Externa konsulter och underleverantörer: Ska de inkluderas i cybersäkerhetsutbildningen?

I moderna organisationer har den traditionella nätverksperimetern i praktiken upphört att existera. Interna team samarbetar dagligen med frilansande utvecklare, managementkonsulter, externa IT-driftriggar och leverantörer av managerade tjänster (MSP). Dessa externa parter har ofta behörigheter på hög nivå: personliga VPN-konton, interna e-postadresser, access till Slack eller Teams samt skrivrättigheter i verksamhetskritiska kodförråd.

Ändå uppstår det ofta ett motstånd när det årliga programmet för säkerhetsmedvetenhet ska rullas ut. Med hänvisning till administrativ börda, hög personalomsättning eller juridisk tveksamhet kring avtalsformer ställs konsulter ofta utanför utbildningsinsatserna. Denna blinda fläck utgör en idealisk ingång för angripare, som medvetet riktar in sig på de svagaste länkarna i er digitala leverantörskedja.

Varför måste externa konton omfattas av samma säkerhetskultur?#

Kort sammanfattning: Externa användare delar samma arbetsmiljö och samarbetsverktyg som ordinarie medarbetare. Utan ett samstämmigt säkerhetsbeteende riskerar en konsult som utsätts för nätfiske eller social manipulation att bli en direkt språngbräda in i ert interna nätverk, helt förbi det yttre skalskyddet.

För en cyberkriminell har en e-postadress under er domän exakt samma värde oavsett om den tillhör koncernchefen eller en konsult på ett treveckorsuppdrag. Så snart ett konto är aktivt i ert Active Directory eller er identitetshantering kan det utnyttjas för vidare intrång:

• Lateral förflyttning: Om en konsults konto komprometteras via spear phishing utnyttjar angriparen det förtroende som interna konton åtnjuter för att manipulera kollegor, sprida skadlig kod eller komma åt konfidentiella uppgifter.
• Okontrollerad utrustning (BYOD): Underleverantörer arbetar ofta från egna bärbara datorer eller enheter som administreras av deras moderbolag, där säkerhetskonfigurationen sällan speglar era interna krav. Det gör deras personliga riskmedvetenhet och beteende ännu mer avgörande.
• Bristande kännedom om interna incidentrutiner: En extern resurs vet sällan vem som ska kontaktas vid en incident, hur man rapporterar misstänkt phishing eller hur man verifierar en avvikande instruktion om betalning.

God cybersäkerhet kan inte begränsas av anställningsavtalets gränser. Genom att etablera en enhetlig säkerhetskultur bland både anställda och konsulter minskar ni den totala angreppsytan markant.

Vad kräver ISO 27001 och NIS 2 gällande leverantörskedjan?#

Kort sammanfattning: Både den svenska Cybersäkerhetslagen (NIS 2) och standarden ISO 27001 ställer hårda krav på riskhantering i leverantörsledet. Organisationer måste säkerställa att alla parter med tillgång till informationsresurser genomgår relevanta säkerhets- och medvetenhetsinsatser.

Säkerhetsstandarder och regelverk speglar i dag det faktiska beroendet av externa ekosystem. Att enbart hantera underleverantörers säkerhet genom passiva avtalsklausuler räcker inte längre:

Kraven i ISO/IEC 27001

I kontroll 5.19 (Informationssäkerhet i leverantörsrelationer) i ISO 27001:2022 krävs att säkerhetskrav överenskommes och tillämpas för varje part som hanterar eller har åtkomst till organisationens tillgångar. Samtidigt ställer kontroll 6.3 krav på regelbunden utbildning och medvetenhetshöjande åtgärder för all relevant personal, vilket i praktiken inkluderar externa resurser med åtkomst till era system.

Skärpningen genom NIS 2 och tillsynen från MSB

Med NIS 2 och den uppdaterade svenska lagstiftningen blir säkerhet i leverantörskedjan en central tillsynsfråga för MSB (Myndigheten för samhällsskydd och beredskap) och sektorsansvariga myndigheter. Både väsentliga och viktiga entiteter måste aktivt hantera risker kopplade till sina direkta leverantörer. Att kräva och följa upp att externa konsulter med nätverksåtkomst genomför strukturerade säkerhetsinsatser utgör ett konkret bevis på god styrning vid en tillsyn.

