OPPLÆRING OG BEVISSTGJØRING

KONTROLLEN DU IKKE KAN SKRIVE DEG UT AV

Hver eneste risikovurdering vi noen gang har sett, ender opp på samme sted. Et eller annet sted blant de fem største risikoene, formulert på den ene eller andre måten, finner vi den menneskelige faktoren. Noen klikker på lenken. Noen godkjenner fakturaen. Noen sender filen til feil adresse.

Og så skjer det noe rart. Virksomheten utarbeider et kontrolltiltak — sikkerhetsbevissthet blant ansatte — markerer det som implementert, legger ved et policydokument fra tre år tilbake, og går videre til neste risiko.

Dette er avviket som styringsplattformer, inkludert vår egen, ikke kan lukke alene. En GRC-plattform er svært god til å fortelle deg at en risiko eksisterer, hvem som eier den, og hva dere har sagt dere skal gjøre med den. Den kan ikke få noen til å oppføre seg annerledes. Den kan bare registrere, med beundringsverdig presisjon, at dere hadde til hensikt å gjøre det.

Derfor har vi gjort noe med det:

Cyrigo har inngått et samarbeid med Moxso, og deres opplæring i sikkerhetsbevissthet er nå tilgjengelig direkte gjennom oss.

Moxso er et København-basert selskap som bygger bevissthetstrening slik det burde vært gjort hele tiden — som noe de ansatte faktisk gjør, i stedet for noe de må gjennomgå én gang i året. Formatet er mikrolæring: Omtrent ti minutter i måneden per ansatt, levert gjennom korte videoer og interaktive øvelser, med mulighet for å kombinere med phishingsimuleringer som er godt egnet for læring.

Tre ting gjorde at vi valgte dem.

Treningen tilpasser seg den enkelte. I stedet for å sende det samme årlige kurset til alle, etablerer plattformen et utgangspunkt gjennom phishingsimulering, og justerer deretter hva hver ansatt mottar basert på deres faktiske risikonivå og adferd. Økonomiavdelingen og lageret trenger ikke den samme opplæringen, og det gjør heller ikke personen som rapporterer hver mistenkelig e-post sammenlignet med den som har klikket to ganger dette kvartalet.

Det genererer data. Fullføringsgrad, klikkfrekvens på phishing, rapporteringsgrad og forbedring over tid. Dette er den delen som betyr mest for oss, og vi vil komme tilbake til den.

Det oppfyller standardene vi setter til oss selv. Moxso er ISO 27001-sertifisert med europeisk hosting og GDPR-etterlevelse. Vi ønsket ikke å anbefale en sikkerhetsleverandør som ikke kunne svare på de samme spørsmålene vi stiller alle andre.

Hvorfor dette hører hjemme i en risikoplattform

Her er den delen som gjorde dette samarbeidet åpenbart, og ikke bare fornuftig.

Et kontrolltiltak for bevisstgjøring har alltid vært vanskelig å dokumentere. Dere kan vise en revisor en opplæringspolicy. Dere kan vise dem en deltakerliste. Ingen av delene forteller dere om kontrolltiltaket faktisk fungerer, og begge deler er den typen dokumentasjon som tilfredsstiller en avhukingsboks, mens den underliggende risikoen forblir nøyaktig der den var.

Treningsdata endrer dette. Klikkfrekvens på phishing er ikke et dokument — det er en måling av kontrolltiltakets effektivitet, hentet fra reell adferd, repeterbar måned etter måned. Koble det til risikoen det reduserer, og dere har noe som er genuint sjeldent på dette feltet: Et kontrolltiltak dere kan bevise at fungerer, eller bevise at ikke fungerer.

Det er hele ideen bak Cyrigo. Forstå og kontroller risikoene deres, i stedet for å samle bevis på at dere har tenkt på dem. Den menneskelige faktoren har vært det vanskeligste området å leve opp til dette på, fordi verktøyene for å måle det lå utenfor styringsplattformen. Nå slipper det å være slik.

Den regulatoriske delen, kort fortalt

Bevissthetstrening er ikke valgfritt, og det blir stadig mer påkrevd. ISO/IEC 27001 krever opplæring, utdanning og bevisstgjøring innen informasjonssikkerhet. NIS2 krever cyberhygiene og opplæring i cybersikkerhet, og pålegger ledelsen en eksplisitt plikt til selv å gjennomgå opplæring — ikke bare finansiere det for alle andre. Den norske digital sikkerhetsloven bringer de samme kravene inn i norsk rett.

Vi nevner dette til slutt, helt bevisst. Etterlevelse er grunnen til at mange virksomheter starter; det er en dårlig grunn til å stoppe. Virksomhetene som får verdi ut av bevissthetstrening, er de som behandler klikkfrekvensen som et tall som skal forbedres, ikke som en rapport som skal arkiveres.

Kom i gang

Moxso-opplæring er nå tilgjengelig for Cyrigo-kunder. Hvis dere allerede bruker plattformen, kontakt oss, så hjelper vi dere i gang. Hvis dere ikke gjør det, er dette et godt tidspunkt for å snakke om begge deler.