KPI for sikkerhetskultur: Slik måler du IT-sikkerhet utover klikkrater

Hvert kvartal gjentar det samme ritualet seg i ledergruppen og styret: CISO legger frem en betryggende graf som viser at klikkraten på simulerte phishing-kampanjer synker. Likevel vet alle i rommet innerst inne at dette tallet ikke beskytter virksomheten mot reelle trusler. En nedgang i klikk kan simpelthen skyldes en for enkel test, uheldig timing eller at ansatte unngår å åpne e-post i testperioden. Samtidig fortsetter usikre passordvaner, skygge-IT sprer seg ukontrollert, og målrettet sosial manipulering fortsetter å ramme norske virksomheter.

Å styre den menneskelige faktoren i IT-sikkerheten utelukkende etter feilrater på phishing tilsvarer å vurdere pasientens helsetilstand kun ved hjelp av et febertermometer. For å bygge en robust forsvarslinje i tråd med NSMs grunnprinsipper for IKT-sikkerhet, er det avgjørende å ta i bruk reelle KPI-er for sikkerhetskultur. Her ser vi på hvordan dere flytter fokus fra passiv overvåking til konkret måling av de ansattes engasjement, dømmekraft og ferdigheter.

Hvilke KPI-er bør man spore for å vurdere den faktiske effekten av sikkerhetsopplæringen?#

Oppsummert: For å måle den reelle effekten av et opplæringsprogram innen IT-sikkerhet må dere krysspeile spontan varslingsrate, frivillig deltakelse, faglig progresjon på tvers av domener og teamenes operative responstid ved mistanke om hendelser.

Aktiv varsling er den virkelige indikatoren på en sunn sikkerhetskultur. En medarbeider som klikker på en mistenkelig lenke, men umiddelbart varsler sikkerhetsteamet eller IT-servicedesk i løpet av to minutter, er en verdifull ressurs fremfor en sårbarhet. Motsatt vil en ansatt som sletter en ondsinnet e-post uten å si fra til noen, etterlate hele organisasjonen uvitende og eksponert mot et aktivt angrep.

For å styre dette profesjonelt bør følgende atferdsbaserte måleparametre inngå i rapporteringen til ledelsen:

• Spontan varslingsrate: Måler prosentandelen av mistenkelige e-poster og avvik som faktisk rapporteres via offisielle kanaler, sett opp mot det totale antallet oppdagede trusler.
• Forholdet mellom varsling og klikk: Sammenligner hvor mange som varslet med hvor mange som gikk i fellen, noe som avdekker om den kollektive dynamikken er proaktiv eller passiv.
• Varslingshastighet: Beregner gjennomsnittstiden fra et forsøk på sosial manipulering mottas til første formelle varsel tikker inn hos sikkerhetsavdelingen eller NorCERT.

Hvorfor overgår frivillig deltakelse obligatoriske e-læringskurs?#

Oppsummert: Frivillig deltakelsesgrad reflekterer reelt engasjement og ekte interesse for sikkerhet, mens obligatoriske compliance-kurs ofte fører til unnasluntring, videoer som ruller uten lyd og minimal varig læringseffekt.

Når opplæring påtvinges i form av lineære e-læringsmoduler på førti minutter, fokuserer medarbeiderne primært på å bli ferdige raskest mulig. De klikker "neste" mens lyden er dempet, kun for å tilfredsstille interne krav. I en slik setting er en fullføringsgrad på 98 % overhodet ikke et bevis på at kunnskapen verken er forstått eller vil bli brukt i en skarp situasjon.

Å måle frivillig engasjement gir derimot et realistisk bilde av modenheten. Når praktiske og engasjerende formater tas i bruk, trener de ansatte fordi de ønsker å mestre utfordringene og teste egne reflekser. Dette er styrken til konkurransedrevne formater som Super Challenge, vår konkurranse med quizer innen cybersikkerhet og kunstig intelligens fordelt på runder og tematiske univers (tilgjengelig som selvbetjening med 5 gratis tilganger uten betalingskort). Når kolleger vender tilbake på eget initiativ for å forbedre poengsummen, etableres sikkerhetsrutinene som varige reflekser i arbeidshverdagen.

