DISA - Datorstödd informationssäkerhetsutbildning för användare

DISA står för Datorstödd informationssäkerhetsutbildning för användare och är framtaget av Myndigheten för samhällsskydd och beredskap (MSB). MSB är den statliga myndighet som ansvarar för frågor om samhällsskydd, krisberedskap och civilt försvar i Sverige, och som genom åren har publicerat ett antal vägledningar inom informationssäkerhet riktade till både myndigheter och privata aktörer.

Bakgrunden till DISA är att MSB i mitten av 2000-talet identifierade ett tydligt behov av enhetligt utbildningsmaterial för statliga myndigheter. Tidigare hade varje myndighet utvecklat egna utbildningar med varierande kvalitet och täckning, vilket gjorde det svårt att säkerställa en jämn nivå av säkerhetsmedvetenhet inom offentlig sektor. DISA utvecklades därför som ett standardiserat, datorstött utbildningspaket som kunde användas av valfri organisation utan licenskostnader.

Materialet bygger på principer från internationella standarder som ISO/IEC 27001 och ISO/IEC 27002, men anpassat till svensk kontext, svensk lagstiftning och svenskt språkbruk. DISA är inte en certifiering i formell mening utan ett utbildningsmaterial, vilket innebär att organisationer som genomför DISA gör det för att höja kompetensen hos personalen, inte för att få ett externt godkänt intyg.

Med tiden har DISA spridits från myndighetssektorn till kommuner, regioner och privata företag. Materialet publiceras öppet via MSB:s webbplats och kan användas fritt, men flera kommersiella aktörer har också byggt egna versioner med modernare gränssnitt, automatisk progressmätning, integration mot lärplattformar och uppdaterat innehåll. Den underliggande pedagogiken och de tematiska delområdena är dock i grunden desamma som i MSB:s originalmaterial.

DISA är strukturerat kring åtta tematiska delområden som tillsammans täcker de centrala riskerna i den dagliga IT-användningen. Indelningen har varit relativt stabil över tid, även om innehållet i respektive del har uppdaterats i takt med att hotbilden förändrats.

1. Lösenord och autentisering. Hantering av lösenord, krav på längd och komplexitet, lösenordshanterare, flerfaktorsautentisering och risker med återanvändning av lösenord mellan tjänster.

2. Säkerhetskopiering (backup). Vikten av regelbunden backup, skillnaden mellan lokal och molnbaserad säkerhetskopiering, samt återställningstester. Området har fått ökad betydelse efter att ransomware blivit ett vanligt hot.

3. Skadlig kod. Genomgång av virus, trojaner, ransomware och spionprogram, hur de sprids, hur de upptäcks och hur användaren undviker att smittas via e-post, nedladdningar eller USB-minnen.

4. Säkert beteende i vardagen. Praktiska råd kring fysisk säkerhet på kontoret, hantering av besökare, ren skrivbordsprincip, skärmlås och säker hantering av papper och fysiska medier.

5. Incidenthantering. Vad som räknas som en informationssäkerhetsincident, hur den rapporteras internt och vilka roller som är inblandade. Området har fått större vikt i takt med att NIS2 och GDPR ställer krav på snabb rapportering.

6. Molntjänster. Risker med skugg-IT, hantering av personuppgifter i molntjänster, geografisk placering av data och de juridiska aspekterna kring tredjelandsöverföring.

7. Sociala medier och informationsexponering. Hur publik information på LinkedIn, Facebook och liknande plattformar kan användas för riktade angrepp som spear phishing och social ingenjörskonst.

8. Distansarbete och mobila enheter. Hantering av VPN, säkra trådlösa nätverk, BYOD-policys och fysisk säkerhet för bärbara enheter när man arbetar utanför kontoret.

Tillsammans bildar de åtta delområdena en grundläggande baslinje som de flesta organisationer kan bygga vidare på med branschspecifika tillägg.

Trots att DISA ursprungligen utformades för myndigheter har strukturen fått stor spridning även i privat sektor. Det finns flera skäl till detta.

