”Vi spenderade 14 miljoner på avancerade säkerhetssystem och flerfaktorsautentisering. Angriparen ringde receptionen och bad om hjälp.”
Citatet kommer från en säkerhetschef på en nordisk bank. Det beskriver en vanlig utmaning inom IT-säkerhet: vi investerar stort i teknik men glömmer bort hur människor faktiskt fungerar.
Många organisationer lägger enorma resurser på den senaste tekniken för IT-säkerhet. Men angriparna vet att den enklaste vägen in inte handlar om att överlista den dyra tekniken. Det handlar om att utnyttja hur människor agerar och fattar beslut under stress.
I den här artikeln tittar vi närmare på varför den mänskliga faktorn fortfarande är en av de största utmaningarna inom IT-säkerhet, hur AI förändrar hotbilden och varför traditionella säkerhetsutbildningar inte alltid räcker. Framför allt går vi igenom hur organisationer kan minska risken för mänskliga misstag och bygga en säkerhetskultur där det är enkelt för medarbetarna att göra rätt.
Från tidsfördriv till miljardindustri
IT-hoten har förändrats i grunden. Förr handlade hacking oftast om nyfikenhet, enkla bus och tekniska tidsfördriv. Det fanns varken en kommersiell ransomware-industri eller avancerade AI-verktyg.
I dag ser verkligheten annorlunda ut. Autonoma AI-agenter och deepfake-röster letar sårbarheter dygnet runt. Intrång som tidigare tog veckor kan idag gå på några minuter.
Tekniken är, som så många gånger förr, i en kapplöpning mellan det goda och onda. Hackarna har kraftfullare verktyg, organisationerna köper mer avancerade tekniska skydd. Men oavsett hur avancerad tekniken blir börjar över 60 procent av alla incidenter fortfarande på samma sätt: med en mänsklig handling. Ett klick på en länk, ett svar på ett mejl eller ett godkännande i mobilen.
Det är därför de uppenbara frågorna blir; varför hamnar den största delen av säkerhetsbudgeten i ren teknik? När vi behöver börja lägga mer fokus på att hjälpa medarbetarna att göra rätt i vardagen?
Den årliga säkerhetsutbildningen är en falsk trygghet
Många företag förlitar sig fortfarande på traditionell e-learning, som sker en gång om året. Men forskningen visar att den typen av enstaka kurser gör väldigt liten skillnad i praktiken. En omfattande studie från ETH Zürich på över 14 000 anställda visade att årliga utbildningar inte minskade risken för att medarbetare klickade på skadliga länkar.
Anledningen är ganska enkel:
Den mentala orken tar slut
Varje krånglig regel eller extra steg i ett system kräver energi. När säkerhetsrutinerna blir för komplexa skapar medarbetarna egna genvägar för att överhuvudtaget hinna med sina vanliga arbetsuppgifter.
Beslutsdimman är ett faktum
När vi hela tiden översköljs av varningar och regler blir vi till slut avtrubbade. Till slut trycker vi bara på alla popups och länkar för att komma vidare i arbetet.
Om den årliga utbildningen har spelat ut sin rätt, vad ska du göra istället?
Istället för fler pekpinnar handlar det om att skapa förutsättningar för att göra rätt, utan att bränna ut medarbetarna på kuppen.
- Gör det enkelt att larma. Skapa en miljö där medarbetare snabbt kan rapportera misstänkta mejl. När en kollega flaggar något direkt kan hela organisationen varnas inom några minuter.
- Använd tydliga visuella stöd. Enkla markeringar som visar att ett mejl kommer utifrån gör det lättare för alla att vara lite extra uppmärksamma.
- Minska utrymmet för fel med moderna inloggningsmetoder. Exempelvis Passkeys eller hårdvarunycklar, slipper medarbetaren hantera koder manuellt. Då går det helt enkelt inte att av misstag råka ge bort sina inloggningsuppgifter. Smarta system är alltid effektivare än regler.
Så här utnyttjar angriparna våra mänskliga beteenden
Konceptet “social engineering” handlar om psykologisk manipulering för att lura personer att bryta mot säkerhetsregler, dela privat data eller ge ifrån sig åtkomst till system. De fyra vanligaste mönstren att vara extra uppmärksam på är:
- Auktoritet. Vi är vana att lita på chefer, kända varumärken och formella mail.
- Tidspress. När något kallas ”brådskande” stressar vi upp oss och agerar innan vi hinner tänka efter.
- Gemenskap. Om vi tror att ”alla andra på avdelningen redan har godkänt detta” sänker vi gardet.
- Viljan att hjälpa till. En trevlig ton eller en till synes liten tjänst gör att vi vill vara tillmötesgående.
