De fleste organisationer forstår, at mennesker spiller en vigtig rolle i forbindelse med cyberrisici. Langt færre har opbygget et træningsprogram i sikkerhedsbevidsthed, som for alvor ændrer adfærd.

Menneskerelaterede sikkerhedsrisici er sjældent én dramatisk hændelse. Realistisk set opstår de i helt almindelige øjeblikke: en medarbejder klikker på en overbevisende phishing-e-mail, genbruger en adgangskode på tværs af forretningsværktøjer, deler et login i en chat eller ignorerer en anmodning om to-faktor-godkendelse (2FA), fordi det føles som en afbrydelse snarere end et beskyttende skridt.

Over tid afgør disse hverdagsbeslutninger organisationens eksponering. I Storbritannien gør det overordnede trusselsbillede det umuligt at behandle dette som et mindre problem. Den britiske regerings rapport Cyber Security Breaches Survey 2025 viste, at halvdelen af alle virksomheder var udsat for en cybersikkerhedshændelse eller et databrud i de foregående 12 måneder, og phishing forblev den mest almindelige type cyberkriminalitet blandt de berørte virksomheder.

For HR-ledere, CISO’er, COO’er, IT-chefer og sikkerhedsteam gør det træning i sikkerhedsbevidsthed til meget mere end blot en øvelse i overholdelse af regler. Det er sådan, virksomheder reducerer risici, der kan forebygges. Udfordringen er, at mange programmer stadig er opbygget omkring blot at gennemføre øvelser frem for rent faktisk at ændre adfærd. Teammedlemmer ser en årlig video, sætter kryds i et felt og vender tilbage til de samme vaner, som skabte risikoen i første omgang.

En mere effektiv tilgang behandler bevidsthed som en del af arbejdspladskulturen. Den forstærkes over tid, formes af ens rolle, understøttes af brugbare politikker og støttes af værktøjer, der gør det lettere at træffe det sikre valg.

Vi forklarer, hvordan et effektivt program til sikkerhedsbevidsthed rent faktisk ser ud, hvorfor så mange organisationer tager fejl, og hvordan man opbygger et, der forbedrer den daglige adfærd i stedet for blot at dokumentere, at træningen har fundet sted.

Hvorfor træning i sikkerhedsbevidsthed fejler i de fleste organisationer

Træning i sikkerhedsbevidsthed fejler ofte, fordi det behandles som en begivenhed i stedet for som et system. I mange organisationer består programmet af et årligt modul om overholdelse, en kort quiz og ikke meget andet. Personalet forventes at optage generelle råd én gang om året og derefter anvende dem konsekvent på tværs af hundredvis af virkelige arbejdsgange, værktøjer og beslutninger. Dette er simpelthen ikke nok til at ændre adfærd på en varig måde.

Problemet er ikke, at bevidsthedstræning mangler værdi. Det er, at mange programmer er forældede eller for løsrevet fra, hvordan folk rent faktisk arbejder. De forlader sig på abstrakte påmindelser, mens de reelle risici optræder i indbakker, delte drev, nulstilling af adgangskoder, hastende anmodninger fra ledere og daglige beslutninger om at få adgang til systemer. Hvis træningen ikke efterligner det, folk rent faktisk ser eller gør hver dag, er det usandsynligt, at de vil huske eller anvende den.

Træningsprogrammer bør omfatte introduktions- og genopfriskningstræning for alt personale inden for databeskyttelse og informationsstyring, mens bevidstgørelse bør anvende regelmæssige kommunikationsmetoder for at holde informationsstyring, databeskyttelse og informationssikkerhed synlig over tid. Det peger på en kontinuerlig model snarere end en enkelt årlig indsats.

En anden grund til, at programmer fejler, er, at de fokuserer for snævert på, hvad medarbejderne ikke må gøre, mens de ignorerer den grundlæggende årsag til dårlige vaner. At fortælle personalet, at de ikke må genbruge adgangskoder, hjælper i teorien, men det gør ikke meget, hvis virksomheden ikke har givet dem en sikker og praktisk måde at oprette, gemme og dele legitimationsoplysninger på. At fortælle dem, hvordan de spotter phishing, er nyttigt, men mindre effektivt, hvis rapportering af mistænkelige beskeder er uklar eller besværlig.

