---
title: "Hold op med at træne mennesker. Begynd at rette teknologien. | Guardian360"
description: "Hvorfor security awareness-træning næsten ikke ændrer adfærd, og hvorfor teknologien, ikke træningen, bør bære vægten."
url: https://guardian360.net/da/blog/stop-training-people-start-fixing-technology/
locale: en
source: guardian360.net
---
[← Alle indlæg](https://guardian360.net/da/blog/)

Cybersikkerhed

# Hold op med at træne mennesker. Begynd at rette teknologien.

Af Jan Martijn Broekhof · 15. april 2026

Hvorfor security awareness-træning er en trøstende løgn, og hvad vi bør gøre i stedet

I sidste uge, på ESET Cyber Defence Summit, sagde prof. Bibi van den Berg, professor i Cybersecurity Governance ved Leiden Universitet og medlem af det hollandske Cyber Security Council, noget, som de fleste i salen allerede mistænkte, men få turde sige højt: forskningen viser konsekvent, at security awareness-træning næsten ikke rykker på den faktiske sikre adfærd. Der blev stille i lokalet et øjeblik. Så begyndte hovederne langsomt at nikke.

Jeg var et af de nikkende hoveder. Ikke fordi jeg nyder at være en modstander, men fordi det passer med alt, hvad jeg har set i over et årti i informationssikkerhed. Vi har brugt milliarder på awareness-programmer, phishing-simuleringer og e-learning-moduler. Og alligevel bliver der ved med at ske brud. Klikraterne rykker sig knap nok. Menneskene bliver ved med at være mennesker.

## Forskningen er klar, og den er graverende

Van den Berg præsenterer ikke bare holdninger fra scenen. Hun og hendes kolleger ved Leiden Universitet har frembragt forskningen til at underbygge det. I 2024 udgav Prümmer, Van Steen og Van den Berg en metaanalyse, der undersøgte 69 studier af effektiviteten af cybersikkerhedstræning. Deres konklusion er slående: selvom træning forbedrer viden og bevidsthed, folk lærer at identificere trusler i teorien, er effekten på faktisk adfærd en helt anden historie. Da studier brugte uafhængige grupper til at måle reel adfærdsændring, fandt de kun en lille, statistisk ikke-signifikant effekt. På almindeligt dansk: “folk ved, hvad de bør gøre, men de gør det ikke pålideligt.”

Dette fund kom ikke ud af det blå. Et år tidligere udgav det samme forskerhold en systematisk gennemgang af de nuværende metoder til cybersikkerhedstræning i samme tidsskrift. Den gennemgang fandt, at det blot at levere information har en begrænset effekt på at ændre adfærd, at træningsprogrammer ofte er for snævre i deres omfang, og at medarbejdere ofte mangler entusiasme for materialet. Oversættelsen af træning til adfærd på arbejdspladsen er, med forfatternes egne ord, en vanskelig opgave. Når man bruger metoder med begrænset effekt, spildes indsats og ressourcer.

Det, der gør disse fund særligt knusende, er moderatoranalysen: metaanalysen testede, om typen af træningsmetode, platformen, den sociale ramme eller brugen af flere metoder gjorde en signifikant forskel. Ingen af dem gjorde. Det er ikke, fordi vi endnu ikke har fundet den rigtige træningsmetode. Hele paradigmet med træning-som-risikoreduktion er fundamentalt begrænset.

## Fiaskoens matematiske vished

Her er den ubehagelige sandhed, som vores branche nægter at acceptere: selv hvis du træner enhver medarbejder til en nøjagtighedsrate på 99% (hvilket ville være en ekstraordinær bedrift langt ud over, hvad forskningen viser er muligt), arbejder matematikken stadig imod dig. I en organisation med 1.000 medarbejdere, der hver træffer snesevis af sikkerhedsrelevante beslutninger hver dag, ser du på titusindvis af muligheder for fejl. Hver eneste dag. Sandsynligheden for, at mindst én person vil gøre det forkerte på det forkerte tidspunkt, er, i al praktisk forstand, hundrede procent.

Dette er ikke et træningsproblem. Dette er et problem med systemdesign. Og man løser ikke problemer med systemdesign ved at belære de mennesker, der er fanget inde i et dårligt designet system.

## Phishing-simuleringsbranchen sælger placeboer

Hos Guardian360 holdt vi op med at tilbyde phishing-tests for flere år siden. Dette var ikke en populær forretningsbeslutning, for phishing-simuleringer er et lukrativt marked. Men vi stoppede, fordi vi ikke med god samvittighed kunne blive ved med at sælge en tjeneste, som vi vidste ikke meningsfuldt reducerede risikoen.

