Strategi for informationssikkerhedstræning

Ambitionen er, at 100% af medarbejderne i Haderslev Kommune gennemfører deres sikkerhedstræning. I praksis betyder det, at Haderslev Kommune har et aktuelt succeskriterie på 80%, hvilket forudsætter, at 80% af organisationens medarbejdere gennemfører 100% af de tildelte kurser med et tilfredsstillende resultat på minimum 80% korrekte svar.

Alle medarbejdere i Haderslev Kommune bør, uanset organisatorisk placering eller stillingsbetegnelse, modtage træning i informationssikkerhed, da persondata-, cyber- og informationssikkerhed vedrører alle, om end i varierende grad.

Træningen i informationssikkerhed kan skaleres og planlægges således, at der tages hensyn til medarbejdernes primære arbejdsopgaver i relation til træningsindholdet. Derfor inddeler vi i Haderslev Kommune medarbejderne i træningsgrupper baseret på deres arbejdsfunktion. Disse træningsgrupper danner således grundlag for, hvilken træning den enkelte medarbejder skal modtage.

Yderligere træning kan derefter, i samarbejde med den ansvarlige leder, tilrettelægges som mikrolæring fordelt hen over året under hensyntagen til den enkelte medarbejders ansættelsesforhold og primære opgaveløsning.

Arbejdet med træning i informationssikkerhed skal understøtte en kulturforandrende proces, hvor kontinuerlig informationssikkerhedstræning bliver en naturlig og integreret del af medarbejdernes hverdag. Herved opnår organisationen en stærkere intern modstandsdygtighed og en bedre fælles forståelse af, hvorfor træning i informationssikkerhed har stor betydning i forhold til persondata-, cyber- og informationssikkerhed.

Målet med kontinuerlig informationssikkerhedstræning i Haderslev Kommune hviler derfor på en række principper:

• Princip 1: Løfte medarbejdernes digitale kompetencer og adfærd på tværs af organisationen.
• Princip 2: Alle medarbejdere modtager kontinuerligt træning i persondata-, cyber- og informationssikkerhed.
• Princip 3: Alle medarbejdere onboardes i awareness-løsningen indenfor de første 30 dage af deres ansættelse og gennemfører en grundpakke i persondata-, cyber- og informationssikkerhed.
• Princip 4: Træningsmængde og -indhold følger risikogruppen ud fra en forudsætning om, at jo flere og jo mere følsomme data en medarbejder har adgang til, jo mere kontinuerlig sikkerhedstræning skal vedkommende modtage.
• Princip 5: Medarbejderne gennemfører den træning, de bliver tildelt.

Ansvaret for opfyldelse af organisationens målsætning følger personaleansvaret. Afrapportering er en vigtig forudsætning for at den enkelte personaleleder kan følge udviklingen i egen afdeling og sikre sig, at medarbejderne gennemfører den træning, de bliver tildelt.
Afrapportering sker derfor fremadrettet på to niveauer:

1. Det overordnede niveau til CLF. Her vil det være muligt at se afdelingens samlede gennemførelsesprocent, samt score i forhold til korrekt besvarelse på de enkelte træningsmoduler.
2. Det detaljerede niveau til den nærmeste personaleleder. Her vil det ligeledes være muligt at se afdelingens samlede gennemførelsesprocent, den enkelte medarbejders gennemførelsesprocent samt score i forhold til korrekte svar på de enkelte træningsmoduler.

CLF og Styregruppen for Digital Fremtid modtager én afrapportering årligt. Styregruppen for Digital Fremtid afrapporterer herefter én gang årligt til direktionen. Denne afrapportering vil indeholde organisationens og fagforvaltningernes samlede gennemførelsesprocent. Derudover vil der også være mulighed for at se gennemførelsesprocent og score i forhold til korrekt besvarelse af træningsmoduler på tværs af træningsgrupper.

NIS2 løfter cybersikkerhed til ledelsesniveau og gør det eksplicit til et ledelsesansvar. Ledelsen – forstået som direktionen og Styregruppen for Digital Fremtid – skal deltage i kontinuerlig, dokumenterbar og kompetenceopbyggende NIS2‑relevant uddannelse for at opnå tilstrækkeligt kendskab, viden og færdigheder i forhold til cybersikkerhed. Som minimum gennemføres NIS2-relevant uddannelse mindst én gang årligt og kan suppleres efter behov.

Styregruppen for Digital Fremtid vedligeholder løbende strategien i forhold til det generelle trusselsbillede og kan igangsætte særlige indsatser på baggrund af dette. Ligeledes kan fagforvaltningerne løbende lave specifik træning i forhold til det aktuelle trusselsbillede.