Hvordan et rigtigt program til sikkerhedsbevidsthed ser ud

Et rigtigt program til sikkerhedsbevidsthed er ikke noget, medarbejderne gennemfører én gang og derefter glemmer. Det er et løbende sæt af vaner, forventninger og sikkerhedsforanstaltninger, der hjælper folk med at træffe bedre sikkerhedsbeslutninger over tid.

Dette begynder med kontinuitet. Brug træningsressourcer, der er designet til at supplere eksisterende politikker og procedurer. De bør dække praktiske områder såsom stærke adgangskoder, bedste praksis for BYOD, phishing og rapportering af hændelser. Den blanding er nyttig, fordi effektiv bevidsthed ikke stopper ved ét emne. Den bør afspejle alle de rutinemæssige handlinger, der præger sikkerheden på virkelige arbejdspladser.

Men kontinuitet alene er ikke nok. Programmet skal også afspejle de reelle forskelle i, hvordan forskellige team møder risici.

Et effektivt program skal også være rollespecifikt. Et medlem af økonomiteamet, der håndterer betalingsanmodninger, står ikke over for den samme daglige risiko som en marketingchef, der deler sociale konti, eller en HR-leder, der administrerer medarbejderoplysninger. Generelle råd har deres berettigelse, men de fungerer bedre, når de følges op af træning, der er relevant for de systemer, data og angrebsmønstre, der er mest relevante for hver gruppe.

Den næste komponent er praksis. Medarbejdere udvikler ikke bedre dømmekraft blot ved at læse regler. De forbedrer sig gennem gentagen eksponering for realistiske scenarier: phishing-simuleringer, rapporteringsøvelser, gennemgang af hvem der har adgang til hvad samt korte påmindelser knyttet til faktiske værktøjer eller arbejdsgange. Simulerede angreb er særligt nyttige, fordi de tester, om programmet påvirker adfærden i de øjeblikke, hvor det gælder, frem for kun i et quizmiljø.

Klare sikkerheds- og adgangskodepolitikker er lige så vigtige. Personalet skal vide, hvordan legitimationsoplysninger skal oprettes, lagres, deles og fjernes, når der ikke længere er brug for dem, hvordan mistænkelige beskeder skal rapporteres, hvornår 2FA er påkrævet, og hvad de skal gøre, hvis de tror, de har begået en fejl.

Endelig behandler et rigtigt program sikkerhed som en fælles norm på arbejdspladsen frem for et specialiseret IT-anliggende. Det betyder, at ledere understøtter det, chefer viser vejen, og team taler om det som en del af, hvordan organisationen fungerer i dagligdagen. Opbygning af den slags kultur kræver mere end et politikdokument, men det er en af de stærkeste måder at reducere gentagne menneskelige fejl over tid.

Protons guide om cybersikkerhedskultur på arbejdspladsen i små virksomheder er nyttig her, fordi den rammesætter bevidsthed, ikke som en frygtbaseret kampagne, men som en del af den daglige drift i en virksomhed.

Hvorfor phishing og misbrug af legitimationsoplysninger hører til i centrum af programmet

Hvis et program til sikkerhedsbevidsthed forsøger at dække alt ligeligt, kan det miste fokus. De fleste organisationer er bedre tjent med at starte med de risici, der mest sandsynligt vil medføre reelle skader.

Phishing hører til nær toppen af den liste. Den britiske regerings rapport Cyber Security Breaches Survey 2025(nyt vindue) viste, at phishing fortsat er den mest udbredte angrebsvektor blandt virksomheder, der har oplevet cyberkriminalitet, og rammer 93 % af disse virksomheder. Dette afspejler en bredere virkelighed på tværs af britiske virksomheder, hvor phishing fortsat er en af de mest almindelige angrebsmetoder.

Phishing slutter sjældent med selve beskeden. I mange organisationer begynder den reelle skade først, når stjålne legitimationsoplysninger bruges til at få adgang til konti, udnytte genbrug af adgangskoder, bevæge sig ind i andre systemer eller drage fordel af delte login, der aldrig var under nøje kontrol.

Virksomheder har brug for en lagdelt tilgang. Det skal være sværere for angribere at nå brugerne og lettere for brugerne at identificere og rapportere mistænkelige phishing-beskeder. Dette beskytter organisationer mod effekterne af uopdaget phishing og hjælper dem med at reagere hurtigt på hændelser.

