Sikkerhedskultur begynder i ledelsen

Ledelsen kan skrive en sikkerhedspolitik, bestille en test og godkende et budget, men kulturen bliver formet af det, medarbejderne ser ledelsen gøre. Svaret på, hvordan ledelsen påvirker sikkerhedskulturen, hviler på to ting: ledelsens egen adfærd i hverdagen og den måde, ledelsen reagerer på, når en sikkerhedstest viser svagheder. Begge dele bliver lagt mærke til, og begge dele bliver efterlignet.

Uskrevne regler vejer tungere end skrevne

I enhver virksomhed findes regler, der ikke står nogen steder. De bliver lært ved at se, hvad andre gør, og især hvad de mest synlige personer gør. Hvis direktøren beder om at få en undtagelse fra totrinslogin, fordi det er besværligt, har medarbejderne lært noget, som ingen politik kan opveje.

Det britiske NCSC har gjort ledelsens rolle til et selvstændigt princip for sikkerhedskultur. Ledere på alle niveauer skal være forbilleder for sikker adfærd, og de skal skabe et miljø med psykologisk tryghed, læring og tillid gennem den måde, de omgås andre på. Ifølge samme princip kan ledere, der overser deres indflydelse på kulturen, ligefrem bremse en ændring, fordi medarbejderne følger deres eksempel. → Ledelsens egne konti og adgange

Tre steder, hvor ledelsen viser, hvad den mener

Kulturen bliver ikke formet af store taler, men af små valg, der gentager sig.

Undtagelser · beder ledelsen om særbehandling, når reglerne er upraktiske, eller følger den dem som alle andre?
Prioritering · får sikkerhed tid på dagsordenen, også når der er travlt med salg og drift?
Penge · bliver der sagt ja til rettelser, eller bliver de udskudt, indtil noget går galt?

Hver af de tre er synlig for medarbejderne, også selv om beslutningen bliver truffet i et lukket mødelokale. Et budget til rettelser, der bliver skåret, bliver hurtigt kendt i IT-afdelingen og hos leverandøren. → Ledelsens prioritering af sikkerhed

Testen som prøve på kulturen

En sikkerhedstest er en af de få lejligheder, hvor ledelsens holdning bliver sat på prøve foran hele organisationen. Rapporten viser svagheder, og alle venter på at se, hvad der sker.

Ledelsen kan sende tre slags signaler. Det første er interesse: ledelsen læser resuméet, stiller spørgsmål og deltager i gennemgangen. Det andet er handling: der bliver afsat ressourcer, og fremdriften bliver fulgt. Det tredje er tone: fund bliver behandlet som noget, organisationen skal lære af, ikke som noget, nogen skal straffes for. → Hvem har skylden for fundene?

Uden de tre signaler kan testen gøre mere skade end gavn for kulturen. Medarbejderne lærer, at sikkerhed er noget, der bliver bestilt for at kunne sige, at det er gjort, og at resultatet ikke ændrer noget. Næste gang en ny regel bliver indført, vil den blive mødt med samme skuldertræk. Omvendt kan en test, som ledelsen tydeligt bruger, give et skub, der rækker langt ud over de konkrete rettelser, fordi medarbejderne ser, at det nytter at tage sikkerheden alvorligt, og at ledelsen gør det samme.

Når testen også handler om medarbejderne

Nogle test omfatter medarbejdernes adfærd, for eksempel hvordan de reagerer på en mistænkelig mail. Her er ledelsens rolle særlig følsom. Resultatet kan let blive opfattet som en dom over enkeltpersoner, og tilliden kan tage skade, hvis medarbejderne føler sig narret.

Ledelsen bør derfor beslutte på forhånd, hvordan resultatet bruges. Det kan være som grundlag for bedre vejledning og lettere måder at melde mistanke på, ikke som en liste over navne. Ledelsen kan også selv indgå i testen på lige fod med alle andre. Det sender et tydeligt signal om, at reglerne gælder hele vejen op. → Kan en test sige noget om medarbejdernes adfærd?

Hvordan ledelsen kan se, om kulturen flytter sig

Kultur er svær at gøre op, men der er tegn, ledelsen kan holde øje med uden at bestille en undersøgelse. Ingen af dem er et mål i sig selv, og de skal læses sammen.

Meldinger · kommer der flere henvendelser om mistænkelige mails, fejl og uheld, og kommer de hurtigere?
Spørgsmål · spørger afdelingerne IT til råds, før de tager et nyt system i brug, eller hører IT om det bagefter?
Undtagelser · bliver der bedt om færre særordninger, og bliver de, der gives, tidsbegrænset?
Opfølgning · bliver fund fra testen rettet, uden at ledelsen skal rykke for hvert enkelt?

En stigning i antallet af meldinger kan virke som et dårligt tegn, men den kan lige så godt betyde, at medarbejderne tør sige noget. Ledelsen bør derfor spørge, hvad tallene dækker over, før den reagerer på dem. Bestyrelsen kan bede direktionen om at fortælle om tegnene en gang om året, sammen med status på testens rettelser. Så bliver kulturen et emne, der kan drøftes, og ikke kun en stemning. → Kan sikkerhed måles?

Et tænkt eksempel

Et rengøringsfirma med mange medarbejdere ude hos kunderne har fået testet sit planlægningssystem og sin mail. Rapporten viser, at flere ledere har sat videresendelse af arbejdsmail til private konti op, og at adgangen til systemet er delt mellem flere personer på samme login.

Direktøren starter gennemgangen med at sige, at direktøren selv har en af videresendelserne, og at den bliver slået fra samme dag. Ledergruppen beslutter, at fælles login udfases, og at hver leder har ansvaret for sit eget område. Direktøren fortæller om beslutningen på det næste personalemøde og forklarer hvorfor. Et halvt år senere spørger bestyrelsen, om ændringen har holdt, og IT-ansvarlig kan vise, at det har den. Medarbejderne har set, at reglen gjaldt fra toppen.

Det skal I lade være med

At bede om undtagelser til ledelsen · det, ledelsen selv gør, bliver normen.
At overlade kulturen til en kampagne · plakater og kurser ændrer lidt, hvis ledelsen ikke følger med.
At tie om testens resultat over for organisationen · stilhed bliver tolket som ligegyldighed.
At bruge testen til at finde svage medarbejdere · det lærer folk at skjule fejl.
At tale om sikkerhed som IT’s opgave · det fritager alle andre i deres egne øjne.

Hvad kan og ikke kan konkluderes

Ledelsens eksempel og reaktion på testen har betydning for, om sikkerhedsreglerne bliver fulgt, og om svagheder bliver meldt. Det kan ikke måles præcist, og det erstatter ikke tekniske rettelser. En god kultur gør rettelserne lettere at gennemføre og holde fast i, men den gør ikke systemerne sikre i sig selv. → Sikkerhed er ikke kun IT’s opgave

Tjekliste til ledelsens eget eksempel

☐ Følger ledelsen de samme regler som medarbejderne, uden undtagelser?
☐ Har ledelsen selv læst og drøftet resultatet af den seneste test?
☐ Er det fortalt i organisationen, hvad resultatet fører til?
☐ Er det besluttet, hvordan resultater om medarbejdernes adfærd må bruges?
☐ Er der en let og tryg måde at melde mistanke og fejl på?

Kilder

NCSC, Cyber security culture principles, Principle 5: at ledere er forbilleder for sikker adfærd, skaber psykologisk tryghed, læring og tillid, og at ledere, der overser deres indflydelse, kan bremse en ændring af kulturen.

Senest gennemgået: oktober 2026.