Phishing-simuleringer måler et enkelt øjeblik i tiden. De fortæller dig, at Janet i bogholderiet klikkede på et falsk link en tirsdag eftermiddag. De fortæller dig ikke hvorfor. Havde hun travlt? Var e-mailen umulig at skelne fra en legitim? Var hun på sin telefon, mens hun gik til et møde? Testen skaber data, men ikke indsigt. Og den typiske organisatoriske reaktion, i dette tilfælde: mere træning til Janet, behandler symptomet, mens den ignorerer sygdommen.

Værre endnu skaber phishing-tests en falsk følelse af sikkerhed. “Vores klikrate gik fra 25% til 12%,” fortæller CISO’en bestyrelsen, og alle klapper. Men 12% af tusind medarbejdere er stadig 120 åbne døre. Og angriberen behøver kun én. Leiden-metaanalysen bekræfter denne intuition: selv på tværs af de mest gunstige studier er den adfærdsmæssige effekt i bedste fald beskeden og i værste fald ikke-signifikant.

## Teknologien skal bære vægten

Min overbevisning, hærdet af mange års erfaring og nu underbygget af arbejdet fra Van den Berg og hendes kolleger, er enkel: teknologien er nødt til at løse dette. Ikke som et supplement til træning. Som den primære forsvarslinje.

Hvad betyder det i praksis? Det betyder, at vi holder op med at bede mennesker om at være den sidste forsvarslinje og begynder at bygge systemer, hvor mennesker ikke let kan begå katastrofale fejl. Tænk over det: vi træner ikke flypassagerer i at inspicere vingenitterne før takeoff. Vi bygger fly, der er sikre by design, vedligeholdt af certificerede ingeniører og overvåget af automatiserede systemer. Vi bør kræve den samme filosofi af vores digitale infrastruktur.

Konkret betyder dette at investere i teknologier, der gør sikkerhed usynlig og uundgåelig. Passwordless authentication fjerner hele kategorien af tyveri af legitimationsoplysninger. Hardware-sikkerhedsnøgler gør phishing teknisk umuligt, ikke bare usandsynligt. Endpoint detection and response fanger den malware, som nogen uundgåeligt downloader. E-mailfiltrering stopper den ondsindede besked, før den når indbakken. Zero-trust-arkitekturer begrænser skadesradius, når, ikke hvis, nogen begår en fejl.

## At gøre sikkerhed til vejen med mindst modstand

Den fundamentale fejl ved awareness-træningsparadigmet er, at det rammesætter sikkerhed som noget, folk aktivt skal vælge, igen og igen, tusindvis af gange om dagen, imod trækket fra bekvemmelighed, hastværk og vane. Det er ikke en realistisk forventning til mennesker. Det var det aldrig.

Det paradigme, vi har brug for, er anderledes. Sikkerhed bør være standarden. Den lette vej og den sikre vej bør være den samme vej. Når de divergerer, når den sikre mulighed kræver flere trin, mere friktion, mere kognitiv belastning, er systemet i stykker, ikke brugeren.

Dette er ikke en radikal idé. Det er sådan, vi tænker om sikkerhed i stort set alle andre domæner. Vejingeniører forlader sig ikke på førertræning alene for at forhindre ulykker, de installerer autoværn, designer deformationszoner og påbyder airbags. Hospitalsarkitekter forlader sig ikke på håndvaske-plakater, de installerer automatiske dispensere ved hver dør. Og alligevel bliver vi i cybersikkerhed ved med at hænge plakaterne op og undre os over, hvorfor folk går forbi dem.

## Modet til at ændre samtalen

Jeg ved, at denne holdning gør nogle mennesker utilpasse. Security awareness-branchen er milliarder værd. Karrierer er bygget på den. Compliance-rammeværk kræver den. Og ja, jeg siger ikke, at vi absolut intet skal fortælle medarbejderne om sikkerhed. Grundlæggende hygiejne, som at forstå, hvorfor du ikke bør dele din adgangskode, og erkende, at trusler findes, er et minimumskrav. Leiden-forskningen bekræfter, at viden og bevidsthed faktisk forbedres med træning. Men viden uden adfærdsændring er en dyr illusion af sikkerhed.

Det er på tide at have modet til at omdirigere de budgetter, den energi og den ledelsesmæssige opmærksomhed fra træningsprogrammer til teknologiinvesteringer, der faktisk rykker på tingene. Ikke fordi teknologien er perfekt (det er den ikke), men fordi den er skalerbar, konsistent og ikke har en dårlig dag en tirsdag eftermiddag.

Hold op med at træne mennesker. Begynd at rette teknologien. Dine brugere er ikke det svageste led, det er dine systemer.

## Referencer

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. *Computers & Security*, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. *Computers & Security*, 136, 103585.

Van den Berg, B. (2026). Rundbordsdiskussion ved ESET Cyber Defence Summit.