Kunskap ska sitta kvar på tisdag.
När vi själva ansvarade för säkerheten mätte vi hur många som hade klickat sig igenom årets kurs. Det var det som gick att mäta. Siffran såg bra ut i rapporten. Den sa ingenting om vad folk gjorde när mejlet väl kom.
Robustium bygger på det vi lärde oss. Varje lektion är en kort situation från jobbet. Medarbetaren gör ett eget val och får en förklaring. Veckan efter kommer samma sak tillbaka i en ny situation. Säkerhet är en vana, och vanor byggs i små steg som återkommer.
Phishingtester, i siffror.
Det forskningen stöder.
Fyra principer med starkt stöd i forskningen finns i varje lektion.
Förklaring
10×effektEn förklaring ger tio gånger så stor effekt som bara rätt eller fel.
Varje svarsalternativ har en egen förklaring.
Konkreta råd
2 024personerBudskap om vad man ska göra fungerade bättre än hot, och hotet gav inget extra.
Varje lektion slutar med en sak att göra.
Kontrollgrupp
1,7procentenheterSå mycket gav utbildningen. Mejlens svårighet flyttade andelen som klickade mellan 1,8 och 30,8 %.
Vi mäter mot en grupp som inte har börjat.
Fel som rättas direkt
Ett fel som rättas direkt lär mer än felfri läsning.
De felaktiga alternativen är misstag som händer på riktigt.
Textning
Textning hjälper särskilt den som har svenska som andraspråk.
Tal och kort text, inget dekorativt.
Källor
- Latimier m.fl. 2021: repetition med mellanrum.
- Yang m.fl. 2021: svara själv i stället för att läsa, 48 478 elever.
- Van der Kleij m.fl. 2015: återkoppling som förklarar.
- Brunmair & Richter 2019: blandade situationer, 59 studier.
- Ho m.fl. 2025: 19 789 anställda, tio testkampanjer på åtta månader.
- van Bavel m.fl. 2019: experiment med 2 024 personer i fem EU-länder, bland dem Sverige.
- Metcalfe 2017: fel som rättas.
- Noetel m.fl. 2022: tal, text och bild i undervisning.
Alla fynd.
Från träning som knappt ger effekt, via fack som stoppat tester med falska bonusar, till att var tredje har tigit om en säkerhetsrisk. Och i produktionen står mer än IT på spel.
Vad metoden ger.
- Målet är medarbetare som blir bättre på att försvara sig själva och organisationen. Metoden bygger på det som i kontrollerade studier i vården och flyget har gjort att det man tränat på syns i arbetet: korta övningar med återkoppling, upprepade med mellanrum, i situationer från jobbet.
- Ett underlag för ledningens ansvar enligt cybersäkerhetslagen: varje genomförd träning loggas, så att ni kan visa vem som har gjort vad.
Så mäter vi.
Vi följer hur många som gör lektionerna och hur svaren håller i nya situationer över tid. Resultatet jämför vi med en grupp som ännu inte har börjat. Då ser ni vad utbildningen faktiskt gör.
Nano, mikro eller en hel kurs?
Tre sätt att lägga upp utbildning och vad som brukar känneteckna dem.
| Egenskap |  NanolärandeRobustiums minutlektioner |
 MikrolärandeKorta moduler |
 Traditionell kursE-kurs eller utbildningsdag |
|---|---|---|---|
| Längd | 1–3 minuter, fråga inräknad | 5–15 minuter | 30 minuter till en dag |
| Hur ofta | Varje vecka | Någon gång i månaden | En gång om året |
| Eget val | I varje lektion, i en ny situation | Ibland | Oftast i ett slutprov |
| Repetition | Veckan efter: en ny frågeställning om träningen du gjorde | Sällan inbyggd | Nästa år |
| Passar | Mellan möten, vid skiftbytet, på telefonen | Vid skrivbordet | När alla kan avsätta tid samtidigt |
| Mäts ofta som | Hur många som gör lektionerna och hur svaren håller över tid | Genomförande | Genomförande och slutprov |