Et stærkt program til sikkerhedsbevidsthed bør afspejle samme logik. Medarbejdere skal være i stand til at genkende mistænkelig adfærd, men de har også brug for de omkringliggende kontroller, der mindsker konsekvenserne af en enkelt fejl.

Det er her, hygiejne omkring legitimationsoplysninger bliver central. Træning af personalet i at undgå svage eller genbrugte adgangskoder er nyttigt, men det bliver langt mere effektivt, når det understøttes af værktøjer, der reducerer afhængigheden af hukommelsen og gør sikker brug af legitimationsoplysninger lettere i praksis. Vi dækker også denne bredere forebyggende tankegang i vores guide til forebyggelse af databrud for virksomheder, som fremhæver rollen af praktiske kontroller i forhold til at reducere undgåelig eksponering.

Værktøjernes rolle i forhold til at reducere menneskelige risici

Sikkerhedsbevidsthed er kun en del af billedet. Folk er langt mere tilbøjelige til at følge sikker praksis, når denne praksis passer naturligt ind i deres måde at arbejde på. Hvis den sikreste løsning også er den nemmeste at bruge, er tilslutningen meget mere konsekvent. Hvis det føles langsomt, besværligt eller svært at bruge, vil selv velmenende medarbejdere begynde at lede efter genveje.

Håndtering af adgangskoder er et af de tydeligste eksempler. Organisationer fortæller ofte personalet, at de skal oprette stærke, unikke adgangskoder, bruge 2FA og undgå deling. Men medmindre medarbejderne får en praktisk måde at gøre det på, forbliver instruktionen blot en hensigtserklæring. De falder tilbage på lette adgangskoder, der er nemme at huske, lagring i browseren, regneark, note-apps eller beskedværktøjer, fordi disse muligheder føles hurtigere i øjeblikket.

En adgangskodeadministrator til erhverv hjælper med at lukke det hul. Proton Pass for Business er designet til at gøre sikker oprettelse, lagring og deling af adgangskoder lettere på tværs af teams, samtidig med at det giver organisationer stærkere kontrol over praksis for legitimationsoplysninger. Disse funktioner hjælper medarbejdere med at oprette og autofylde stærke, unikke adgangskoder, bruge 2FA på tværs af konti og beskytte lagrede legitimationsoplysninger med end-to-end kryptering.

Dette erstatter ikke træning i sikkerhedsbevidsthed. Det forstærker den ved at gøre sikker adfærd lettere at følge. I stedet for at bede personalet om at huske snesevis af komplekse regler for adgangskoder, giver De dem et system, der understøtter den adfærd, De ønsker. Det gør god sikkerhedspraksis lettere at opretholde og håndhævelse af politikker mere opnåelig.

Det samme gælder for rapportering af hændelser, adgangskontrol og onboarding. Inden for disse områder er værktøjer ofte nødvendige for at give medarbejderne en klar proces at følge og for at give organisationen konsekvent overblik og kontrol. Værktøjer kan ikke erstatte dømmekraft, men de kan gøre sikre handlinger lettere, hurtigere og mere konsekvente i det daglige arbejde.

En praktisk 6-trins model til lancering eller forbedring af Deres program til sikkerhedsbevidsthed

Et program til sikkerhedsbevidsthed fungerer bedst, når det er designet som en løbende driftsrytme snarere end en enkeltstående kampagne. Modellen nedenfor kan hjælpe Dem i gang.

Trin 1: Definer den specifikke adfærd, De ønsker at ændre

Begynd med risici. Identificer den adfærd, der mest sandsynligt vil eksponere Deres organisation. Det kan omfatte at klikke på mistænkelige links, genbrug af adgangskoder, uformel deling af legitimationsoplysninger, manglende rapportering af hændelser, svage arbejdsgange ved fratrædelse eller forkert håndtering af personoplysninger såsom kunde- eller medarbejderinformation.

Trin 2: Prioriter de scenarier med højest risiko

Ikke alle træningsemner behøver at have samme vægt. Fokuser først på de scenarier, der er mest relevante for Deres organisations trusselsprofil og driftsmodel.

For mange virksomheder betyder det phishing, håndtering af legitimationsoplysninger, adgangskontrol og rapportering af hændelser. Målet på dette stadie er at fokusere personaletræningen på den adfærd og de scenarier, der mest sandsynligt reducerer den daglige risiko.

