Outlook-hul lukket: Ledelsen bestiller obligatorisk kursus i ikke at være en softwarefejl

Microsoft udsendte den 10. november sikkerhedsrettelser, blandt andet til en Outlook-sårbarhed, der allerede blev udnyttet i angreb. Ifølge BleepingComputer kunne en særligt udformet meddelelsesfil få programmet til at kontakte en angriberstyret netværksplacering og afsløre autentificeringsoplysninger, hvis brugeren åbnede filen. Det er en alvorlig fejl. I ledelsessprog er det også en oplagt anledning til at sende medarbejderne et spørgeskema.

På Den Skæve Presse har vi derfor bedt cybersikkerhedsekspert Kurt Sørensen udforme det perfekte beredskab for en direktion, der helst vil bevare både sit softwarebudget og sin selvopfattelse. Hans forslag består af en enkelt slide: Opdatér systemerne. Forslaget bliver straks vurderet som utilstrækkeligt strategisk, fordi det hverken indeholder en kulturrejse, en ambassadørordning eller et fotografi af mennesker, der peger på glas.

»Jeg havde engang en kunde, der brugte seks måneder på at lære personalet at genkende mistænkelige mails,« fortæller Kurt. »Deres egne sikkerhedskurser kom fra et ukendt domæne, havde en truende deadline og krævede, at man indtastede sin adgangskode. Direktøren kaldte det realistisk træning. Jeg kaldte det et meget dyrt samarbejde med problemet.« Kurt har siden udviklet en særlig tavshed, som han fakturerer i påbegyndte kvarterer.

Mads foreslår en AI-agent, der kan åbne alle vedhæftninger først. Da jeg spørger, hvilke rettigheder den skal have, svarer han alle, ellers bliver forsøget jo ikke retvisende. »Det her ændrer ALT,« siger han og tegner en arkitektur, hvor virksomhedens samlede sikkerhed afhænger af, at én meget hjælpsom maskine ikke bliver for hjælpsom. Kurt vender langsomt sin stol væk fra whiteboardet.

Og hvem tjener så pengene på det? I vores beredskabsøvelse får konsulenten betaling for kurset, ledelsen får dokumentation for handlekraft, og medarbejderen får ansvaret for næste klik. Selve opdateringen står nederst på dagsordenen, efter orientering om den nye sikkerhedskultur. Kurt har allerede rettet mødeindkaldelsen: Der er ikke tale om en sikkerhedskultur. Der er tale om en fejlmeddelelse med frokostordning.