Tietoisuus tiimissäsi

Moduuli 9: Säännöt ja organisaatio · Lukuaika: 9 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat järjestää tietoisuuden lisäämisen pienessä tiimissä: pelisäännöt, syyllistämätön ilmoittaminen, harjoittelu ja kertaus.
Keskeiset käsitteet: tietoisuus, käyttäytyminen, ilmoituskulttuuri, tietojenkalasteluharjoitus (luvan kanssa ja ilman rankaisua), uusi työntekijä, lyhyt kertaus

Tietäminen ei ole sama asia kuin tekeminen

Lähes kaikki tietävät, ettei epäilyttäviä linkkejä pidä klikata. Silti se tapahtuu joka päivä, myös ihmisille, jotka tietävät paremmin. Syynä ei ole tyhmyys. Syynä on se, että tietojenkalasteluviesti (oppitunti 1.2 ja moduuli 3) käyttää hyväkseen juuri sitä, miten työskentelemme: kiire, hoppu, halu auttaa asiakasta tai kollegaa. Perjantai-iltapäivänä varttia vaille viisi, kolmenkymmenen muun viestin joukossa, "avoin lasku" näyttää aivan tavalliselta.

Tietoisuudessa ei siis ole kyse pelkästä tiedosta, vaan käyttäytymisestä: mitä ihmiset todella tekevät, myös silloin kun he ovat väsyneitä tai kiireisiä? Tavoitteena ei ole, että kaikista tulee asiantuntijoita. Tavoitteena on muutama vakiorefleksi:

1. Pysähdy, kun viesti pyytää jotain: rahaa, salasanaa, klikkausta, liitteen avaamista, jonkin asentamista.
2. Tarkista toista kautta: kirjaudu itse sisään linkin seuraamisen sijaan, soita takaisin tuttuun numeroon.
3. Ilmoita, jos jokin tuntuu väärältä, vaikka olisit jo klikannut.

Tuo kolmas refleksi on tärkein, ja se riippuu kokonaan siitä, miten tiimisi suhtautuu asiaan.

Ilmoittaminen ilman syyllistämistä

Kuvittele kaksi yritystä. Ensimmäisessä työntekijä, joka klikkasi tietojenkalastelulinkkiä, saa omistajalta vihaisen reaktion: "Miten voit olla noin tyhmä?" Toisessa omistaja sanoo: "Hyvä, että kerroit heti, nyt voimme vaihtaa salasanasi."

Mitä tapahtuu seuraavalla kerralla, kun joku klikkaa? Ensimmäisessä yrityksessä hän pitää suunsa kiinni ja toivoo parasta. Toisessa yrityksessä hän ilmoittaa asiasta viiden minuutin sisällä.

Tuo ero on valtava. Tilin kaappauksessa tai kiristyshaittaohjelman alkuvaiheessa tunnit ratkaisevat (oppitunti 1.3 ja 3.5). Viiden minuutin sisällä tehty ilmoitus tarkoittaa: salasana vaihdetaan ennen kuin hyökkääjä on kirjautunut sisään, istunnot perutaan, tietokone irrotetaan verkosta ennen kuin mitään on ehditty salata. Ilmoitus kolmen viikon kuluttua, tai ei lainkaan, tarkoittaa, että hyökkääjällä on ollut kaikki aika maailmassa.

Hyvässä ilmoituskulttuurissa on muutama tunnusmerkki:

• Yksi selkeä ilmoituspiste. Kaikki tietävät, kenen puoleen kääntyä: nimi ja puhelinnumero, sekä varahenkilö, jos kyseinen henkilö ei ole paikalla. Tämä löytyy myös toimintakortista (oppitunti 8.1).
• Kiitä, älä rankaise. Se, joka ilmoittaa, myös omasta virheestään, saa kiitoksen. Sano se ääneen tiimille: "Sanna ilmoitti tänä aamuna valelaskusta, ansiosta pystyimme varoittamaan muita."
• Epäilyn saa myös ilmaista. "En tiedä, onko tämä aito" on hyvä ilmoitus. Mieluummin tarkistetaan kymmenen kertaa aito viesti kuin missataan kerran valeviesti.
• Johdon esimerkki. Kun omistaja itse kertoo, että hän melkein lankesi johonkin, se helpottaa kaikkien muiden ilmoittamista.

