Så mäter du om säkerhetsutbildningen verkligen fungerar

Vad visar att säkerhetsutbildning är effektiv?

• Genomförandegraden mäter efterlevnad, inte säkerhetsförbättring – fokusera på beteendeförändringar istället
• Sju specifika nyckeltal styrker utbildningens effektivitet: rapporteringsgrad, minskning av upprepade klickare, reaktionstid, verklig hotrapportering, kunskapsbehållning, incidentfrekvens och missfrekvens
• Förvänta en minskning av klickgrader med 40 % på 90 dagar och 86 % inom 12 månader med kontinuerlig utbildning
• Forskning visar att utbildning ger resultat när den är konstant och beteendefokuserad, inte årlig och passiv
• Individuell spårning kan ha juridiska följder enligt arbets- och dataskyddslagar

Du har hanterat ert säkerhetsmedvetandeprogram i ett halvår. Genomförandeinstrumentpanelen är grön. Den senaste phishing-simuleringen visade sjunkande klickfrekvenser. Ledningen undrar nu: “Fungerar detta verkligen — och ska vi fortsätta finansiera det?” Den frågan förtjänar mer än en skärmdump av dina rapporter.

Effekten av säkerhetsutbildning beror på rätt nyckeltal vid rätt tidpunkt. Enligt branschdata (2025) minskar organisationer sitt phish-benägenhetsprocent med i genomsnitt 40 % inom 90 dagar och 86 % efter 12 månader av kontinuerlig utbildning. Men dessa siffror berättar inte hela historien.

Denna artikel ger dig sju nyckeltal som håller för granskning — och förklarar exakt vilka resultat du borde se i ditt aktuella programskede, baserat på data från över 67 miljoner simulerade phishing-test.

Varför nuvarande mätningar vilseleder

De flesta säkerhetsprogram mäter aktivitet, inte resultat. Genomförandegraden kan nå 100 % medan medarbetare klickar på phishing-länkar morgonen efter att de slutfört sin utbildning. En studie med 19 500 vårdanställda visade ingen signifikant relation mellan nyligen avslutad utbildning och motståndskraft mot phishing.

Problemen går djupare än enskilda nyckeltal. Myndigheters vägledning skiljer mellan ”medvetandegörande” (bred kulturskift) och ”utbildning” (rollbaserad kompetensutveckling). Loggar över genomförande uppfyller efterlevnadskrav men minskar inte riskerna. Ändå rapporterar de flesta organisationer utbildningsframgång med hjälp av genomförandeprocent.

Klickfrekvenser snedvrider också. Skicka en lättare phishing-simulering detta kvartal och dina siffror förbättras mirakulöst. En kontrollerad studie (2025) fann att klickfrekvenser ökade från 7,0 % för enkla beten till 15,0 % för svåra, oavsett tidigare utbildning. Utan kalibrering för svårighetsgrad blir jämförelser mellan kampanjer meningslösa.

Förväntade resultat efter 6-12 månader

Benchmarking från 62 400 organisationer ger tydliga stadie- och resultatförväntningar. Den globala phish-benägenhetsprocenten före utbildning ligger i genomsnitt på 33,1 %. Efter 90 dagar minskar detta till cirka 20 % — en minskning med 40 %. Efter 12 månader sjunker genomsnittet till 4,1 %.

Siffrorna varierar avsevärt beroende på organisationsstorlek och sektor. Mindre organisationer (1-250 anställda) börjar med en baslinje på 24,6 %, medan större företag (över 10 000 anställda) börjar på 40,5 %. Hälso- och läkemedelssektorn har den högsta risken med 41,9 % i baslinje.

Om din organisation ligger mellan sex och tolv månader kan rimliga förväntningar vara:

• Minskning av phishing-klickfrekvens med 50-70 % från er ursprungliga baslinje
• Rapporteringsgrad för misstänkta mail som når 15-25 % av personalen
• Upprepade klickare (samma person som misslyckas med flera simuleringar) under 5 %
• Genomsnittlig rapporteringstid av misstänkta mail under 10 minuter

Å andra sidan presenterar nyare akademisk forskning en motsatt bild. En storskalig studie (2025) visade att utbildningsinsatser inte hade någon signifikant påverkan på klick- eller rapporteringsfrekvenser inom en fintech-miljö. Detta tyder på att effektiviteten av säkerhetsmedvetenhetsträning starkt beror på hur den implementeras, inte bara tiden som investeras.

