Kan en test sige noget om medarbejdernes sikkerhedsadfærd?

Nogle ledere vil gerne vide, om medarbejderne ville klikke på en falsk mail eller give en fremmed adgang til kontoret. En almindelig penetrationstest svarer ikke på det, fordi den afprøver systemer og ikke mennesker. Svaret hviler derfor på et valg, ledelsen selv skal træffe: vil virksomheden have en test, hvor medarbejderne er en del af det, der afprøves, og er den villig til at bære de hensyn, det kræver over for de ansatte?

Det kan godt lade sig gøre. Men en test af adfærd er en anden opgave end en test af systemer, og den rejser spørgsmål om samtykke, tillid og kultur, som kun ledelsen kan svare på.

Systemer og mennesker er to forskellige spørgsmål

En penetrationstest undersøger, om en angriber kan komme ind og videre gennem teknikken. Den kan vise, hvad der sker, hvis en medarbejders konto bliver misbrugt, for eksempel hvor meget en almindelig konto giver adgang til. Det er en vigtig oplysning, fordi den viser, hvor stor skaden bliver, når nogen før eller siden laver en fejl.

En test af adfærd spørger noget andet: hvor let er det at få medarbejderne til at gøre noget, de ikke burde? Det kan være at åbne et vedhæftet dokument, at oplyse en adgangskode i telefonen eller at lukke en ukendt person ind ad bagdøren. Svaret siger noget om opmærksomhed og rutiner, men kun på det tidspunkt og med de personer, der indgik. Et resultat fra en travl uge før jul kan se helt anderledes ud end et fra en stille periode, og det skal ledelsen huske, når resultatet præsenteres for ledelsen eller bestyrelsen. Det samme gælder, hvis testen kun omfattede en enkelt afdeling eller et enkelt kontor.

For ledelsen er det første spørgsmål altså, hvad der er brug for at vide. Det kan give mere værdi først at vide, hvor stor skaden kan blive, end at vide, hvor mange der ville klikke. → Hvilken test har vi brug for?

Hvad en test af adfærd kan vise

Når mennesker er en del af testen, kan ledelsen få viden om forhold, som en ren systemtest ikke rører.

Rapportering · om medarbejderne melder mistænkelige henvendelser, og om nogen reagerer på meldingerne.
Procedurer · om faste regler, for eksempel om at kontrollere en betalingsanmodning, bliver fulgt under tidspres.
Fysisk adgang · om kontorer, lager eller serverrum er lige så godt beskyttet, som ledelsen tror.
Samspillet · om en henvendelse, der lykkes, bliver opdaget og stoppet af teknikken bagved.

Det britiske NCSC anbefaler i sin vejledning om phishing at måle, hvor mange der melder en mistænkelig mail, og ikke kun, hvor mange der klikker. Det er en god rettesnor for ledelsen: målet er at styrke de gode reaktioner, ikke at tælle fejl.

Samtykke og tillid er ledelsens ansvar

En test, hvor medarbejderne bliver narret, berører forholdet mellem virksomheden og de ansatte. NCSC påpeger, at simulerede phishing-forsøg kan have juridiske og personalemæssige konsekvenser, og at HR derfor bør inddrages først. Ledelsen bør tage stilling til en række forhold, før der siges ja.

Hvem der godkender · testen skal godkendes af en person i ledelsen, ikke kun af IT.
Hvem der ved det · en lille kreds skal kende til testen, så den kan stoppes, og så henvendelser ikke behandles som et rigtigt angreb.
Hvad der er uden for rammen · temaer, der kan såre eller skabe frygt, for eksempel løn, sygdom eller fyringer, bør holdes ude.
Hvordan resultatet bruges · resultater uden navne, og en klar besked om, at ingen straffes for at være blevet narret.
Tillidsrepræsentanter og samarbejdsudvalg · overvej, om de skal orienteres på forhånd.

Teksten er ikke juridisk rådgivning. De nærmere regler for test med mennesker er beskrevet på opslagsværket penetrationtest.dk.

Kultur: det ledelsen signalerer

Hvordan ledelsen håndterer resultatet, betyder mere end selve resultatet. NCSC skriver, at det ikke virker at give brugerne skylden for at klikke, og at medarbejdere, der frygter reaktioner, kan holde op med at melde fejl. En test, der ender med at udstille enkelte personer, risikerer altså at gøre virksomheden mindre sikker.

Ledelsen kan i stedet bruge testen til at vise, at det er rigtigt at sige til, også når man selv har trykket forkert. Det er også et godt tidspunkt at se på egne vaner. Direktører og bestyrelsesmedlemmer kan være attraktive mål, og deres eksempel smitter. → Ingen syndebukke → Sikkerhedskultur i ledelsen

Et tænkt eksempel

Et advokatfirma overvejer en phishing-test, efter at en anden virksomhed i bygningen har været udsat for svindel med falske betalingsanmodninger. Partnerne bliver enige om, at det vigtigste ikke er, hvor mange der klikker, men om bogholderiet følger reglen om at ringe tilbage, før en ændring af kontonumre godkendes.

Testen bliver derfor afgrænset til netop den procedure. Resultatet viser, at reglen følges, når det er en kollega, der spørger, men ikke altid, når mailen ser ud til at komme fra en partner. Partnerne beslutter, at de selv skal acceptere at blive ringet op, uanset hvor travlt de har.

Resultatet bliver fremlagt på et fællesmøde uden navne. Bogholderiet får ros for de mange meldinger, og partnerne fortæller åbent, at reglen skal gælde dem selv. Ingen bliver kaldt ind til en samtale. Det, testen ændrede, var ikke medarbejdernes viden, men partnernes egen adfærd og den måde, firmaet taler om fejl på.

Det skal I lade være med

At tro, at en almindelig pentest måler medarbejderne · den afprøver systemer.
At teste uden ledelsens godkendelse og uden HR · det kan skade tilliden.
At hænge enkeltpersoner ud · så holder folk op med at sige til.
At bruge temaer, der skaber frygt · testen må ikke ramme det private.
At holde ledelsen selv ude · ledelsen er også et mål.

Hvad kan og ikke kan konkluderes

En test af adfærd kan vise, hvordan bestemte procedurer og reaktioner fungerede over for bestemte henvendelser i en bestemt periode. Den kan ikke vise, at medarbejderne generelt er sikre eller usikre, og den kan ikke måle en kultur. Ingen træning kan få alle til at genkende ethvert forsøg, og derfor skal teknik og procedurer kunne bære, at nogen tager fejl. → Hvad en sikkerhedstest kan svare på

Hvis ledelsen vil afprøve mennesker, fysisk adgang og teknik samlet over længere tid, er det en angrebssimulering. → Penetrationstest eller angrebssimulering

Tjekliste før en test af medarbejderne

☐ Har ledelsen besluttet, hvad testen skal vise, og hvorfor?
☐ Er HR inddraget, og er det overvejet at orientere medarbejdernes repræsentanter?
☐ Er det aftalt, hvem der kender testen og kan stoppe den?
☐ Er resultaterne uden navne?
☐ Har ledelsen besluttet, hvordan den taler om resultatet bagefter?

Kilder

NCSC, Phishing attacks: defending your organisation: at det ikke virker at give brugerne skylden, at ingen træning lærer alle at genkende ethvert forsøg, at simuleringer kan have juridiske konsekvenser og bør afstemmes med HR, og at succes kan måles på antallet af meldinger.

Senest gennemgået: oktober 2026.