Hur utbildar man tredjepart utan att skapa operativ friktion?#

Att tvinga in konsulter och frilansare i ett traditionellt LMS leder ofta till problem: licenser glöms bort, konton måste hanteras manuellt och 45 minuter långa standardmoduler upplevs som orimliga för resurser som fakturerar per timme.

För att integrera externa resurser utan att överbelasta säkerhetsavdelningen eller störa projekten bör följande principer tillämpas:

• Satsa på mikrolärande: Korta moduler på ett par minuter integreras naturligt i arbetsdagen utan att påverka konsultens leverans eller tidrapportering.
• Friktionsfri tillgång utan krångel: Externa parter ska inte behöva skapa separata konton på externa utbildningsplattformar. Tillgången till träningsscenarier måste ske smidigt och direkt.
• Fokusera på reella risker: Rikta innehållet mot social ingenjörskonst, bluffakturor, säkert distansarbete, multifaktorautentisering (MFA) och rutiner för incidentrapportering.
• Kontinuerlig träning genom uppdraget: Ersätt den engångsgenomgång som sker vid onboarding med regelbundna, korta repetitioner som håller riskmedvetenheten levande över tid.

Det är med utgångspunkt i just denna enkelhet och effektivitet som Brain Security har utvecklat Cyber Journey. Det är en interaktiv läroresa baserad på korta mikrolektioner och integrerade arkadquiz. Utbildningen distribueras i samarbete med vårt team och skapar en gemensam säkerhetskultur för både interna medarbetare och externa samarbetspartners, helt utan tekniska trösklar.

BRAIN SECURITY I PRAKTIKEN · Cyber Journey

Inkludera leverantörerna i er säkerhetsstyrning redan i dag#

Moderna cyberangrepp utnyttjar förtroenderelationer och tekniska beroenden. Att betrakta externa konsulter som andra klassens användare ur ett säkerhetsperspektiv innebär att organisationen lämnas öppen för onödiga intrång.

Genom att låta externa parter omfattas av samma utbildningsstandarder som era interna team stärker ni motståndskraften i hela leverantörskedjan och uppfyller kraven från revisorer inom ramen för NIS 2 och ISO 27001.

Vill ni bygga ett modernt utbildningsprogram som passar både anställda och externa underleverantörer? Boka ett möte med oss för att diskutera hur vi kan anpassa ett engagerande och operationellt upplägg för er verksamhet.

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• Cyberstyrning och medarbetarrespekt: Följ upp IT-säkerhet utan övervakning (Compliance (NIS 2, DORA, ISO)) : Upptäck hur ni följer upp säkerhetsmedvetande och GDPR utan individuell övervakning. Skapa en positiv säkerhetskultur för ledningsgrupp och CISO.
• Cyber Resilience Act (CRA): Utbilda R&D och produktteam i inbyggd säkerhet (Compliance (NIS 2, DORA, ISO)) : Hur förbereder CISO utvecklare och produktchefer på Cyber Resilience Act? Upptäck nycklarna till Security by Design och proaktiv säkerhetskultur.
• TISAX-certifiering i fordonsindustrin: Utbilda FoU och produktion i informationssäkerhet (Compliance (NIS 2, DORA, ISO)) : Klara er TISAX-revision (VDA ISA). Se hur ni utbildar FoU och produktion i prototypskydd med engagerande och mätbara metoder för fordonssektorn.
• Ebbinghaus glömskekurva: Så bygger CISO verkliga cybersäkerhetsreflexer (Gamification) : Övervinn Ebbinghaus glömskekurva inom IT-säkerhet med mikrolärande och repeterad aktivering. Skapa reflexer som skyddar verksamheten i praktiken.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Cyber Journey : Utbildningsresa som en interaktiv utvecklingskarta: korta kapitel och inbyggt arkadquiz utan krav på konto.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)