De 7 nyckeltalen som bevisar effektivitet

1. Phishing-rapporteringsgrad (Simulation)

Mät andelen anställda som identifierar och rapporterar phishing-simuleringar utan att först klicka. Branschdata (2024) visar att 20 % av användare rapporterar phishing i simulationsövningar. Detta mått mäter detekteringsbeteende, inte bara undvikande.

Målbänk: Rapportering mellan 20-30 % inom sex månader. Beräkna månadsvis för att spåra förbättringstrender. Detta visar att medarbetare aktivt engagerar sig i säkerhetsfrågorna istället för att bara undvika uppenbara hot.

2. Rapporteringsgrad för verkliga hot

Övervaka hur ofta anställda rapporterar verkligt misstänkta mail mot simuleringar. Detta visar att utbildningen överförs till verkliga hot. Många organisationer följer endast prestationer i simuleringar och ignorerar överföringen till verkliga situationer.

Samla data från din e-postsäkerhetsleverantör om användarrapporterade hot. Jämför detta med volymen faktiska skadliga e-postmeddelanden som upptäcks av automatiserade system. Ett sunt program visar ökande användarrapportering tillsammans med minskande attackfrekvenser.

3. Minskning av upprepade klickare

Definiera upprepade klickare som medarbetare som misslyckas med tre eller fler simuleringar under en 90-dagarsperiod. Följ hur denna grupp minskar över tid med riktade insatser. Forskning visar att personlig utbildning minskade upprepade phishing-offer med 63 % på sex månader.

Mål: Uppsatta klickare under 5 % efter sex månader. Detta nyckeltal visar om ditt program hjälper de mest sårbara användarna eller bara förbättrar de redan kompetenta.

4. Dwell Time (Tid till rapportering)

Mät genomsnittlig tid mellan mottagande och rapportering av misstänkta mail. Snabb rapportering begränsar potentiell skada från lyckade angrepp. Branschdata visar att median tiden till klick på skadliga länkar är bara 21 sekunder — rapporteringen måste vara snabbare.

Effektiva program når genomsnittliga rapporteringstider under 10 minuter. Detta nyckeltal visar om utbildningen skapar reflexmässigt säkerhetsbeteende eller bara teoretisk kunskap.

5. Kunskapsbedömnings poängtrend

Följ lärandeöverföring genom korta månadsvisa bedömningar, inte genomförandeintyg. Fokusera på praktiska scenariobaserade frågor snarare än att memorera policyer. Mät förbättring över tid, inte absoluta poäng.

Detta tydliggör huruvida det är verklig förståelse eller bara formalia som överförs. Stigande kunskapsnivåer kombinerade med förbättrade beteendemått indikerar en bra utbildningsdesign.

6. Säkerhetsincidentfrekvenstrend

Koppla utbildningsmått till bredare data över säkerhetsincidenter. Följ månatlig frekvens av lyckade phishing-attacker, malwareinfektioner och sociala ingenjörsincidenter. Effektiv utbildning borde korrelatera med minskande händelsefrekvenser.

Denna indikator visar om förbättringar i simuleringarna översätts till verklig skydd. Enligt branschforskning minskar medarbetarutbildning i genomsnitt kostnaden för dataintrång med 232 867 dollar.

7. Missfrekvens (Varken Klicka eller Rapportera)

Följ medarbetare som varken klickar på misstänkta mail eller rapporterar dem. Denna “missfrekvens” representerar en dold risk — personal som ignorerar potentiella hot helt. Höga missfrekvenser tyder på att utbildningen lär ut undvikande istället för att bygga en rapporteringskultur.

Mål: Missfrekvens under 40 % efter sex månader. Detta nyckeltal avslöjar om utbildningen skapar engagerade säkerhetsdeltagare eller passiva åskådare.

Hur hanterar man hot från flera kanaler?

E-post phishing utgör bara en del av dagens hotbild. Röst-phishing ökade med 442 % mellan H1 och H2 2024. AI-stödd phishing utgör mer än 80 % av observerad social ingenjörskonst globalt, enligt europeiska hotrapporter (2025).

