Menneskelig foranstaltning (kontrol)

ISO/IEC 27002:2022 afsnit 6 indeholder otte menneskelige kontroller, der følger ansættelsesforløbet: 6.1 screening, 6.2 ansættelsesvilkår, 6.3 bevidsthed, uddannelse og træning i informationssikkerhed, 6.4 disciplinær proces, 6.5 ansvar efter ansættelsens ophør eller ændring, 6.6 fortroligheds- eller tavshedspligtaftaler, 6.7 fjernarbejde og 6.8 rapportering af informationssikkerhedshændelser. Temaet defineres af kontrollens genstand - den enkeltes adfærd, forpligtelser og troværdighed - snarere end af, hvem der udfører den; HR, nærmeste ledere og sikkerhedsfunktionen deler ejerskabet, og det er en hyppig kilde til huller.

Screening skal stå i forhold til rollen, klassifikationen af de oplysninger, personen får adgang til, og den vurderede risiko, og den er begrænset af lovgivningen. I Danmark må man kun indhente straffeattest (eller børneattest ved arbejde med børn) inden for bestemte regler, og behandling af oplysninger om strafbare forhold er reguleret af databeskyttelsesforordningens art. 10 sammen med databeskyttelseslovens § 8; generelle baggrundstjek af alle ansatte kan sjældent begrundes. Ansættelsesvilkår og fortrolighedsaftaler skaber det retlige grundlag for senere sanktioner og skal udtrykkeligt gælde efter fratrædelse, hvilket er det, 6.5 handler om.

Awareness er den mest synlige og mest kritiserede menneskelige kontrol. Årlig e-læring, man klikker sig igennem, måler gennemførelse, ikke adfærd. Programmer, der virker, er typisk rollespecifikke (økonomimedarbejdere trænes i svindel med ændrede betalingsoplysninger, administratorer i hygiejne omkring privilegerede adgangsoplysninger), korte og hyppige og måles på adfærdsindikatorer som andelen, der rapporterer phishing, og tiden til rapportering frem for alene klikraten. Simuleret phishing er omdiskuteret: straffende eller vildledende simulationer kan skade tilliden og mindske rapporteringen, og blandt andre det britiske NCSC har advaret mod at bruge klikrater som succesmål. Rapporteringspligten i 6.8 virker kun, hvis det er let, hurtigt og uden skyld at rapportere.

Reguleringen har udvidet de menneskelige kontroller til ledelsen. NIS2 art. 20, stk. 2, kræver, at medlemmer af ledelsesorganerne i væsentlige og vigtige enheder gennemgår uddannelse, og art. 21, stk. 2, litra g og i, nævner cyberhygiejne, uddannelse og personalesikkerhed blandt de obligatoriske foranstaltninger. Menneskelige kontroller afbøder insidertrusler og menneskelige fejl, men kan ikke fjerne dem; de er tænkt til at virke sammen med tekniske kontroller som mindste privilegium, logning og data loss prevention, der begrænser, hvad én skødesløs eller ondsindet person kan gøre. Den klassiske kontrast til tekniske kontroller er determinisme: en konfigureret blokering virker ens hver gang, mens en menneskelig kontrol afhænger af dømmekraft under pres, træthed og bedrag - netop de forhold, social engineering udnytter.