För det första är DISA myndighetsetablerat och framtaget av MSB, vilket ger materialet en auktoritet som kommersiella alternativ sällan kan matcha. När en organisation behöver kunna visa upp en strukturerad säkerhetsmedvetenhetsutbildning för revisorer, försäkringsbolag eller upphandlare är hänvisningen till ett MSB-baserat ramverk ofta tillräckligt.

För det andra är grundmaterialet kostnadsfritt. MSB publicerar DISA-materialet öppet och organisationer kan ladda ner, anpassa och distribuera det utan licenskostnader. Detta gör DISA särskilt attraktivt för mindre företag, föreningar och kommuner med begränsade utbildningsbudgetar. Kommersiella implementationer kostar pengar, men de bygger ofta på samma underliggande pedagogiska struktur.

För det tredje är DISA språkligt och kulturellt anpassat till svensk arbetsmiljö. Många internationella säkerhetsutbildningar är översatta från engelska och innehåller exempel som inte fungerar i svensk kontext, exempelvis hänvisningar till amerikansk lagstiftning eller företagskultur. DISA är skrivet på svenska från grunden och refererar till svenska förhållanden.

För det fjärde är pedagogiken låg tröskel och bred täckning. Materialet förutsätter ingen teknisk förkunskap och passar både ekonomer, vårdpersonal, lärare och tekniker. Detta är en styrka när man behöver utbilda hela personalstyrkan, men kan vara en svaghet när man behöver fördjupad utbildning för IT-avdelning, utvecklare eller ledning.

Slutligen erbjuder DISA-strukturen kontinuitet och igenkänning. Eftersom många svenska arbetsgivare använder DISA möter anställda samma grundbegrepp och samma indelning även om de byter arbetsplats. Det förenklar onboarding och skapar en gemensam vokabulär kring informationssäkerhet i den svenska arbetsmarknaden.

Organisationer som ska etablera en säkerhetsmedvetenhetsutbildning har i praktiken tre vägar att välja mellan, och DISA passar olika väl beroende på vilken som är aktuell.

Egenutvecklad utbildning innebär att organisationen själv tar fram material, ofta i samarbete med säkerhetschef eller extern konsult. Fördelen är att utbildningen kan anpassas exakt efter organisationens hotbild, system och processer. Nackdelen är att utveckling och underhåll kräver betydande resurser, och att kvaliteten ofta blir ojämn jämfört med etablerade ramverk. För mindre organisationer är detta sällan kostnadseffektivt.

DISA i grundutförande innebär att organisationen använder MSB:s öppna material direkt, antingen via MSB:s webbplats eller genom att integrera materialet i en intern lärplattform. Fördelen är låg eller obefintlig kostnad och en etablerad pedagogisk struktur. Nackdelen är att grundmaterialet kräver lokal anpassning för att kännas relevant, att uppföljning och progressmätning ofta måste byggas separat och att materialet uppdateras i en takt som styrs av MSB snarare än organisationens egna behov.

Kommersiella plattformar levererar färdiga implementationer som ofta bygger på DISA-strukturen eller motsvarande internationella ramverk, men kompletterar med modernt gränssnitt, automatisk uppföljning, integration mot Active Directory eller HR-system, samt regelbundna innehållsuppdateringar. Vanliga leverantörer kombinerar denna typ av e-learning med phishing-simulering och rapportering till ledning. Kostnaden ligger typiskt mellan 50 och 200 kronor per användare och år beroende på volym och funktionalitet.

Många organisationer landar i en hybridlösning där DISA-strukturen används som referensram, MSB:s vägledning fungerar som auktoritetsstöd vid revisioner, och en kommersiell plattform används för distribution och uppföljning. Det är också vanligt att större organisationer kompletterar DISA med branschspecifika moduler, exempelvis OT-säkerhet för industriföretag eller patientdataskydd för vården.

En lyckad DISA-implementation följer i regel en relativt strukturerad process, även om detaljerna varierar beroende på organisationens storlek och mognad.

