Styrelsen for Samfundssikkerhed vurderer truslen fra cyberkriminalitet mod danske organisationer som meget høj. Det har den været i flere år, og de fleste ledelser har reageret ved at købe teknik: bedre firewall, bedre spamfilter, backup i skyen. Det er fornuftige investeringer. De dækker bare kun den del af angrebet, der kan stoppes af en maskine.
Resten lander hos en medarbejder. En mail, der slap gennem filteret. Et opkald fra en, der siger, han ringer fra IT. En faktura med et nyt kontonummer. I den årlige Data Breach Investigations Report 2025 indgik et menneskeligt element i omkring 60 procent af de undersøgte brud, og den andel har ligget stabilt højt år efter år.
Hvor teknikken slipper
Et spamfilter vurderer afsender, links og vedhæftninger. Det kan ikke vurdere, om det er rimeligt, at økonomichefen beder om en hasteoverførsel en fredag eftermiddag. Den vurdering kan kun den medarbejder lave, som kender økonomichefen.
Det samme gælder for to-trins-login. Det beskytter kontoen, indtil nogen godkender en anmodning, de ikke selv har startet, fordi telefonen blev ved med at brumme. Og kryptering beskytter filen, indtil den bliver sendt til en forkert modtager. Datatilsynet modtog 9.849 anmeldelser om brud på persondatasikkerheden i 2025, det højeste antal siden anmeldelsespligten kom i 2018, og tilsynets egen gennemgang peger på utilsigtet deling med forkerte modtagere som den hyppigste type.
Sikkerhed er blevet en ledelsesopgave
Tidligere lå IT-sikkerhed i virksomheder hos IT-chefen. I dag ligger en del af ansvaret formelt hos ledelsen. GDPR kræver passende organisatoriske foranstaltninger ved siden af de tekniske, og NIS2-loven, som trådte i kraft i Danmark i 2025, pålægger ledelsen i de omfattede virksomheder at sørge for træning af medarbejderne og selv at deltage. Vi har beskrevet kravene nærmere i vores artikel om NIS2 og medarbejdertræning.
For HR betyder det, at sikkerhed hører hjemme de samme steder som arbejdsmiljø og persondata: i onboarding, i årshjulet og i dialogen med lederne. En ny medarbejder får adgang til systemerne på første arbejdsdag. Hvis introduktionen til sikker adfærd først kommer i måned tre, har der været tre måneder uden.
Hvad der flytter adfærd
De fleste medarbejdere ved godt, at de ikke skal klikke på mistænkelige links. Viden er sjældent problemet. Problemet er, at den generelle regel ikke hjælper, når mailen ser ud til at komme fra en kunde, de skrev med i går.
Tre ting gør en forskel i praksis.
Eksemplerne skal ligne hverdagen. En lagermedarbejder med en håndterminal og en advokatsekretær med adgang til klientsager møder forskellige situationer, og træningen virker bedst, når den bruger netop deres systemer, deres typer af henvendelser og virksomhedens egne retningslinjer.
Træningen skal gentages i små bidder. Et enkelt forløb om året bliver glemt. Korte moduler fordelt over året holder emnet i live uden at tage en hel arbejdsdag.
Og det skal være trygt at indberette. Hvis den, der melder en fejl, bliver mødt med irritation, lærer resten af afdelingen at tie stille. Tiden fra et klik til en indberetning er ofte det, der afgør, om hændelsen bliver til en bemærkning i loggen eller til en uges nedetid.
Phishing-tests kan have en plads i det arbejde, men de måler mere, end de lærer fra sig. Den afvejning har vi skrevet om i phishing-test eller awareness-træning.
Sådan kan I begynde
Start med at finde ud af, hvor medarbejderne faktisk træffer sikkerhedsvalg i løbet af en uge. Hvem godkender betalinger? Hvem deler filer med eksterne? Hvem arbejder fra kundens adresse? Den kortlægning kan klares på et par timer med IT og et par ledere, og den viser, hvilke grupper der har mest brug for hvad. Sikkerdigital.dk har et gratis sikkerhedstjek, der kan bruges som udgangspunkt.
Derefter kan træningen bygges op om de situationer. Hos Grape udvikler vi it-sikkerhed som e-læring, der er kvalitetssikret af fageksperter og udviklet af vores læringsdesignere. Scenarierne kan tilpasses jeres egen hverdag, og længden tilpasses jeres behov. Programmet dækker ni temaer fra svindelbeskeder og adgangskoder til datadeling og sikkerhedsbrud, og I vælger selv, hvilke der er relevante for hvilke medarbejdere. Casen fra Inforevision viser, hvordan et færdigudviklet kursus blev tilpasset virksomhedens visuelle identitet og rullet ud på få dage.
Vil I tale om, hvor I står i dag, er I velkomne til at kontakte os.
