Sluta träna människor. Börja fixa tekniken.

Varför säkerhetsmedvetenhetsträning är en tröstande lögn, och vad vi borde göra i stället

Förra veckan på ESET Cyber Defence Summit sa prof. Bibi van den Berg, professor i Cybersecurity Governance vid Leidens universitet och ledamot av det nederländska cybersäkerhetsrådet, något som de flesta i publiken redan misstänkte men få vågade säga högt: forskningen visar konsekvent att säkerhetsmedvetenhetsträning knappt rör nålen på faktiskt säkert beteende. Rummet blev tyst ett ögonblick. Sedan, långsamt, började huvuden nicka.

Jag var ett av de nickande huvudena. Inte för att jag njuter av att vara motvalls, utan för att detta stämmer med allt jag har sett under mer än ett decennium av arbete inom informationssäkerhet. Vi har spenderat miljarder på medvetenhetsprogram, nätfiskesimuleringar och e-lärandemoduler. Och ändå fortsätter intrången att ske. Klickfrekvenserna rör sig knappt. Människorna fortsätter att vara människor.

Forskningen är klar, och den är förödande

Van den Berg presenterar inte bara åsikter från scenen. Hon och hennes kollegor vid Leidens universitet har tagit fram forskningen som backar upp det. År 2024 publicerade Prümmer, Van Steen och Van den Berg en metaanalys som granskade 69 studier om effektiviteten av cybersäkerhetsträning. Deras slutsats är slående: även om träning förbättrar kunskap och medvetenhet, folk lär sig att identifiera hot i teorin, är effekten på faktiskt beteende en helt annan historia. När studier använde oberoende grupper för att mäta verklig beteendeförändring fann de bara en liten, statistiskt icke-signifikant effekt. På klarspråk: “folk vet vad de borde göra, men de gör det inte tillförlitligt.”

Detta fynd kom inte från ingenstans. Ett år tidigare publicerade samma forskarteam en systematisk översikt av nuvarande metoder för cybersäkerhetsträning i samma tidskrift. Den översikten fann att att enbart tillhandahålla information har en begränsad effekt på att förändra beteende, att träningsprogram ofta är för snäva i omfattning, och att anställda ofta saknar entusiasm för materialet. Översättningen av träning till beteende på arbetsplatsen är, med författarnas egna ord, ett svårt företag. När man använder metoder med begränsad verkan slösas ansträngning och resurser bort.

Vad som gör dessa fynd särskilt förödande är moderatoranalysen: metaanalysen testade om typen av träningsmetod, plattformen, den sociala inramningen eller användningen av flera metoder gjorde en signifikant skillnad. Ingen av dem gjorde det. Det är inte så att vi ännu inte har hittat rätt träningsmetod. Hela paradigmet med träning som riskminskning är fundamentalt begränsat.

Den matematiska visshet om misslyckande

Här är den obekväma sanningen som vår bransch vägrar att acceptera: även om du tränar varje anställd till en 99-procentig träffsäkerhet (vilket vore en extraordinär bedrift långt bortom vad forskningen visar är möjligt) arbetar matematiken fortfarande emot dig. I en organisation med 1 000 anställda, där var och en fattar dussintals säkerhetsrelevanta beslut varje dag, tittar du på tiotusentals tillfällen till fel. Varje enda dag. Sannolikheten att minst en person kommer att göra fel sak vid fel tidpunkt är, i praktiken, hundra procent.

Detta är inte ett träningsproblem. Detta är ett problem med systemdesign. Och man löser inte problem med systemdesign genom att föreläsa för de människor som är fångade inuti ett dåligt designat system.

Nätfiskesimuleringsbranschen säljer placebo

På Guardian360 slutade vi erbjuda nätfisketester för flera år sedan. Detta var inget populärt affärsbeslut eftersom nätfiskesimuleringar är en lukrativ marknad. Men vi slutade eftersom vi inte, med gott samvete, kunde fortsätta att sälja en tjänst som vi visste inte meningsfullt minskade risken.

Nätfiskesimuleringar mäter ett enda ögonblick i tiden. De berättar för dig att Janet på ekonomiavdelningen klickade på en falsk länk en tisdagseftermiddag. De berättar inte varför. Var hon stressad? Var e-posten omöjlig att skilja från en legitim? Var hon på sin telefon medan hon gick till ett möte? Testet skapar data, men inte insikt. Och den typiska organisatoriska responsen, i detta fall: mer träning för Janet, behandlar symptomet medan sjukdomen ignoreras.