Steg 1: Förankring i ledningen. Utbildning som inte är förankrad uppifrån tenderar att rinna ut i sanden. Säkerhetschef eller motsvarande funktion behöver presentera DISA för ledningsgruppen, koppla utbildningen till verksamhetsrisker och säkerställa att ledningen själv genomgår utbildningen som en signal till organisationen.

Steg 2: Inventering och anpassning. DISA:s åtta delområden gås igenom mot organisationens egna system och processer. Vissa delar kan behöva utökas, andra kortas ner. En kommun har exempelvis andra behov kring sociala medier än ett industriföretag, och en organisation som inte tillåter BYOD kan korta ner det avsnittet.

Steg 3: Distribution och genomförande. Utbildningen läggs ut i organisationens lärplattform eller distribueras via e-post med länk till material. För nyanställda integreras DISA i onboardingen, för befintliga anställda sätts en deadline för slutförande, typiskt mellan fyra och åtta veckor.

Steg 4: Mätning och uppföljning. Slutförandegrad mäts per avdelning, och eventuella kunskapstester följs upp. Organisationer som är mogna i sin säkerhetsmedvetenhet kompletterar med phishing-simuleringar för att mäta beteendeförändring, inte bara kunskapsinhämtning.

Steg 5: Repetition. En engångsutbildning har begränsad effekt över tid. MSB:s vägledning rekommenderar att säkerhetsmedvetenhetsutbildning genomförs minst årligen, och gärna kompletteras med kortare påminnelser, nyhetsbrev eller mikroutbildningar mellan de fullständiga genomgångarna. Vid större förändringar i hotbilden, exempelvis när ransomware-vågor träffar en bransch, är det också vanligt att lägga in extra utbildningsinsatser.

Mätbara mål är centrala för att kunna visa effekten av insatsen, både för ledning och vid externa revisioner.

NIS2-direktivet ställer krav på att organisationer som omfattas av direktivet ska vidta tekniska, operativa och organisatoriska åtgärder för att hantera cybersäkerhetsrisker. En av de uttryckliga minimiåtgärderna i artikel 21 är utbildning av personal i cybersäkerhet och cyberhygien, något som omfattar både den ordinarie personalen och ledningen.

DISA är inte en formell NIS2-certifiering, men strukturen och innehållet i DISA täcker i hög grad de utbildningskrav som NIS2 beskriver. När en organisation ska visa upp dokumentation för tillsynsmyndigheter, i Sveriges fall i regel sektorsmyndigheter under MSB:s samordning, är genomförd DISA-utbildning ett konkret bevis på att utbildningskravet uppfyllts.

För att DISA ska räknas som NIS2-relevant utbildning behöver ett antal kriterier vara uppfyllda. Utbildningen ska vara dokumenterad, det vill säga det ska gå att visa vem som genomgått vilka delar och när. Den ska vara regelbunden, vilket innebär årlig repetition eller motsvarande. Den ska omfatta ledningen, vilket är en specifik skärpning i NIS2 jämfört med tidigare regelverk. Och den ska vara kopplad till organisationens riskhantering, det vill säga utbildningens innehåll ska reflektera de faktiska risker som organisationen har identifierat.

Det är värt att notera att NIS2 inte föreskriver ett specifikt utbildningsmaterial. Andra ramverk, exempelvis utbildningar baserade på ISO 27001, SANS Security Awareness eller egenutvecklade program, kan också uppfylla kraven. DISA har dock fördelen att vara svensk, kostnadsfri i grundutförande och utgiven av samma myndighet som har en koordinerande roll för NIS2-tillsynen i Sverige, vilket gör materialet svårt att underkänna i en svensk revisionssituation.

Organisationer som omfattas av NIS2 bör dock vara medvetna om att DISA ensam inte är tillräcklig. Direktivet kräver också tekniska kontroller, incidenthantering, leverantörsbedömning och flera andra åtgärder. DISA löser utbildningskomponenten men inte hela efterlevnaden.

Erfarenheter från svenska organisationer som implementerat DISA visar att vissa misstag återkommer ofta, och att de i regel går att undvika med relativt enkla åtgärder.

