Skal medarbejderne vide, at der testes?

En uventet forstyrrelse i et system kan sætte gang i rygter, fejlsøgning og bekymrede henvendelser, hvis ingen har hørt om testen. Hvor meget medarbejderne skal vide, afhænger af, hvad testen undersøger, og om deres reaktion er en del af det, der skal belyses.

Ved en almindelig teknisk penetrationstest af kundeportalen eller kontornettet er der sjældent grund til at holde testen hemmelig for dem, der kan blive berørt. Er formålet derimod at se, hvordan medarbejdere reagerer på en henvendelse, mister testen sin værdi, hvis alle er advaret. Valget bør derfor tages ud fra formålet og ikke ud fra en vane.

Tre informationsniveauer

Det kan være nyttigt at tænke i tre niveauer i stedet for et simpelt ja eller nej:

Åben test · alle relevante medarbejdere ved, at der testes, og hvornår.
Begrænset orientering · kun de nødvendige personer kender til testen, typisk ledelse, IT og en kontaktperson.
Ukendt for de fleste · testen gennemføres, uden at medarbejderne er advaret, fordi deres reaktion er en del af formålet.

Selv på det tredje niveau skal nogen vide det. En ansvarlig kontaktperson med mandat skal kende til testen, så en henvendelse eller en alarm kan håndteres, uden at situationen løber løbsk.

Niveauet kan også være forskelligt for forskellige grupper i samme test. IT-drift kan være orienteret, mens resten af organisationen ikke er det. Skriv derfor ned, hvem der ved hvad, så ingen bliver i tvivl, når testen er i gang.

Når testen er rent teknisk

Ved en teknisk test er medarbejderne ikke selv genstand for undersøgelsen. De kan dog mærke den, hvis systemer bliver langsomme, eller hvis der dukker usædvanlige konti eller aktiviteter op. Her er en kort orientering til de berørte ofte en god idé.

Orienteringen behøver ikke være detaljeret. Det er nok at vide, at en planlagt test finder sted i en bestemt periode, at enkelte systemer kan reagere langsommere end normalt, og hvem man kontakter ved spørgsmål. Detaljer om systemer og metoder bør ikke deles bredt, fordi de selv kan være følsomme.

Servicedesk og den, der modtager henvendelser, bør altid kende perioden. De skal kunne svare roligt på en henvendelse og vide, hvornår noget skal sendes videre til kontaktpersonen. → Hvem skal involveres internt før testen?

Når medarbejderne er en del af testen

En phishingtest eller anden social engineering undersøger, hvordan mennesker reagerer. Hvis alle er advaret, måler testen mest, hvor godt de husker advarslen. Her giver det mening at begrænse kendskabet til en lille kreds. → Phishingtest

Det stiller til gengæld større krav til forberedelsen. Ledelsen skal have godkendt rammerne, og HR bør være inddraget. Det skal være klart, hvilke medarbejdere der indgår, hvad testen må omfatte, og hvordan resultatet bruges. Afklar også, om der er medarbejderrepræsentanter eller aftaler på arbejdspladsen, der bør tages med i overvejelserne. → Social engineering-test

Hvis testen indebærer behandling af oplysninger om medarbejdere, kan databeskyttelsesreglerne have betydning. På Datatilsynets site findes vejledning om personoplysninger på arbejdspladsen. Inddrag den, der har ansvaret for databeskyttelse hos jer. Teksten er ikke juridisk rådgivning.

Formålet skal være læring, ikke udstilling

En test, der involverer medarbejdere, bør bruges til at forbedre processer og uddannelse, ikke til at pege på enkeltpersoner. Hvis medarbejderne oplever, at testen bruges til at finde syndebukke, kan det svække lysten til at melde mistænkelige henvendelser fremover. Det er det modsatte af hensigten.

Det kan derfor være en fordel at fortælle på forhånd, at virksomheden fra tid til anden tester sin sikkerhed, også med øvelser, der involverer medarbejdere. Så er der skabt en forventning, uden at det konkrete tidspunkt er kendt. Når testen er slut, kan resultatet deles samlet og anonymt.

Rapporter fra en test med medarbejdere bør generelt ikke indeholde mere persondata end nødvendigt. Aftal med testeren, hvordan resultater gøres anonyme eller samles. → Opbevaring af rapporten

Efter testen

Når testen er afsluttet, bør de medarbejdere, der kunne mærke den, have en kort besked om, at den er slut. Ved en test, der involverede medarbejdere uden deres viden, er det særligt vigtigt at forklare formålet bagefter og fortælle, hvad virksomheden gør med resultatet.

En god afslutning kan også styrke den fremtidige opmærksomhed. Hvis medarbejderne ser, at testen førte til bedre rutiner eller værktøjer, opleves den som nyttig frem for kontrol. Det gør det lettere at gennemføre lignende øvelser senere. → Kommunikation efter pentest

Kolleger uden for huset

Spørgsmålet gælder ikke kun egne ansatte. Driftsleverandøren, hostingfirmaet og konsulenter med adgang til systemerne kan også mærke testen. For dem gælder de samme overvejelser: skal de reagere, som de plejer, eller skal de vide besked for at kunne skelne testen fra en rigtig hændelse?

Ved en teknisk test er svaret som regel, at den relevante kontakt hos leverandøren skal kende perioden. Ellers kan en leverandør reagere på aktiviteten ved at spærre adgang eller eskalere sagen, og testen går i stå. Hvis leverandørens reaktion selv er en del af formålet, skal det aftales med en person hos leverandøren, der har mandat til at holde kendskabet i en lille kreds. → Driftsleverandøren og testen

Kunder og samarbejdspartnere, der bruger kundeportalen, har normalt ikke brug for besked. Hvis testen kan give mærkbar forstyrrelse for dem, bør det overvejes at vælge et andet tidspunkt eller et testmiljø i stedet for at orientere dem.

Det skal I lade være med

At holde en teknisk test hemmelig uden grund · det giver unødig uro og fejlsøgning.
At advare alle før en phishingtest · så måler testen noget andet end det, I ville vide.
At gennemføre en skjult test uden ansvarlig kontakt · nogen med mandat skal altid kende til den.
At dele detaljer om systemer og metoder bredt · de kan selv være følsomme oplysninger.
At bruge resultatet til at udstille enkeltpersoner · det kan få medarbejdere til at tie om mistænkelige henvendelser.
At glemme beskeden bagefter · uden forklaring kan testen opleves som mistillid.

Hvad kan og ikke kan konkluderes

Informationsniveauet påvirker, hvad testen kan vise. En åben test kan dokumentere tekniske forhold, men siger lidt om medarbejdernes reaktion. En test uden forhåndsviden kan give et billede af reaktionen i den konkrete situation, men det er et øjebliksbillede og ikke en vurdering af den enkelte medarbejder.

Hvad der er tilladt, når medarbejdere indgår, afhænger af de konkrete forhold og skal vurderes særskilt. Valget af informationsniveau kan ikke i sig selv afgøre det spørgsmål.