Awareness-program

NIST SP 800-50 Rev. 1 (september 2024) beskriver programmet som en livscyklus i fire faser med ét afsnit til hver: Plan and Strategy (afsnit 2), Analysis and Design (afsnit 3), Development and Implementation (afsnit 4) og Assessment and Improvement (afsnit 5). Faserne kan forløbe efter hinanden eller samtidig, og modellen er udtrykkeligt iterativ, så en ny trussel, en hændelse eller et nyt lovkrav kan sende programmet tilbage i cyklussen når som helst. I afsnit 3 bruger NIST den klassiske ADDIE-model for undervisningsdesign (Analysis, Design, Development, Implementation, Evaluation): Læringsbehov udledes af rollernes opgaver, målgrupperne defineres, behov kobles til målgrupper, nuværende viden vurderes, og hullerne fastlægges, før der skrives en eneste linje indhold.

Afsnit 2.7 skelner mellem tre typer elementer: awareness-aktiviteter (loginbannere, nyhedsbreve, plakater, rettidige mails, temamåneder), der løbende når alle; erfaringsbaseret læring som phishing-, smishing- og vishing-simuleringer, tabletop-øvelser og scenarier i cyber ranges; og egentlig træning, der opbygger færdigheder hos roller med væsentligt sikkerheds- eller privatlivsansvar. Awareness ændrer opmærksomhed, træning ændrer kompetence; et program med kun det første kan ikke lukke kompetencehuller hos udviklere eller administratorer, og et program med kun det sidste lader den brede medarbejderstab være urørt.

De designvalg, der betyder noget i praksis, er segmentering efter risikoeksponering frem for organisationsdiagram (betalingsgodkendere, HR, privilegerede administratorer og direktionen møder forskellige påskud), spredte gentagelser frem for én årlig blok og levering lige dér, hvor beslutningen træffes, hvor nudges supplerer den formelle læring. CIS Controls v8 Control 14 omsætter det til reviderbare safeguards, der starter med at etablere og vedligeholde programmet, træne i social engineering, autentificering og datahåndtering og tilføje rollespecifik træning.

Måling er dér, mange programmer fejler. Afsnit 2.4 i SP 800-50r1 skelner mellem aktivitetsmål (fremmøde, pris pr. deltager) og mål for adfærdsændring, fx andelen af deltagere, der melder en simuleret phishing-mail. Modne programmer følger meldeprocent, tid til melding, udviklingen i gengangere, der klikker igen, og hændelser med menneskelig grundårsag, og de behandler klikrater varsomt, fordi de afhænger stærkt af, hvor svær skabelonen er. Feltstudier på UC San Diego Health (IEEE S&P 2025) og i en stor organisation med over 14.000 ansatte (IEEE S&P 2022) fandt kun lille eller ingen beskyttende effekt af årlig træning og indlejrede lektioner efter et klik, hvilket taler for at koble programmet med tekniske kontroller som phishing-resistent MFA i stedet for at forvente, at træning alene bærer risikoen. På compliance-siden er programmet dokumentationen for ISO/IEC 27001:2022 pkt. 7.3 og bilag A 6.3, NIS2 art. 21, stk. 2, litra g, og for finansielle virksomheder DORA-forordningens art. 13, stk. 6.