Vad ett phishing-test faktiskt innebär

Ett phishing-test är en kontrollerad simulering där organisationen skickar falska nätfiskemeddelanden till sina egna medarbetare. Syftet är inte att sätta dit folk utan att mäta motståndskraft och ge riktad utbildning.

Komponenter i ett komplett test

Skillnaden mellan grundläggande och avancerade tester

Grundläggande tester använder generiska scenarion — "ditt paket väntar", "verifiera ditt lösenord". De är bra för att etablera en baslinje. Avancerade tester inkluderar spear phishing (riktade attacker mot specifika personer), BEC-scenarion där "VD:n" begär en brådskande överföring, och flerstegskampanjer som efterliknar riktiga hotaktörers beteende.

Opsios rekommendation: börja med grundläggande tester, etablera baslinje, och höj successivt svårighetsgraden. Managerad säkerhet

Så bygger ni ett phishing-testprogram steg för steg

1. Förankra programmet hos ledningen

Utan ledningens stöd dör initiativet. Presentera phishing-tester som en riskhanteringsåtgärd — inte ett IT-projekt. Använd konkreta exempel: "Om en medarbetare klickar på en länk som installerar ransomware, vad kostar driftstoppet per timme?" Det språket förstår alla i en ledningsgrupp.

2. Upprätta en policy

Dokumentera hur testprogrammet fungerar, vilka data ni samlar in, hur resultaten används och att syftet är utbildning — inte bestraffning. Denna policy behövs både för GDPR-efterlevnad och för att bygga förtroende internt. Förankra policyn med HR och fackliga representanter om det är relevant.

3. Välj plattform och konfigurera

De etablerade plattformarna — KnowBe4, Proofpoint Security Awareness, Cofense, Hoxhunt, eller Microsofts inbyggda Attack Simulation Training — erbjuder alla grundfunktionaliteten. Valet handlar om:

• Integration med befintlig e-postmiljö (Microsoft 365 / Google Workspace)
• Innehållskvalitet på svenska — kontrollera att scenarion finns lokaliserade
• Rapporteringsdjup — kan ni segmentera per avdelning, region, chef?
• Automatisering — stöd för löpande kampanjer utan manuellt arbete varje gång

4. Genomför baslinjemätning

Kör ett första test utan förvarning (utöver den generella policyn ni redan kommunicerat). Mät klickfrekvens, uppgiftsinmatning och rapporteringsgrad. Det här är er utgångspunkt — och den kommer troligen att vara sämre än ni hoppas. Det är poängen.

5. Utbilda baserat på resultat

Generella utbildningsinsatser har begränsad effekt. Rikta istället insatserna:

• Medarbetare som klickade → kort, riktad mikroutbildning
• Avdelningar med hög klickfrekvens → workshopsformat med praktiska exempel
• Chefer och privilegierade konton → avancerade scenarion och personlig genomgång

6. Iterera och mät trend

Kör tester minst kvartalsvis, helst månadsvis. Variationsrikedom är avgörande — om medarbetarna "lär sig" testmallarna istället för att utveckla kritiskt tänkande har ni missat målet. Följ trenden i klickfrekvens och rapporteringsgrad över tid. Managerade molntjänster

Mätetal som faktiskt betyder något

Många organisationer fixerar vid klickfrekvens. Det är en viktig indikator, men långt ifrån den enda.

Från Opsios SOC-perspektiv: rapporteringsgrad är det mätetal som korrelerar starkast med hur snabbt vi kan inleda incidenthantering vid riktiga attacker. En organisation där 40 % av medarbetarna spontant rapporterar misstänkt e-post har ett helt annat utgångsläge än en där ingen gör det.

GDPR, NIS2 och svensk rättslig kontext

GDPR och phishing-tester

Att skicka simulerade nätfiskemeddelanden till anställda innebär behandling av personuppgifter. Ni behöver:

• Rättslig grund — berättigat intresse (artikel 6.1 f) är den vanligaste grunden. Dokumentera intresseavvägningen.
• Informationsplikt — informera medarbetarna om att säkerhetstester genomförs (men inte exakt när). En tydlig policy uppfyller kravet i artikel 13/14.
• Dataminimering — samla bara in det som behövs. Aggregerade resultat per avdelning räcker för de flesta syften. Individuella resultat bör hanteras av närmaste chef inom ramen för kompetensutveckling, inte spridas brett.
• Lagring — begränsa lagringstiden för individuella resultat. Trend-data kan anonymiseras och sparas längre.

Integritetsskyddsmyndigheten (IMY) har inte utfärdat specifik vägledning om phishing-tester, men de allmänna principerna om proportionalitet och ändamålsbegränsning gäller. Att använda testresultat som grund för uppsägning vore sannolikt oproportionerligt och riskerar att underminera hela programmets syfte.

