Ansatte skal ikke være bedriftens siste sikkerhetsfilter

Dette er en kommentar. Ansatte skal lære å kjenne igjen svindel, stoppe opp ved uvanlige forespørsler og varsle når noe virker feil. Men når hele sikkerhetsmodellen avhenger av at ingen noen gang klikker feil, har ledelsen i praksis gjort medarbeiderne til bedriftens siste sikkerhetsfilter. Det er en urimelig forventning og en svak måte å bygge sikkerhet på.

Opplæring er nødvendig, men ikke en brannmur

Sikkerhetsopplæring har en viktig funksjon. Den kan gjøre ansatte bedre i stand til å oppdage falske innlogginger, mistenkelige vedlegg, uventede betalingskrav og forsøk på å presse fram raske beslutninger. Den kan også lære folk hvor de skal varsle og hva de bør gjøre etter en feil.

Problemet oppstår når opplæringen blir behandlet som hovedforsvaret. Da blir sikkerhet redusert til et spørsmål om hvorvidt den enkelte medarbeider var oppmerksom nok i akkurat det øyeblikket en troverdig melding dukket opp mellom reelle kundehenvendelser, møter og tidsfrister.

Datatilsynet anbefaler opplæring og bevisstgjøring, men understreker samtidig at generelle råd om ikke å åpne e-post fra ukjente avsendere neppe er nok mot sofistikerte forsøk. Veiledningen anbefaler også tekniske og organisatoriske tiltak som filtrering, oppdateringer, kontaktpunkt for hjelp og logging. Det er en viktig forskjell: Mennesket er én del av forsvaret, ikke hele forsvaret.

En troverdig melding kan komme fra en kjent konto

Det klassiske rådet om å være skeptisk til ukjente avsendere har begrenset verdi når svindelmeldingen kommer fra en konto mottakeren kjenner. En kapret leverandørkonto kan ha riktig navn, ekte historikk og et språk som ligner tidligere meldinger. En falsk betalingsforespørsel kan dessuten komme på et tidspunkt og i en sammenheng som virker rimelig.

Det betyr ikke at ansatte skal slutte å kontrollere. Det betyr at virksomheten må planlegge for at en overbevisende melding før eller senere kan passere den menneskelige vurderingen. Sikkerhetsarbeidet bør spørre hva som skjer etter klikket, etter at passordet er skrevet inn, eller etter at noen ber om å endre kontonummer.

Ponett har tidligere laget en praktisk sjekkliste for falsk SMS og e-post. Slike råd er nyttige for den enkelte. Ledelsens jobb begynner der sjekklisten ikke er nok.

Ledelsen eier systemet som gjør feilen mulig

En medarbeider kan gjøre en feil, men medarbeideren har sjelden valgt e-postplattformen, satt opp filtrene, bestemt tilgangsnivåene, godkjent gamle nettlesere eller utformet betalingsrutinen. Det er organisatoriske beslutninger.

Når en enkelt feil kan gi tilgang til hele postboksen, alle kundedata, administratorkontoer og betalinger uten ekstra kontroll, ligger problemet dypere enn det ene klikket. Da er konsekvensen av en menneskelig feil blitt unødvendig stor.

NSMs grunnprinsipper legger vekt på teknologiske og organisatoriske tiltak, ledelsesinvolvering, sikkerhetskompetanse og etablerte styringslinjer. Det er en mer moden modell enn å sende et årlig kurs og deretter plassere ansvaret nederst i organisasjonen.

Bygg sikkerhet som tåler ett feilklikk

God sikkerhet handler ikke om å gjøre feil umulige. Det handler om å hindre at én feil automatisk blir en stor hendelse. For en vanlig virksomhet betyr det flere lag som støtter hverandre:

• E-post bør filtreres og kontrolleres teknisk før meldingen når innboksen.
• E-postklienter, nettlesere og programtillegg bør være støttet og oppdatert.
• Kontoer bør ha sterk autentisering og bare de tilgangene arbeidet krever.
• Administratorrettigheter bør holdes adskilt fra vanlig e-post og nettbruk.
• Endring av kontonummer og uvanlige betalinger bør bekreftes i en kjent, separat kanal.
• Varsling må være enkelt, raskt og mulig uten frykt for å få skylden.
• Logging, sikkerhetskopi og en øvd hendelsesplan må begrense skaden hvis noe likevel skjer.