Engångsgenomförande utan repetition. En av de vanligaste misstagen är att DISA genomförs en gång i samband med onboarding och sedan aldrig mer. Säkerhetsmedvetenhet är en färskvara, och utan repetition tappar utbildningen effekt redan inom sex till tolv månader. MSB:s vägledning är tydlig med att utbildningen ska vara återkommande.

Inga konsekvenser vid utebliven slutförande. Om anställda inte genomför utbildningen utan att det får några konsekvenser sjunker slutförandegraden snabbt. Organisationer som hanterar detta professionellt sätter tydliga deadlines, eskalerar till chef vid utebliven slutförande och inkluderar säkerhetsmedvetenhet i medarbetarsamtal.

Ledningen står utanför. När VD, ekonomichef och styrelse inte genomgår utbildningen signalerar det att informationssäkerhet är en fråga för IT-avdelningen, inte för organisationen som helhet. Detta är särskilt problematiskt under NIS2 där ledningen har personligt ansvar.

Ingen koppling till verkliga incidenter. Utbildning som inte refererar till faktiska incidenter, vare sig egna eller branschens, upplevs som teoretisk och abstrakt. Att komplettera DISA med korta case-genomgångar baserade på verkliga händelser, exempelvis Coop-attacken eller större ransomware-incidenter, ökar engagemanget betydligt.

Bristande mätning. Många organisationer mäter bara slutförandegrad, inte faktisk kunskapsnivå eller beteendeförändring. Phishing-simuleringar, kunskapstester med tidsbundna omtag och regelbundna pulsmätningar ger en betydligt bättre bild av om utbildningen faktiskt fungerar.

Föråldrat innehåll. Den som använder MSB:s grundmaterial behöver vara uppmärksam på att vissa avsnitt kan vara äldre och inte reflektera nyare hot som AI-genererad phishing, deepfakes eller moderna ransomware-tekniker. Lokal komplettering är ofta nödvändig.

DISA är en bra bas men sällan tillräcklig som hela säkerhetsmedvetenhetsprogrammet. Flera kompletterande insatser brukar rekommenderas.

Phishing-simulering är den vanligaste och mest effektiva kompletteringen. I praktiken skickas kontrollerade falska e-postmeddelanden till personalen, och de som klickar på länkar eller lämnar uppgifter får direkt feedback och kortare utbildning. Detta mäter beteende snarare än bara kunskap, och ger konkreta siffror på hur organisationen utvecklas över tid. En typisk organisation börjar på 25 till 35 procents klickfrekvens och kan med regelbunden simulering nå under 5 procent inom ett till två år. Detta beskrivs närmare i artikeln om [phishing](/amne/phishing).

Specifik ledningsutbildning behövs ofta utöver DISA, särskilt under NIS2. Ledningens utbildning ska fokusera på riskhantering, beslutsfattande under incidenter och det personliga ansvar som följer med direktivet, inte på de operativa frågor som DISA primärt behandlar. Sådan utbildning genomförs typiskt som workshop eller tabletop-övning snarare än som e-learning.

Utbildning mot social ingenjörskonst djupdyker i de tekniker som angripare använder, exempelvis pretexting, baiting och tailgating. Området täcks delvis av DISA men behöver ofta fördjupas för roller som ofta är måltavla, som receptionister, HR och ekonomi.

Rollspecifik utbildning är aktuell för utvecklare, systemadministratörer och andra med privilegierad åtkomst. Här fungerar DISA som baslinje men kompletteras med exempelvis säker utveckling enligt OWASP, härdning av servrar eller incidenthantering på teknisk nivå.

Incidentövningar och tabletop-exercises är värdefulla komplement där organisationen i workshopformat simulerar en allvarlig incident och övar på beslutsfattande, kommunikation och samordning. Detta tränar krismedvetenhet på ett sätt som ingen e-learning kan göra.

Kontinuerlig kommunikation i form av nyhetsbrev, intranätinlägg och påminnelser om aktuella hot håller säkerhetsfrågorna levande mellan de större utbildningstillfällena. Det är ofta den mest underskattade komponenten i ett moget säkerhetsmedvetenhetsprogram.