NIS2-direktivets krav

NIS2-direktivet, som nu är implementerat i svensk lag, kräver att väsentliga och viktiga entiteter vidtar tekniska och organisatoriska åtgärder för att hantera risker. Artikel 21 listar uttryckligen "utbildning i cybersäkerhet" bland de åtgärder som ska finnas. Phishing-tester utgör ett vedertaget och effektivt sätt att uppfylla detta krav, och dokumenterade testresultat med förbättringstrend stärker er position vid tillsyn.

Organisationer som omfattas av NIS2 bör kunna visa:

• Att säkerhetsutbildning genomförs regelbundet
• Att utbildningen är anpassad efter identifierade risker
• Att resultaten följs upp och leder till förbättring

Molnsäkerhet

Vanliga misstag — och hur ni undviker dem

"Gotcha-kulturen" — Att offentligt skämma ut medarbetare som klickar. Resultatet: folk slutar rapportera misstag, vilket är exakt motsatsen till vad ni vill uppnå. Bygg en kultur där det är säkert att rapportera.

Samma scenario varje gång — Om testerna alltid ser likadana ut mäter ni igenkänning av testmallen, inte förmågan att hantera nya hot.

Ingen koppling till incidentprocessen — Phishing-tester bör integrera med er incidenthanteringsprocess. När någon rapporterar ett misstänkt meddelande ska det finnas ett tydligt flöde — oavsett om det är ett test eller en riktig attack.

Testerna lever i ett vakuum — Komplettera med tekniska skyddslager: DMARC/DKIM/SPF på era domäner, e-postfiltrering, MFA på alla konton, begränsade admin-behörigheter. Phishing-tester är ett lager i en djupförsvarsstrategi, inte en ersättning för teknik. Managerad DevOps

Ingen uppföljning med ledningen — Om resultaten inte presenteras för ledningen förblir IT-säkerhet en IT-fråga. Presentera trenden kvartalsvis i ett format ledningen förstår: risk, kostnad, förbättring.

Opsios perspektiv: vad vi ser i produktion

Opsios SOC hanterar säkerhetsövervakning dygnet runt från Karlstad och Bangalore. Nätfiskerelaterade incidenter är en konstant — och de organisationer som klarar sig bäst har tre saker gemensamt:

1. De testar regelbundet — inte en gång om året utan löpande, med varierande scenarion

2. De mäter rapportering, inte bara klick — och de firar när rapporteringsgraden stiger

3. De har MFA överallt — så att ett stulet lösenord inte automatiskt innebär en komprometterad miljö

Vi rekommenderar att phishing-tester integreras med er bredare säkerhetsstrategi, inklusive loggövervakning, endpoint detection and response (EDR) och säkerhetskopieringsrutiner. Ett klick på en phishing-länk ska inte kunna leda till att hela verksamheten krypteras av ransomware — det är ett arkitekturproblem, inte bara ett utbildningsproblem.

Cloud FinOps

Vanliga frågor

Hur ofta bör ett företag köra phishing-tester?

Minst kvartalsvis, men helst månatligen med varierande svårighetsgrad och scenarion. Kontinuitet är viktigare än enskilda kampanjer — målet är beteendeförändring, inte att "fånga" medarbetare vid ett enstaka tillfälle. Justera frekvensen utifrån organisationens mognad och resultat.

Är phishing-tester ett krav enligt NIS2?

NIS2-direktivet kräver att väsentliga och viktiga entiteter vidtar lämpliga och proportionella tekniska och organisatoriska åtgärder, inklusive utbildning av personal i cybersäkerhet. Phishing-tester nämns inte ordagrant, men de utgör ett vedertaget sätt att uppfylla kravet på säkerhetsmedvetenhet och riskhantering.

Behöver vi informera medarbetare innan vi kör ett phishing-test?

Ja, ur GDPR-perspektiv bör ni informera om att säkerhetstester genomförs, men ni behöver inte avslöja exakt när eller hur. En policy i personalhandboken eller intranätet räcker. Undvik att spåra individer i bestraffningssyfte — fokusera på aggregerade resultat och utbildning.

Vilka verktyg finns för phishing-simulering?

Marknadsledande plattformar inkluderar KnowBe4, Proofpoint Security Awareness, Cofense PhishMe och Hoxhunt. Microsoft Defender for Office 365 har inbyggd Attack Simulation Training. Valet beror på organisationens storlek, befintlig teknikstack och huruvida ni vill ha gamifiering eller mer traditionell utbildning.

Vad gör vi med medarbetare som klickar varje gång?

Byt perspektiv: det handlar inte om att straffa utan om att stödja. Erbjud riktad mikroutbildning direkt efter klicket, tilldela en mentor och justera svårighetsgraden. Om samma person konsekvent faller för grundläggande scenarion kan det vara ett tecken på att den rollen behöver starkare tekniska skyddslager, exempelvis hårdare e-postfiltrering eller begränsade behörigheter.