Medarbejderen så den mistænkelige mail. Han klikkede på linket. Han blev hacket. Han sagde ikke et ord. For den sidste kollega, der rapporterede en fejl, blev fyret.
Fejlen er ikke problemet. Tavsheden er.
Datatilsynet modtog i 2022 over 100 anmeldelser om mails sendt til den forkerte modtager via auto-complete alene. I januar 2026 blev det et prioriteret tilsynsområde. En kontorchef hos tilsynet kaldte det lavthængende frugt allerede i 2023.
Men det interessante er ikke selve fejlen. Det er, hvad der sker i minutterne efter. Sagde medarbejderen det til nogen med det samme? Eller håbede hun, at det gik ubemærket hen?
Svaret afhænger ikke af hendes IT-kompetencer. Det afhænger af jeres kultur.
Skylden lander hos den, der taler
En undersøgelse blandt kontormedarbejdere viser, at 73 procent oplever, at kollegerne får skylden efter en cyberhændelse. En anden undersøgelse viser, at hver femte medarbejder, der begik en cyberfejl, mistede jobbet. Ikke på grund af angrebet. På grund af fejlen.
Det skaber en cirkel, der er dyrere end selve angrebet.
197 dage i stilhed
Før angrebet tier medarbejderen. Angriberen får dage, uger, måneder med uopdaget adgang. En stor global undersøgelse af databrud måler den gennemsnitlige tid fra indbrud til opdagelse til 197 dage. Næsten syv måneder, hvor angriberen bevæger sig frit i jeres systemer, fordi ingen turde sige noget.
Fyringer, skyld og fravær
Efter angrebet starter skyldspillet. Undersøgelser dokumenterer, at 40 procent af ramte virksomheder gennemfører fyringer. Mere end en tredjedel mister en eller flere fra den øverste ledelse. Næsten halvdelen af IT-personalet oplever stress og angst. 44 procent føler skyld. Hver femte er fraværende på grund af mental belastning.
Og cirklen starter forfra. Den kultur, der straffede rapportering før angrebet, er endnu mere giftig bagefter. Næste medarbejder, der ser noget mistænkeligt, tier også.
Tillid genopbygger hurtigere end teknologi
Organisationer med høj tillidskultur genoprettet markant hurtigere efter angreb. Virksomheder, der aktivt belønner rapportering, opdager brud væsentligt hurtigere. Forskellen er ikke teknologi. Det er, om jeres medarbejdere tør sige sandheden, før det er for sent.
Tre ting at gøre nu
Indfør en no-fault rapporteringspolitik. Skriv den ned i én sætning: “Hvis du opdager en fejl, rapportér den. Du bliver ikke straffet.” Kommunikér den til alle. Og når den første gør det, ros vedkommende offentligt.
Test jeres rapporteringskultur, ikke kun jeres klikrate. Send en simuleret phishing-mail. Mål ikke kun, hvem der klikker. Mål hvem der rapporterer det, og hvor lang tid det tager. Hvis ingen rapporterer inden for en time, ved I, hvor det reelle hul er.
Inkludér den menneskelige omkostning i jeres beredskabsplan. Hvem tager sig af medarbejderne under og efter en krise? Hvis planen kun dækker systemer og data, mangler den halvdelen. Udpeg én person som intern krisestøtte. Ikke IT-chefen.
Awareness-træning giver medarbejderne evnen til at genkende truslen. Men det er kulturen, der afgør, om de handler. En cybersecurity mystery shopping-test viser, om jeres medarbejdere reelt rapporterer, når de ser noget mistænkeligt.
Hvornår fik I sidst jeres sikkerhedskultur vurderet af en ekstern specialist, der ikke bare tester systemer, men tester om jeres medarbejdere tør sige sandheden?
Har du brug for test af jeres rapporteringskultur eller awareness-træning?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