Rankaiseminen kääntyy itseään vastaan. Ei siksi, etteivätkö virheet olisi vakavia, vaan siksi, että rankaiseminen ei vähennä virheitä, vaan ainoastaan ilmoituksia.

Pelisäännöt, jotka tekevät oikeasta käytöksestä helppoa

Ihmiset noudattavat herkemmin sääntöä, joka on selkeä ja helppo. Varmista, että turvallinen käytös on myös helpoin käytös. Muutama pelisääntö, joka sopii lähes jokaiseen pieneen yritykseen:

Kirjoita pelisäännöt yhdelle A4-arkille. Ei kahtakymmentä sivua ohjeistusta, jota kukaan ei lue, vaan lista, joka voi roikkua kahvinkeittimen vieressä.

Harjoittelu

Sopimus, jota ei koskaan harjoitella, unohtuu. Harjoittelutapoja on useita, kevyestä raskaaseen.

Esimerkkien tarkastelu yhdessä. Varaa työpalaverissa viisi minuuttia aidolle epäilyttävälle viestille, jonka joku sai (ilman henkilötietoja). Mistä sen tunnisti? Mikä oli linkin todellinen verkkotunnus? Tämä ei maksa mitään ja toimii yllättävän hyvin, koska kyse on aidoista viesteistä omasta postilaatikostanne.

Pöytäharjoitus (tabletop). Käytte yhdessä läpi skenaarion: "On maanantaiaamu, eikä kukaan pääse enää verkkolevylle. Jokaisella tietokoneella on lunnasvaatimusviesti. Mitä teemme?" Käytte läpi toimintakortin ja katsotte, missä kohdassa mennään jumiin (oppitunti 8.1). Tunti, kerran vuodessa.

Tietojenkalasteluharjoitus. Lähetät kollegoille jäljitellyn tietojenkalasteluviestin nähdäksesi, kuka klikkaa ja kuka ilmoittaa. Tämä voi olla opettavaista, mutta vain jos se tehdään oikein:

• Luvalla ja etukäteen ilmoitettuna. Kerro etukäteen, että tänä vuonna tehdään harjoituksia, mainitsematta päivämäärää. Kukaan ei saa tuntea itseään jälkikäteen petetyksi.
• Ilman rankaisemista. Se, joka klikkaa, saa heti lyhyen selityksen siitä, mistä hän olisi voinut tunnistaa viestin, ei moitetta eikä nimilistaa työpalaverissa.
• Mittaa sitä, mikä merkitsee. Ilmoitusten määrä on tärkeämpi kuin klikkausten määrä. Harjoitus, jossa kolme ihmistä klikkaa mutta viisi ilmoittaa asiasta kymmenen minuutin sisällä, on onnistunut.
• Ei ilkeitä teemoja. Ei valeviestiä bonuksesta, irtisanomisesta tai kollegan terveydestä. Se vahingoittaa luottamusta enemmän kuin tuo hyötyä.
• Huomioi tietosuoja. Älä säilytä tietoa siitä, kuka klikkasi, tarpeettoman kauan, äläkä koskaan käytä sitä arviointiin.

Viiden hengen tiimille ensimmäinen muoto riittää usein jo itsessään. Tietojenkalasteluharjoitus on järkevä vasta, kun pelisäännöt ja ilmoituspiste ovat olemassa.

Uudet työntekijät ja kertaus

Kaksi hetkeä on erityisen tärkeää.

Ensimmäinen työpäivä. Uusi työntekijä saa tilit, kannettavan tietokoneen ja pääsyn järjestelmiin. Juuri niinä ensimmäisinä viikkoina hän ei vielä tiedä, miten asiat tavallisesti sujuvat, eikä siis myöskään, mikä on poikkeavaa. Huijarilla, joka tekeytyy "IT-osastoksi" tai "toimitusjohtajaksi", on silloin paremmat mahdollisuudet onnistua. Varaa aloitushetkellä puoli tuntia A4-pelisäännöille, ilmoituspisteelle, salasanojen hallintaohjelmalle ja kaksivaiheisen tunnistautumisen käyttöönotolle. Sisällytä tämä samaan listaan muun perehdytyksen kanssa (oppitunti 7.1).

