Må man sende falske phishing-mails til sine medarbejdere?

Ja, som udgangspunkt. Center for Cybersikkerhed anbefaler, at virksomheder løbende måler, om deres sikkerhedstiltag virker, og nævner selv phishing-testen som eksempel. Men en test, der registrerer, hvem der klikker, er behandling af personoplysninger om jeres medarbejdere. Derfor skal tre ting være i orden: et retsgrundlag efter databeskyttelsesforordningen, besked til medarbejderne om, at testen findes, og en test, der står i rimeligt forhold til formålet. Er I dækket af aftalen om kontrolforanstaltninger mellem DA og FH (tidligere LO), er det forsigtige valg også at varsle programmet senest seks uger før start.

Hvorfor er en phishing-test overhovedet et juridisk spørgsmål?

Fordi testen samler oplysninger om navngivne mennesker. Når systemet noterer, at en bestemt medarbejder åbnede en mail, klikkede på linket eller tastede noget ind på en falsk side, er det personoplysninger. Så gælder databeskyttelsesforordningen, uanset at formålet er træning og ikke kontrol.

Det betyder ikke, at testen er problematisk. Det betyder, at I skal kunne svare på de samme spørgsmål, som ved al anden behandling af medarbejderdata: Hvorfor gør vi det? Hvad registrerer vi? Hvem ser det? Og ved medarbejderne det?

Hvilket retsgrundlag kan I bruge?

Det oplagte grundlag er legitim interesse i forordningens artikel 6, stk. 1, litra f. Behandlingen er lovlig, når den er nødvendig for at forfølge en legitim interesse, "medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder [...] går forud herfor".

Forordningens betragtning 49 hjælper jer et stykke af vejen. Den siger, at behandling, der er "strengt nødvendigt og forholdsmæssigt for at sikre net- og informationssikkerhed", udgør en legitim interesse. Betragtningen nævner især myndigheder og leverandører af sikkerhedstjenester, så for en almindelig arbejdsgiver er den et fingerpeg og ikke en garanti.

Legitim interesse kræver, at I afvejer jeres behov mod medarbejdernes. Skriv afvejningen ned: formålet (at medarbejderne bliver bedre til at opdage svindelmails), hvilke oplysninger I registrerer, hvem der ser dem, hvor længe I gemmer dem, og hvordan I undgår, at testen bliver brugt imod den enkelte. Den skriftlige afvejning er jeres dokumentation, hvis nogen spørger.

Skal medarbejderne vide, at de bliver testet?

De skal vide, at programmet findes. De behøver ikke vide, hvornår den næste falske mail kommer.

Forordningens artikel 13 kræver, at den, der indsamler oplysninger, oplyser om bl.a. "formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen". Datatilsynets vejledning om ansættelsesforhold siger om kontrol af medarbejdere, at arbejdsgiveren skal give de ansatte information "senest på tidspunktet for, at kontrolforanstaltningen iværksættes", og at det skal ske "i et klart og enkelt sprog".

I praksis er det en kort besked til alle: Vi træner i at genkende svindelmails. Nogle gange sender vi en falsk mail. Vi registrerer, om den bliver åbnet, klikket på eller anmeldt. Resultaterne bruges til træning og vises for ledelsen samlet, ikke som en liste over navne. Så ved alle, hvad der foregår, uden at testen mister sin værdi.

Gælder DA/FH-aftalen (tidligere DA/LO) om kontrolforanstaltninger?

Det afhænger af jer. Aftalen blev indgået mellem DA og LO i 2006, og LO er i dag en del af FH. Den er et protokollat til hovedaftalen mellem parterne. Har jeres overenskomst egne regler om kontrolforanstaltninger, gælder de i stedet (aftalens punkt 8).

Aftalen stiller tre krav, der er værd at kende, også hvis I ikke er dækket af den:

• Kontrollen skal være "sagligt begrundede i driftsmæssige årsager og have et fornuftigt formål".
• Den må ikke være "krænkende over for lønmodtagerne" eller forvolde dem "tab eller nævneværdige ulemper", og der skal være "et rimeligt forhold mellem formål og midler".
• Nye kontrolforanstaltninger skal varsles "senest 6 uger inden de iværksættes".

Varslingskravet har en undtagelse: det gælder ikke, "såfremt formålet med kontrolforanstaltningen vil forspildes herved". Så skal medarbejderne i stedet have besked snarest muligt med en forklaring. For et phishing-program er undtagelsen sjældent nødvendig. I kan varsle, at programmet findes, uden at afsløre hvornår eller hvordan de enkelte mails kommer, og så forspilder varslet ikke formålet.

