelle potensialet i teknologien, fremmer produktive bruksområder og demonstrerer tidsbesparelser uten kompromiss med virksomhetens sikkerhet.

Ved å samle kreftene i et felles opplæringsprogram for cybersikkerhet og AI slipper avdelingene å kjempe om medarbeidernes oppmerksomhet. I stedet tilbyr de et samlet, verdiskapende opplegg som kan omsettes direkte i den daglige arbeidshverdagen.

AI Act og intern styring: Hva betyr regelverket for opplæringsløpet?#

Kort oppsummert: Artikkel 4 i AI Act krever at virksomheter iverksetter tiltak for intern kompetansebygging tilpasset de ansattes roller. Dette gjør opplæring i generative verktøy og sikkerhetsprinsipper til en felles oppgave for ledelsen og HR.

Det regulatoriske landskapet skjerpes betraktelig med EUs AI Act. Artikkel 4 stiller krav om at virksomheter som tar i bruk AI-systemer, må innføre tiltak for å sikre tilstrekkelig AI-kompetanse hos sine ansatte. Dette er et krav til innsats og tiltak: Arbeidsgiver må kunne dokumentere at slike kompetanse- og bevisstgjøringstiltak faktisk blir gjennomført.

Dette harmonerer med kravene til kontinuerlig sikkerhetsopplæring i Digitalsikkerhetsloven (som innfører NIS 2-rammeverket i norsk rett), ISO 27001 samt Finanstilsynets forventninger under DORA-forordningen for finanssektoren. Å kjøre parallelle opplæringsløp for sikkerhet og AI skaper unødvendig administrativt merarbeid og sløser med de ansattes tid. Å slå dem sammen gir optimal ressursbruk der man for eksempel kan behandle tilgangsstyring og prompt injection i en og samme interaktive økt.

Hvorfor korte, spillbaserte utfordringer gir best engasjement#

Å bytte ut to tradisjonelle e-læringsmoduler på 45 minutter med én lang modul på 90 minutter løser ingenting. For å skape reell atferdsendring må man endre formatet og satse på korte, engasjerende interaktive utfordringer.

Det er her spillmekanikk viser sin styrke. Med Super Challenge fra Brain Security får virksomheten en fleksibel quizkonkurranse bygget opp rundt tematiske runder. Løsningen er tilgjengelig via selvbetjening med fem gratis tilganger uten behov for kredittkort, og lar dere kombinere forsvar mot sosial manipulering med trygge prompt-vaner i et felles format.

Ved å dele opp læringen i dynamiske runder på få minutter kan kolleger utfordre hverandre vennskapelig med resultater i sanntid. Dette dekker behovene til alle tre nøkkelroller:

• HR ser høy deltakelse takket være en motiverende og ufarlig læringsform.
• CISO kan verifisere at varsellamper og manipulasjon via deepfakes blir forstått i praksis.
• AI-ansvarlig ser at medarbeiderne forstår når de må anonymisere data, og hvordan de kvalitetssikrer svarene de mottar.

BRAIN SECURITY I PRAKSIS · Super Challenge

Slik bygger dere et samlet opplæringsritual trinn for trinn#

For å rulle ut et felles program uten å overbelaste mellomledere og ansatte anbefales en trinnvis metode:

• Trinn 1: Kartlegg reell bruk og utfordringer. Identifiser hvilke AI-verktøy som allerede testes ut i fagavdelingene, og hold dette opp mot hendelser og sikkerhetslogger.
• Trinn 2: Etabler en felles fremdriftsplan. Unngå spredte enkelteposter. Legg opp en samlet sesong over noen uker med korte, spissede utfordringer.
• Trinn 3: Dyrk delingskultur og rom for å feile. Opplæringen skal vekke nysgjerrighet, ikke frykt for straff. Et feilsvar i en interaktiv quiz gir en utmerket mulighet til umiddelbart å vise hva som er beste praksis.
• Trinn 4: Dokumenter tiltakene. Samle nøkkeltall som deltakelsesgrad og gjennomsnittlig mestring per tema. Dette gir et solid grunnlag ved sikkerhetsrevisjoner og dokumentasjon av tiltak etter AI Act.

En robust digital kultur bygges ikke gjennom endeløse e-poster med instrukser. Den skapes når ledergruppen formulerer et samstemt budskap gjennom engasjerende ritualer som respekterer medarbeidernes arbeidstid.

Vil dere samle avdelingene om en effektiv og motiverende tilnærming? Ta kontakt med oss for å diskutere hvordan dere kan sette opp et felles opplæringsløp.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Sikker prompting for generativ AI: Unngå datalekkasjer i virksomheten (AI Literacy & AI Act) : Lær hvordan virksomheten bruker generativ AI trygt uten å lekke sensitive data, forretningshemmeligheter eller personopplysninger etter GDPR.
• Autonome AI-agenter og bedriftskoblinger: Nye cyberrisikoer og rammeverk for ledelsen (AI Literacy & AI Act) : Kartlegg risikoen ved autonome AI-agenter: indirekte prompt injection, OAuth-rettigheter, NSMs prinsipper og menneskelig validering.
• AI-kodeassistenter: Slik trener du utviklere mot lekkasjer av hemmeligheter og sårbarheter (AI Literacy & AI Act) : Sikre bruken av AI-kodeassistenter. Forebygg lekkasjer av API-nøkler, avdekk slopsquatting og styrk sikkerhetskulturen i utviklingsteamet.
• PCI DSS v4.0 Krav 12.6: Nye Forventninger til Sikkerhetsbevissthet og Phishing (Compliance (NIS 2, DORA, ISO)) : Oppdag kravene i PCI DSS v4.0 krav 12.6 for sikkerhetskultur: sosial manipulering, phishing og årlig revisjon av opplæring for norske virksomheter.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Challenge : Tilpassbar reflekskonkurranse innen cyber og AI: tidsstyrte minispill i arkademodus.
• Oppdag vårt program for AI-kompetanse (AI Spring)
• Se bruksområder etter mål og bransje
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)