I prinsippet om å beskytte e-post og nettleser anbefaler NSM blant annet kontroll av avsenderdomener og bruk av støttede, oppdaterte e-postklienter og nettlesere. Poenget er ikke at én teknisk innstilling løser alt. Poenget er at mottakeren ikke skal stå alene mot alt som kommer inn.

Tofaktor er et lag, ikke en ansvarsfraskrivelse

Tofaktorautentisering gjør mange kontoangrep vanskeligere og bør brukes der den er tilgjengelig. Men også her kan virksomheten gjøre feilen å behandle ett tiltak som en komplett løsning. Dårlige gjenopprettingsrutiner, for vide tilganger, gamle økter og svake godkjenningsprosesser kan fortsatt skape risiko.

Derfor bør tofaktor inngå i en helhet sammen med tilgangsstyring, oppdateringer, overvåking og gode arbeidsrutiner. Vi har forklart dette nærmere i artikkelen om hvorfor tofaktor er mer enn en ekstra kode.

En god varslingskultur er også et sikkerhetstiltak

Hvis ansatte forventer kjeft når de melder fra om et feilklikk, vil noen vente og håpe at ingenting skjedde. Den forsinkelsen kan være mer skadelig enn selve klikket.

Virksomheten bør derfor gjøre det tydelig hvem som skal kontaktes, hvilken informasjon som trengs, og at rask varsling er riktig handling. Den som melder fra tidlig, gir IT-ansvarlige mulighet til å sperre kontoer, avslutte økter, undersøke logger og begrense videre misbruk.

Det betyr ikke at alle handlinger er uten ansvar. Bevisst omgåelse av rutiner er noe annet enn en menneskelig feil i en presset arbeidssituasjon. Men en kultur som leter etter syndebukken før den sikrer systemet, lærer mindre og reagerer saktere.

Mål systemet, ikke bare feilprosenten i testen

Phishingtester kan gi nyttig trening, men en lav klikkprosent er ikke det samme som god sikkerhet. Virksomheten bør også måle om de tekniske filtrene fanger opp meldinger, om ansatte varsler raskt, om kontaktpunktet svarer, og om hendelsesrutinen faktisk fungerer.

Det mest interessante spørsmålet er ikke bare hvor mange som klikket. Det er hvor langt en angriper kunne ha kommet dersom klikket var ekte. Kunne én konto nå alle filer? Kunne en betaling blitt endret uten kontroll? Ville virksomheten oppdaget en mistenkelig innlogging? Kunne tilgangen blitt stengt raskt?

Sikkerhet må være mulig i en travel arbeidsdag

Rutiner som bare fungerer når alle har god tid, er dårlige rutiner. Hvis en faktura skal bekreftes, må den separate kontrollen være enkel. Hvis en melding skal rapporteres, må knappen eller kontaktpunktet være lett å finne. Hvis ansatte skal bruke en passordløsning, må den være enklere enn å gjenbruke passord.

Her ligger en undervurdert del av sikkerhetsarbeidet: Brukbarhet. Når den sikre arbeidsmåten er tungvint, uklar eller full av unntak, skaper virksomheten selv presset som fører til snarveier.

Slutt å gjøre den ansatte til alibi

Det er enkelt å skrive i en rapport at hendelsen skyldtes menneskelig feil. Det er vanskeligere å undersøke hvorfor feilen fikk så store konsekvenser, hvilke sperrer som manglet, og hvorfor varslingen ikke stoppet hendelsen tidligere.

Ansatte skal fortsatt trenes, spørre og varsle. Men de skal ikke brukes som alibi for manglende tekniske tiltak eller svake prosesser. En ansvarlig ledelse bygger systemer som forventer at mennesker av og til tar feil, og som likevel begrenser skaden.

Det er ikke et lavere sikkerhetskrav. Det er et mer realistisk et.