Hvordan kartlegge kompetanse innen IT-sikkerhet etter fagområder?#

Digital sikkerhet handler om langt mer enn bare innboksen. Dagens trusselbilde omfatter trygg bruk av generativ kunstig intelligens, sikkerhet ved hjemmekontor og reiser, psykologisk påvirkning samt beskyttelse av sensitive personopplysninger i henhold til personopplysningsloven (GDPR). Vurdering av sikkerhetskulturen krever derfor en detaljert kartlegging av styrker og svakheter innen ulike fagområder.

En modulær tilnærming gir presise data for å spisse opplæringen:

• Bruk og forståelse av generativ AI: Evaluere om medarbeidere forstår risikoen for lekkasje av forretningshemmeligheter og data via ledetekster, som ledd i opplærings- og bevisstgjøringstiltak knyttet til kravene i EUs AI Act (artikkel 4).
• Motstandsdyktighet mot sosial manipulering: Teste evnen til å gjennomskue direktørsvindel (CEO fraud) via telefon, videomøter eller direktemeldinger.
• Beskyttelse av identiteter og tilganger: Bekrefte at tofaktorautentisering og farene ved gjenbruk av passord er fullt ut forstått i organisasjonen.
• Differensiert analyse per avdeling: Kartlegge modenhetsforskjeller mellom økonomiavdelingen (som er særlig utsatt for fakturasvindel) og IT- og utviklingsteamene (som håndterer API-nøkler og infrastruktur).

Ved å spore fremgangen på disse feltene over tid, nøyer ikke CISO-en seg med å telle feiltrinn: man kan konkret dokumentere overfor ledergruppen og styret hvordan virksomhetens samlede sikkerhetsnivå løftes, også i henhold til krav i DORA og Digitalsikkerhetsloven (NIS 2).

BRAIN SECURITY I PRAKSIS · Super Challenge

Å erstatte fryktkultur med mestring og samhold#

En vellykket sikkerhetskultur viser seg i de uformelle samtalene ved kaffemaskinen: en kollega som lufter en mistanke med sidemannen, et team som sammen analyserer en merkelig henvendelse, eller en vennskapelig duell mellom avdelinger under en felles utfordring.

For å forlate fryktbaserte tall og etablere et verdiskapende måleverktøy som setter menneskene i sentrum av virksomhetens cyberforsvar, avtal et møte med vårt team og se hvordan dere skaper varig engasjement hos alle ansatte.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Security Fatigue: Hvordan overvinne sikkerhetstrøtthet blant ansatte (Gamification) : Forstå årsakene til sikkerhetstrøtthet hos ansatte. Lær hvordan CISO kan erstatte frykt med engasjerende gamification og styrke bedriftskulturen.
• Serious game cybersikkerhet: CISO-guiden til valg av riktig format (Gamification) : Escape room, arkadequiz eller krisesimulering: finn riktig serious game innen cybersikkerhet tilpasset modenheten i deres virksomhet.
• Nevrovitenskap og cybersikkerhet: Slik aktiverer spillbasert læring langtidshukommelsen (Gamification) : Lær hvordan dopamin og kognitiv vitenskap forvandler sikkerhetsopplæring til varige reflekser ved hjelp av spillmekanikk og psykologisk trygghet.
• Hvorfor CISO, HR og AI-ansvarlig må samle sine kampanjer (AI Literacy & AI Act) : Se hvordan dere forener cybersikkerhet og kunstig intelligens i et engasjerende opplæringsprogram for virksomhetens ansatte.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Challenge : Tilpassbar reflekskonkurranse innen cyber og AI: tidsstyrte minispill i arkademodus.
• Planlegg programmet for Nasjonal sikkerhetsmåned
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)