Hverken aftalen eller Datatilsynets vejledning nævner phishing-test. Om en test er en kontrolforanstaltning, er derfor en vurdering. Vores vurdering er, at en test, der registrerer hver medarbejders reaktion, ligner en, og at det sikre er at behandle den sådan: varsl programmet seks uger før første mail. Varslet handler om programmet, ikke om de enkelte mails.

Hvad må testen ikke gøre?

Her er kravet om et rimeligt forhold mellem formål og midler det, der bestemmer. Tre ting går ud over formålet:

• At gemme det, medarbejderen taster. Forordningen kræver, at oplysninger er "begrænset til, hvad der er nødvendigt" (dataminimering). For at træne nogen er det nok at vide, at de tastede noget. Selve teksten, fx en rigtig adgangskode, har I intet at bruge til.
• At udstille enkeltpersoner. En liste over, hvem der klikkede, sendt rundt i afdelingen, gør træning til straf. Folk lærer at skjule fejl frem for at anmelde dem.
• At ramme folk, der ikke er jeres medarbejdere. Testmails skal gå til jeres egne adresser. Kunder, leverandører og private mailadresser hører ikke med.

Brug også navne på kolleger med omtanke. En falsk mail fra "direktøren" er realistisk, men direktøren bør have sagt ja til, at navnet bruges.

Hvilke oplysninger giver mening at registrere?

Til træning er det nok at vide, hvad der skete: mailen blev sendt, åbnet, klikket på, der blev tastet noget på den falske side, eller mailen blev anmeldt. Den sidste er den vigtigste: en mistænkelig mail, der bliver meldt hurtigt, kan advare resten af virksomheden.

Sæt en opbevaringsperiode og slet efter den. Og beslut på forhånd, hvem der ser hvad: den, der driver programmet, har brug for detaljerne, men en afdelingsleder har typisk nok i tallene for sin afdeling.

Hvordan håndterer weakestlink det?

Reglerne ovenfor er bygget ind i platformen, så de ikke afhænger af, at nogen husker dem:

• Indtastninger gemmes aldrig. Taster en medarbejder noget på en simuleret side, registrerer vi kun, at det skete, og navnene på felterne, aldrig indholdet.
• Ledere ser tal, ikke navne. Samlede tal vises kun for grupper med mindst 5 personer. Er gruppen mindre, står der hvorfor, i stedet for et tal. Som standard ser kun administratoren resultater for den enkelte, og det kan organisationen selv ændre.
• Kun jeres egne domæner. Simuleringer kan kun sendes til domæner, I har bevist, at I ejer. Det tjekkes igen i det øjeblik, mailen sendes, ikke kun da kampagnen blev oprettet.
• En navngiven person godkender. Før første afsendelse skal en person hos jer godkende programmet. Platformen laver en udfyldt interesseafvejning, som I kan lægge i jeres egen GDPR-dokumentation.
• Navne kræver ja. En kollegas navn kan først bruges som afsender, når personen har sagt ja, eller en administrator har erklæret, at aftalen findes.

Og når en medarbejder går i fælden, får vedkommende en kort forklaring af, hvad der afslørede mailen, og næste lektion rykker frem.

Hvornår passer weakestlink ikke til jer?

Der er situationer, hvor I skal vælge noget andet eller gøre mere selv:

• I vil se, hvad medarbejderne taster. Vil I teste, om rigtige adgangskoder bliver afgivet, kan vi ikke hjælpe. Vi gemmer dem ikke, heller ikke hvis I beder om det.
• I vil teste personer uden for jeres egne domæner, fx konsulenter på deres eget firmadomæne eller private mailadresser.
• I har brug for en egentlig penetrationstest, hvor nogen prøver at bryde ind i jeres systemer. Vi træner medarbejdere; vi tester ikke jeres teknik.
• Jeres overenskomst har egne regler, der kræver forhandling med tillidsrepræsentanten før start. Det skal I klare selv. Platformen sender heller ikke beskeden til medarbejderne for jer; den beder jer bekræfte, at de er informeret.

Klar til at træne medarbejderne på den ordentlige måde?

Prisen står åbent på siden, og I kan starte uden betalingsoplysninger. Varsl programmet, godkend det i platformen, og første simulering går til jeres egne domæner.

Se priser og kom i gang