En medarbejder har klikket på et link i en falsk mail og måske tastet sin adgangskode ind. Det vigtigste nu er at få et præcist billede af, hvad der skete, og det får I kun, hvis medarbejderen tør fortælle det hele. Dokumentationen skal handle om forløbet og omfanget, ikke om skyld. Spørgsmålet om ansvar kan komme senere, hvis det overhovedet bliver relevant.
Hvorfor skyld er den forkerte start
Phishing er lavet til at narre. Mails ligner fakturaer, pakkebeskeder eller beskeder fra en leder, og de kommer ofte på travle tidspunkter. Selv erfarne medarbejdere klikker. Hvis den første reaktion er en irettesættelse, lærer resten af virksomheden, at det er bedst at tie, og så opdager I den næste hændelse for sent.
Der er også en praktisk grund. Det er medarbejderen, der ved, hvornår mailen kom, hvad der blev klikket på, om der blev tastet en kode, og om telefonen bad om en godkendelse. De oplysninger er svære at få andre steder fra, og de forsvinder hurtigt fra hukommelsen.
Hvad gør I nu, i rækkefølge
- Tak medarbejderen for at sige det. Sig det højt. Det er den vigtigste sætning i hele forløbet.
- Skriv forløbet ned med det samme. Hvornår kom mailen, hvornår blev der klikket, hvad skete der på skærmen, blev der tastet adgangskode eller godkendt noget på telefonen? Skriv tidspunkterne så præcist som muligt.
- Gem phishingmailen. Den må ikke slettes. Bed IT gemme den som fil med headere, eller lad medarbejderen sende den som vedhæftet fil til IT. → Gem mail som bevis
- Luk adgangen, hvis der er tastet en kode. Ny adgangskode, log ud af alle sessioner, og tjek metoderne til totrinslogin. Gem loginloggen først, hvis det kan nås på få minutter. → Login fra et ukendt land
- Tjek computeren, hvis der er åbnet en fil. Tag den af netværket, men sluk den ikke, før IT har vurderet den. Et program kan være startet i baggrunden.
- Find de andre modtagere. Phishing sendes sjældent til én person. IT kan søge efter den samme mail i andre postkasser og fjerne den, efter at én kopi er gemt.
- Vurdér omfanget. Har nogen været inde i kontoen, behandles det som en overtaget konto. → Mailkontoen er overtaget
Når der er godkendt noget på telefonen
En særlig variant er, at medarbejderen ikke har tastet en kode, men har trykket “godkend” på en besked fra appen til totrinslogin. Det sker ofte, fordi beskeden kommer, mens man alligevel er ved at logge ind, eller fordi den kommer mange gange i træk, til man trykker for at få ro. Det er også en hændelse, og den skal behandles som en mulig overtagelse af kontoen. Spørg konkret, om der er kommet godkendelser, som medarbejderen ikke selv har bedt om, og hvornår. Tidspunktet kan sammenholdes med loginloggen og vise præcist, hvornår nogen kom ind. Tjek også, om der er tilføjet en ny telefon som metode til totrinslogin.
Hvem gør hvad
- IT · Gemmer mailen, lukker adgang, gemmer log, søger efter andre modtagere
- HR · Sikrer, at samtalen med medarbejderen er rolig og saglig
- Leder · Beslutter om persondatabrud, forsikring og kommunikation
- Medarbejderen · Forklarer forløbet så præcist som muligt
HR’s rolle er ikke at starte en personalesag. Det er at sørge for, at medarbejderen ikke føler sig hængt ud, og at samtalen bliver skrevet ned på en neutral måde.
Notatet: sådan skriver I det
Et godt notat beskriver, hvad der skete, ikke hvem der burde have vidst bedre. Sammenlign:
- Ikke sådan: “NN var uopmærksom og gav sin kode til svindlere.”
- Sådan: “Kl. 9.42 modtog NN en mail, der lignede en besked fra vores bank. Kl. 9.47 klikkede NN på linket og tastede adgangskode. Kl. 9.55 kontaktede NN IT.”
Det neutrale notat er mere brugbart. Det kan bruges over for Datatilsynet, forsikringen og en revisor, og det kan læses af medarbejderen uden at skabe en konflikt. Lad medarbejderen læse notatet og rette faktuelle fejl.
Persondata: skal det meldes?
Har en angriber haft adgang til en postkasse eller et system med persondata, kan det være et persondatabrud. Vurderingen skal ske hurtigt, og den skal dokumenteres, også hvis I når frem til, at der ikke skal gives besked. → Persondatabrud: dokumentationen inden for 72 timer
Det er lederen eller den, der har ansvaret for persondata, der træffer beslutningen. Medarbejderen, der klikkede, skal ikke stå med den.
Forsikringen
Har I en cyberforsikring, så tjek, om hændelsen skal meldes, selv hvis den ser lille ud. Nogle policer har korte frister og krav om, at bestemte leverandører bruges. Vent ikke, til I ved, om der er sket skade. → Underret forsikringsselskabet
Det skal I lade være med
- Slet ikke phishingmailen, før én kopi er gemt korrekt.
- Send ikke en mail til hele huset med navnet på den, der klikkede. Advar om mailen, ikke om personen.
- Geninstallér ikke computeren med det samme. Den kan vise, om der blev startet noget, og hvad det gjorde.
- Gør det ikke til en disciplinærsag som det første. Det kan få betydning senere, hvis I vil tale om ansvar, at I har haft fokus på at forstå forløbet først.
- Lad være med at undersøge medarbejderens øvrige mails eller færden for at finde “mere”. Det er uden for formålet.
Hvornår er der tale om ansvar?
Langt de fleste klik er fejl, som kan ske for alle. Der kan være situationer, hvor spørgsmålet om ansvar bliver relevant, for eksempel hvis faste regler for betalinger er omgået. Det er en ansættelsesretlig vurdering, som skal tages med en rådgiver og på grundlag af et neutralt notat. Den vurdering bliver bedre, ikke dårligere, af at I har dokumenteret forløbet roligt fra start.
Hvornår skal I have hjælp udefra?
Få hjælp fra en IT-sagkyndig, hvis:
- der er åbnet en fil, og I ikke ved, hvad den gjorde,
- der er tegn på, at nogen har været inde i kontoen,
- persondata eller kundedata kan være kommet ud,
- forsikringen beder om en uafhængig vurdering,
- der kan komme et krav fra en kunde eller en leverandør.
Haster det, så sig det. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Efter hændelsen
Brug hændelsen til at blive bedre, ikke til at finde en syndebuk. Fortæl medarbejderne, hvordan mailen så ud, og hvad man skal gøre, hvis man er i tvivl. Gør det let at melde et klik, for eksempel med en fast knap eller et fast telefonnummer til IT. Jo hurtigere den næste melder sig, jo mindre skal I rydde op.
Læs også: Videresendelsesregler i mailen: tjek dem, før I gør noget andet · Mistet eller stjålet bærbar med kundedata
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
