Kunden vil teste jeres medarbejdere: phishing og social engineering under NIS2

En NIS2-kunde kan stille et krav, der ikke handler om jeres systemer, men om jeres medarbejdere. Kunden vil måske sende falske mails til de medarbejdere, der har adgang til kundens systemer, eller kræve, at I selv får lavet en test af, om medarbejderne kan narres til at udlevere adgang. Den slags test kaldes social engineering-test, og phishing, altså falske mails, er én af formerne.

Kravet har et grundlag i reglerne, men det rejser andre spørgsmål end en teknisk test. Det handler om mennesker, om oplysninger om navngivne medarbejdere og om tillid i jeres egen virksomhed. Siden gennemgår grundlaget og de punkter, I bør aftale, før nogen test sættes i gang. Grænser og samtykke ved social engineering set fra den, der bestiller testen, er beskrevet generelt på penetrationtest.dk. Her handler det om situationen, hvor en NIS2-kunde stiller kravet til jer. Teksten er ikke juridisk rådgivning.

Grundlaget i reglerne

NIS 2-lovens § 6, stk. 1, nr. 7, nævner grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse. For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, er punktet uddybet i bilagets punkt 8.1. Enheden skal efter punkt 8.1.2 tilbyde et bevidstgørelsesprogram til sine ansatte og, hvor det er relevant, til direkte leverandører og tjenesteudbydere. Punkt 8.1.3 siger, at programmet testes med hensyn til effektivitet, hvor det er relevant.

Styrelsen for Samfundssikkerheds vejledning om foranstaltninger nævner i afsnit 6.b social engineering-tests blandt de tekniske test, som tests af menneskelig sårbarhed via fx phishing, smishing eller fysisk adgang. Andre NIS2-kunder end de digitale udbydere kan derfor også have et grundlag for at spørge. → SAMSIK’s vejledning om tekniske test

To slags krav

Kravet kan komme i to former, og de skal behandles forskelligt.

Kunden vil selv teste · jeres medarbejdere med adgang til kundens systemer indgår i kundens egen phishing-kampagne, fordi kunden har udvidet sit bevidstgørelsesprogram til leverandørerne.
Kunden vil have dokumentation fra jer · I skal selv få lavet en social engineering-test af jeres medarbejdere og aflevere resultatet.

I den første form er det kunden, der sender mails til jeres folk. I den anden er det jer, der bestiller testen og bestemmer, hvordan den gennemføres. Begge dele kræver en aftale, men aftalerne indeholder noget forskelligt. → Kunden vil selv teste jeres løsning

Hvad I skal aftale, før kunden tester jeres folk

Lader I kunden sende testmails til jeres medarbejdere, gælder det samme princip som ved en teknisk test: ingen test uden en skriftlig aftale om, hvad der må ske. Aftalen bør sige, hvilke medarbejdere der indgår, i hvilket tidsrum testen løber, og hvem hos jer der kender til den, så en medarbejder, der melder en mistænkelig mail, får det rigtige svar.

Aftal også, hvad kunden må gøre, hvis en medarbejder klikker eller indtaster oplysninger. En test af bevidstheden behøver ikke at bruge rigtige adgangskoder, og testen bør ikke føre til adgang til jeres systemer uden særskilt aftale. Endelig skal det være klart, hvad kunden får at vide bagefter, og hvad der sker med resultaterne.

Kunden kan også bede jer om at lade testmails slippe igennem jeres mailfilter, så de når frem. Det er en ændring af jeres egen sikkerhed. Lad jeres egen it-ansvarlige vurdere den, begræns den til testperioden, og skriv ned, hvornår den bliver fjernet igen.

Oplysninger om navngivne medarbejdere

En oplysning om, at en bestemt medarbejder klikkede på et link, er en oplysning om en identificerbar person. Derfor er det ikke ligegyldigt, hvordan resultaterne opgøres. Aftal, om kunden og I kun skal have samlede tal, fx hvor stor en andel der klikkede og meldte mailen, eller om der skal være oplysninger på personniveau.

Overvej også, hvordan testen påvirker tilliden internt. En test, der bruges til at udstille enkeltpersoner, kan få medarbejderne til at tie om fejl, og det er det modsatte af, hvad bevidstgørelse skal opnå. Tag stilling i jeres ledelse, før I siger ja, og orienter medarbejderne om, at den slags test kan forekomme, uden at oplyse tidspunktet. Har I medarbejderrepræsentanter eller faste regler for kontrol med medarbejdere, så inddrag dem i beslutningen.

Når I selv skal dokumentere

Kræver kunden, at I får lavet en social engineering-test, bør omfanget følge det, kunden er bekymret for. Er det jeres supportfunktion, der kan narres til at nulstille en kundes adgang, er det den, der bør afprøves, ikke hele virksomheden. En sådan test kan foregå pr. telefon eller sms og ikke kun pr. mail, fordi det er de veje, en angriber kan bruge mod en support, der hjælper kunder med adgang. Testens type, omfang, tidspunkt og resultat dokumenteres som ved en teknisk test, men resultatet til kunden bør være på et samlet niveau. → Fire oplysninger om testen

Resultatet viser, hvordan medarbejderne reagerede i en bestemt periode. Det bør derfor ledsages af det, I gør bagefter: opfølgende undervisning, ændrede rutiner for nulstilling af adgange eller tydeligere vej til at melde mistænkelige henvendelser. → Cyberhygiejne og test

Et tænkt eksempel

En driftsleverandør med 30 medarbejdere får besked fra en hospitalskunde om, at kunden udvider sin phishing-kampagne til de leverandører, der har fjernadgang. Leverandøren beder om en skriftlig aftale og får den. Den nævner de seks medarbejdere med adgang, en periode på en måned og driftschefen som kontaktperson. Kunden får kun samlede tal, og ingen testmail må bede om rigtige adgangskoder.

Efter testen får leverandøren et samlet resultat og bruger det til en kort gennemgang med de seks medarbejdere. Leverandøren beder samtidig kunden om at blive orienteret, før næste kampagne starter, så mailfilteret kan åbnes og lukkes igen på en kontrolleret måde.

Det skal I lade være med

At sige ja til en phishing-test i telefonen · aftalen skal være skriftlig og nævne medarbejdere og periode.
At aflevere resultater med navne uden at have taget stilling · det er oplysninger om personer.
At lade testen give adgang til jeres systemer · det kræver en særskilt aftale.
At bruge resultatet til at udstille enkeltpersoner · det kan få medarbejderne til at skjule fejl.
At teste hele virksomheden, når kravet gælder én funktion · omfanget skal følge kundens bekymring.

Hvad kan og ikke kan konkluderes

Forordningen og vejledningen viser, at test af bevidsthed og social engineering hører til de foranstaltninger, en NIS2-kunde kan arbejde med, også over for leverandører. En test viser, hvordan medarbejderne reagerede i en bestemt periode. Den viser ikke, at de altid vil reagere sådan, og den afgør ikke, hvad netop jeres aftale skal indeholde.