Orientering | Ny tilgang til styrkelse af sikkerhedskultur - 10 min

Sagsfremstilling

Medarbejdernes adfærd og sikkerhedsbevidsthed er en central del af kommunens samlede
sikkerhedsniveau, idet menneskelige fejl eller uvidenhed om god sikkerhedsadfærd fortsat
udgør en væsentlig årsag til sikkerhedshændelser, phishingangreb og brud på
persondatasikkerheden.
Stab for Økonomi & Teknologi arbejder løbende med at styrke medarbejdernes robusthed
overfor angreb samt sikkerhedskulturen i kommunen.
Der er nu foretaget en grundig evaluering af den samlede indsats på området og den
nuværende tilgang. Evalueringen har medført, at kommunens databeskyttelses- og
informationssikkerhedsudvalg (DISU) har godkendt en ny tilgang til arbejdet med awareness
og sikkerhedskultur i kommunen.
Denne sag til Hovedudvalget orienterer om tre ting:
ny styringsramme for awareness og sikkerhedskultur
ny it-understøttelse af awarenessområdet
særligt om phishingøvelser og læring af de gennemførte øvelser i 2026
Ny styringsramme for awareness og sikkerhedskultur
Styringsrammen har til formål at sikre at medarbejdere på alle niveauer er opmærksomme på
og trænet i at håndtere relevante sikkerhedsrisici samt kender og overholder Faxe Kommunes
retningslinjer for informationssikkerhed og databeskyttelse.
I styringsrammen fastsættes fem principper for awareness og sikkerhedskultur i Faxe
Kommune:
1. Awareness er en kontinuerlig proces (awarenessaktiviteter skal foregå kontinuerligt og
ikke være en årlig øvelse)
2. Awarenessaktiviteter er målrettede og risikobaserede (awareness skal ikke være ens for
alle. Forskellige medarbejdergrupper har forskellige forudsætninger og behov)
3. Vi udvikler sikkerhedskulturen gennem data og læring (der skal indsamles viden om
effektiviteten af awarenessaktiviteterne)
4. Vi lærer af fejl, ikke kun af regler (formålet er at understøtte læring og sikker adfærd –
ikke at kontrollere eller sanktionere)
5. Vi er fælles om sikkerheden (alle har et ansvar, men ansvaret er ikke ens for alle)
Styringsrammen er vedlagt som bilag 1 til orientering.
Ny it-understøttelse af awarenessområdet
I overensstemmelse med principperne i den nye styringsramme indføres en ny it-

understøttelse af awarenessområdet. Det betyder at den hidtidige løsning med 45 min. GDPRe-læringskursus en gang om året erstattes af løbende træning i mindre bidder. Det kan fx være
aktiviteter af fem minutters varighed en gang om måneden. Aktiviteterne kan fx være en kort
video, en quiz eller en phishing-øvelse. Alle aktiviteterne er kommune-specifikke og tilpasset
forskellige medarbejdergrupper i både indhold og hyppighed. Den nye tilgang indføres for
bedre at understøtte at medarbejderne vedligeholder bevidsthed om sikker adfærd, men også
for bedre at imødekomme hverdagen hos især de borgernære funktioner, hvor 45 minutters elæringskursus er svært at passe ind. Den nye it-understøttelse skal desuden bidrage med
væsentligt forbedret ledelsesinformation om medarbejdernes robusthed (aggregeret
robusthedsscore).
Særligt om phishingøvelser
Der gøres særligt opmærksom på, at den nye it-understøttelse betyder, at der nu indføres
systematiske phishing-øvelser i kommunen. Tidligere har der været indkøbt og gennemført
phishingøvelser ad hoc og det har historisk end ikke været hvert år, der har været gennemført
sådanne øvelser. Med den nye løsning fra 2027 vil medarbejderne kunne opleve en hel del
øvelser hvert år.
Phishing er en metode, som hackere bruger til at angribe en organisation. Metoden går ud på
at sende mails med links i, og forsøge at få medarbejderne til at klikke på links i mailen. Hvis
det lykkes at få en medarbejder til at klikke på et link, kan der indledes et angreb på den måde
- det kan fx være download af virus, at hackeren stjæler login-oplysninger eller lignende. Det
vurderes generelt at de fleste hackerangreb indledes med en phishingmail.
Phishingøvelser er den bedste måde at træne medarbejderne i at undgå at klikke på links i
phishingmails. En phishingøvelse består i, at kommunen med vilje sender mails ud, der
simulerer phishingmails og lokker medarbejdere til at klikke på links, de ikke burde klikke på.
Når medarbejderen så klikker på linket alligevel, kommer de til en side, hvor de modtager
læring om, hvordan de kunne have spottet, at der var tale om en phishingmail og undgået at
klikke på linket i mailen. I overensstemmelse med styringsrammens princip nr. 4 gør vi meget
ud af at kommunikere til medarbejderen, at det ikke handler om at kontrollere eller sanktionere,
men om at lære af fejl.
Læring af gennemførte phishingøvelser 2026
Stab for Økonomi & Teknologi gennemførte to phishingøvelser i 2026. Resultaterne af
phishingøvelserne viste at 15-18% af de medarbejdere, der åbnede en phishingmail klikkede
på det "farlige" link og at 3-7% af medarbejderne handlede korrekt på modtagelse af en
phishingmail.
Stab for Økonomi & Teknologi konkluderede på den baggrund, at der er behov for markant
mere træning i opmærksomhed på at spotte phishingmails samt hvordan man som
medarbejder skal forholde sig, hvis man modtager en phishingmail.
Chefkonsulent Ann Kamgård Haugaard deltager under punktet.

Indstilling

Formanden indstiller, at Hovedudvalget tager orienteringen til efterretning.