Trin 3: Segmenter træningen efter rolle

Sikkerhedsbevidsthed er langt mere tilbøjelig til at ændre adfærd, når medarbejderne kan genkende deres egen arbejdshverdag i træningen. Forskellige roller skaber forskellige typer eksponering, uanset om det drejer sig om håndtering af følsomme optegnelser, godkendelse af højrisikoanmodninger, administration af privilegeret adgang eller deling af information med eksterne kontakter.

Et mere effektivt program afspejler disse forskelle i stedet for at give alle de samme abstrakte råd. Jo tættere træningen er på de beslutninger, folk faktisk står over for, desto lettere bliver den at anvende i praksis.

Trin 4: Opbyg en rytme af forstærkning

En enkelt årlig træningssession er ikke nok til at ændre adfærd. Brug introduktionsforløb, opfølgende træning, korte påmindelser, simuleringsøvelser og regelmæssig kommunikation til at holde de vigtigste budskaber aktive. Forstærkning kan være let, men den skal være løbende.

Trin 5: Understøt træningen med politikker og værktøjer

Uddannelse bliver langt mere troværdig, når medarbejdere kan se, hvordan de kan anvende den i praksis. Sørg derfor for, at politikker er rydelige, nemme at finde og skrevet i et sprog, som medarbejderne rent faktisk kan bruge. Understøt dem derefter med funktioner, der gør sikker adfærd lettere at følge i praksis.

Hvis Deres politik foreskriver, at personalet skal bruge stærke, unikke adgangskoder og undgå uformel deling, bør De give dem en sikker adgangskodeadministrator, der gør dette lettere. Hvis Deres politik siger, at mistænkelige e-mails skal rapporteres med det samme, skal De gøre rapporteringsstien tydelig og let tilgængelig.

Trin 6: Gennemgå, mål og forbedr

Et program til sikkerhedsbevidsthed bør udvikle sig i takt med Deres virksomhed. Nye værktøjer, rolleændringer, hændelser og typer af angreb skaber alle nye pressionspunkter.

Gennemgå resultaterne regelmæssigt, opdater uddannelsen baseret på hændelser og tæt-på-hændelser, og tilpas programmet, når De finder tilbagevendende svage punkter. Målet er ikke at afslutte programmet, men at gøre det mere effektivt over tid.

Sådan måles effekten

En af de nemmeste fejl at begå med uddannelse i sikkerhedsbevidsthed er at måle det, der er belejligt, i stedet for det, der er meningsfuldt. Gennemførelsesrater kan fortælle Dem, hvem der har set uddannelsen eller klikket sig igennem modulet, men de siger meget lidt om, hvorvidt programmet påvirker adfærden i de øjeblikke, der rent faktisk indebærer en risiko.

En mere nyttig tilgang er at se på ændringer i, hvordan folk reagerer på virkelige situationer over tid. Resultater fra phishing-simuleringer kan hjælpe Dem med at forstå, om medarbejderne bliver mere forsigtige, mere opmærksomme og mere tilbøjelige til at stille spørgsmålstegn ved og rapportere mistænkelige beskeder.

Hændelser relateret til legitimationsoplysninger kan vise, om risikable vaner som genbrug af adgangskoder, usikker deling eller dårlig kontohåndtering bliver mindre almindelige. Overholdelse af politikker kan også afsløre, om medarbejderne rent faktisk anvender de forventninger, som programmet opstiller, i stedet for blot at blive eksponeret for dem.

Det er lige så vigtigt at holde øje med operationelle signaler. Hvor hurtigt bliver mistænkelige e-mails eller usædvanlige anmodninger rapporteret? Bliver MFA aktiveret konsekvent, hvor det bør være? Bliver adgangsrettigheder tilbagekaldt hurtigt under offboarding? Viser teams med større eksponering stærkere dømmekraft i realistiske scenarier, efterhånden som programmet udvikler sig?

Disse er ofte de indikatorer, der viser, om bevidsthed er ved at blive en del af, hvordan organisationen arbejder, frem for at forblive begrænset til et uddannelsesmiljø.

I sidste ende er den reelle test ikke, om medarbejderne har gennemført programmet. Det er, om Deres organisation ser færre fejl, der kan undgås, bedre rapporteringsvaner og en stærkere daglig sikkerhedsadfærd som resultat.