Ännu värre, nätfisketester skapar en falsk känsla av säkerhet. “Vår klickfrekvens gick från 25 % till 12 %”, berättar CISO:n för styrelsen, och alla applåderar. Men 12 % av tusen anställda är fortfarande 120 öppna dörrar. Och angriparen behöver bara en. Leiden-metaanalysen bekräftar denna intuition: även över de mest gynnsamma studierna är beteendeeffekten blygsam i bästa fall och icke-signifikant i värsta fall.

Tekniken måste bära tyngden

Min övertygelse, härdad av års erfarenhet och nu backad av Van den Berg och hennes kollegors arbete, är enkel: tekniken måste lösa detta. Inte som ett komplement till träning. Som den primära försvarslinjen.

Vad betyder det i praktiken? Det betyder att vi slutar be människor att vara den sista försvarslinjen och börjar bygga system där människor inte lätt kan göra katastrofala misstag. Tänk på det: vi tränar inte flygpassagerare att inspektera vingnitarna före start. Vi bygger flygplan som är säkra i designen, underhållna av certifierade ingenjörer och övervakade av automatiserade system. Vi borde kräva samma filosofi av vår digitala infrastruktur.

Konkret betyder detta att investera i teknik som gör säkerheten osynlig och oundviklig. Lösenordslös autentisering tar bort hela kategorin stöld av inloggningsuppgifter. Hårdvarusäkerhetsnycklar gör nätfiske tekniskt omöjligt, inte bara osannolikt. Endpoint detection and response fångar den skadliga kod som någon oundvikligen laddar ner. E-postfiltrering stoppar det skadliga meddelandet innan det når inkorgen. Zero trust-arkitekturer begränsar sprängradien när, inte om, någon gör ett misstag.

Att göra säkerheten till den minsta motståndets väg

Det grundläggande felet i medvetenhetsträningens paradigm är att det ramar in säkerhet som något människor måste aktivt välja, om och om igen, tusentals gånger om dagen, mot dragningskraften från bekvämlighet, brådska och vana. Det är inte en realistisk förväntning på människor. Det var det aldrig.

Paradigmet vi behöver är ett annat. Säkerhet borde vara standardläget. Den lätta vägen och den säkra vägen borde vara samma väg. När de skiljer sig åt, när det säkra alternativet kräver fler steg, mer friktion, mer kognitiv belastning, är det systemet som är trasigt, inte användaren.

Detta är ingen radikal idé. Det är så vi tänker kring säkerhet inom praktiskt taget varje annat område. Vägingenjörer förlitar sig inte enbart på förarutbildning för att förhindra olyckor, de installerar vägräcken, designar krockzoner och kräver krockkuddar. Sjukhusarkitekter förlitar sig inte på handtvättsaffischer, de installerar automatiska dispensrar vid varje dörröppning. Och ändå fortsätter vi inom cybersäkerhet att sätta upp affischerna och undra varför folk går förbi dem.

Modet att förändra samtalet

Jag vet att denna position gör vissa människor obekväma. Säkerhetsmedvetenhetsbranschen är värd miljarder. Karriärer har byggts på den. Efterlevnadsramverk kräver den. Och ja, jag säger inte att vi ska berätta absolut ingenting för anställda om säkerhet. Grundläggande hygien som att förstå varför du inte bör dela ditt lösenord och att inse att hot existerar är en grundförutsättning. Leiden-forskningen bekräftar att kunskap och medvetenhet förbättras med träning. Men kunskap utan beteendeförändring är en dyr illusion av säkerhet.

Det är dags att ha modet att omdirigera dessa budgetar, den energin och den ledningsuppmärksamheten från träningsprogram till teknikinvesteringar som faktiskt rör nålen. Inte för att tekniken är perfekt (det är den inte) utan för att den är skalbar, konsekvent och inte har en dålig dag en tisdagseftermiddag.

Sluta träna människor. Börja fixa tekniken. Dina användare är inte den svagaste länken, dina system är det.

Referenser

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. Computers & Security, 136, 103585.

Van den Berg, B. (2026). Round table discussion at the ESET Cyber Defence Summit.