Lyhyt kertaus. Tietoisuus hiipuu ajan myötä. Yksi pitkä koulutus vuodessa toimii huonommin kuin viisi minuuttia joka kuukausi. Ideoita tällaiseen lyhyeen kertaukseen:

• käydään läpi tämän kuukauden epäilyttävä viesti;
• nostetaan esiin yksi A4-pelisääntö ja kysytään, toimiiko se vielä;
• uusi huijaustyyppi, joka oli uutisissa (esimerkiksi uusi tekosyy tekstiviestin tai WhatsAppin kautta, oppitunti 3.4);
• kysymys "onko joku ilmoittanut jostain tänä kuukautena?" ja ilmoittajan kiittäminen.

Käytännössä: näin se näyttää

Esimerkki, koottu usein esiintyvistä tilanteista. Yhdeksän hengen arkkitehtitoimistolla oli neljäntoista sivun pituinen toimintaohje, joka allekirjoitettiin työsuhteen alkaessa ja jota sen jälkeen ei koskaan enää avattu. Lähes onnistuneen laskupetoksen jälkeen he muuttivat kolme asiaa: A4-arkin kuudella pelisäännöllä tulostimen viereen, kiinteän nimen ja puhelinnumeron ilmoittamista varten, sekä joka kuukauden ensimmäisenä maanantaina viisi minuuttia "epäilyttävää postia" työpalaverissa. Ensimmäisen puolen vuoden aikana ilmoituksia tuli enemmän kuin edeltävien viiden vuoden aikana yhteensä. Kaksi niistä oli aitoja hyökkäyksiä, jotka havaittiin niin varhain, ettei mitään ehtinyt tapahtua. Loput olivat vääriä hälytyksiä, ja niistäkin kiitettiin aina yhtä lailla.

Yhteenveto

• Tietoisuus on kyse käyttäytymisestä: pysähdy, tarkista toista kautta ja ilmoita.
• Syyllistämätön ilmoittaminen varmistaa nopeat ilmoitukset; rankaiseminen vähentää vain ilmoituksia, ei virheitä.
• Kirjaa pelisäännöt yhdelle A4-arkille ja tee turvallisesta käytöksestä helpoin vaihtoehto.
• Harjoittele aidoilla esimerkeillä ja pöytäharjoituksella; tee tietojenkalasteluharjoitus vain etukäteen ilmoitettuna, ilman rankaisemista ja tietosuoja huomioiden.
• Kiinnitä erityistä huomiota uusiin työntekijöihin ja kertaa lyhyesti ja usein.

Tietovisa

Tehtävä

Tehtävä D9.2: Tietoisuussuunnitelma tiimillesi. Tee omalle yrityksellesi A4-arkki, jossa on enintään kahdeksan pelisääntöä, nimeä ilmoituspiste ja varahenkilö, ja suunnittele tulevalle vuodelle, milloin kertaat lyhyesti ja minkä harjoituksen teet. Vastaa sen jälkeen pohdintakysymyksiin.

Lue lisää

WebOkén ohjeartikkeleiden vaiheet pätevät WebOkén ympäristössä; muilla palveluntarjoajilla toimintatapa on vastaava.

• Onko tämä sähköposti oikeasti WebOkélta? Tunnista tietojenkalastelu ja käytä etukoodia
• Traficomin Kyberturvallisuuskeskus, Tietojenkalastelu: https://www.kyberturvallisuuskeskus.fi/
• Traficomin Kyberturvallisuuskeskuksen ohjeet pienyrityksille ja yksinyrittäjille: https://www.kyberturvallisuuskeskus.fi/
• Huijausviestien ja tietojenkalastelun ilmoittaminen Kyberturvallisuuskeskukselle: https://www.kyberturvallisuuskeskus.fi/