Utöka mätramarna utanför e-post för att inkludera:

• SMS phishing (smishing) simulering och rapporteringsfrekvenser
• Röst-phishing (vishing) medvetenhet och svarsrutiner
• QR-kod phishing igenkänning och rapportering
• Motståndskraft mot trötthetsattacker på multi-faktor autentisering

Organisationer som bara mäter klickfrekvenser för phishing via e-post har en systematiskt ofullständig bild av sin mänskliga riskexponering. Plattformar som Complorer integrerar flerkanaliga hotinsikter med samordnade rapporteringsverktyg, vilket ger säkerhetsteam omfattande inblick i olika angreppsmetoder.

Strategier för de som ofta klickar fel

Traditionella metoder kräver extra utbildning för återkommande klickare. Forskning indikerar att detta inte alltid hjälper. En långsiktig studie av över 14 000 anställda visade att för de mest mottagliga deltagarna gav obligatorisk utbildning ingen märkbar förbättring.

Alternativa angreppssätt inkluderar:

• Individuella coachningssessioner fokuserade på specifika sårbarhetsmönster
• Miljökontroller (ytterligare e-postfiltrering, webbläsarestriktioner)
• Mentorprogram som parar återkommande klickare med säkerhetsmedvetna kollegor
• Utvärdering av arbetsroller – vissa positioner kan kräva förstärkta tekniska kontroller snarare än utbildning

Mät framgången av dessa insatser genom att se om återkommande klickare förbättrar sina rapporteringsfrekvenser i kommande simuleringar, och inte bara genom minskade klick.

Så presenterar du resultaten för ledningen

Presentationer för ledningen kräver affärsrelaterade resonemang, inte tekniska mått. Strukturera din kvartalsrapport kring riskminskning och kostnadsundvikelse istället för simuleringsstatistik.

Viktiga presentationsramar:

1. Inled med kontext: “68 % av dataintrång involverar mänskliga faktorer, med en genomsnittlig kostnad på 4,44 miljoner dollar”
2. Visa trend, inte ögonblicksbild: “Phishing-benägenhet minskade från X % till Y % över sex månader”
3. Koppla till verkliga incidenter: “Personalrapportering identifierade X verkliga hot detta kvartal”
4. Jämför med branschstandard: “Våra resultat överstiger sektorsgenomsnittet med X %”
5. Kvantifiera värdet: “Utbildningsinvestering på £X undvek potentiellt £Y i intrångskostnader”

Undvik teknisk jargong. Presentera aldrig genomförandegrader som mått på framgång. Fokusera på beteendeförändringar och riskminskning som direkt påverkar affärsresultat.

Juridiska överväganden för individuell spårning

Att spåra enskilda medarbetares beteenden i phishing-simuleringar väcker frågor kring dataskydd. Individuell klickspårning, riskscorande och detaljerad beteendeloggning utgör övervakning enligt dataskyddslagar.

Organisationer bör granska sina skyldigheter enligt bedömningar av dataskyddspåverkan och tillämpliga arbetslagar innan man implementerar individuell spårning i stor skala. Överväg att konsultera juridiska och HR-team för att säkerställa att övervakningsmetoder stämmer överens med lokala krav och anställningskontrakt.

Agreredad rapportering utgör ofta tillräcklig insikt utan individens integritetsimplikationer. Fokusera på trender på team- eller avdelningsnivå istället för personlig prestationsspårning där möjligt.

Vad säger forskningen egentligen om utbildningens effektivitet?

Akademiska studier ger motsägande bevis om utbildningens effektivitet. Branschmätningar visar konsekvent stora förbättringar i klickfrekvenser och rapporteringsbeteende. Däremot finner kontrollerade akademiska studier ibland inga signifikanta effekter av utbildning.

Motsägelsen beror sannolikt på skillnader i implementeringen. Långsiktiga, frekventa, beteendefokuserade program ger mätbara resultat. Årliga, passiva och efterlevnadsdrivna program gör det sällan. Forskning om ihållande simuleringsprogram fann att de halverade antalet lyckade komprometteringar inom sex månader i 20 organisationer.

Denna nyans är viktig för mätstrategin. Program designade kring beteendeförändring kräver olika mått än efterlevnadsfokuserade. De sju nyckeltal som beskrivs ovan stämmer överens med beteendefokuserad träning som forskning visar faktiskt fungerar.

Vanliga frågor

Vad är en bra phishing-klickfrekvens efter 6 månader?

Förvänta en minskning på 50-70 % från din ursprungliga baslinje efter sex månader. Om du började med en klickfrekvens på 30 %, sikta på 9-15 % vid månad sex. Branschdata visar en genomsnittlig minskning till 4,1 % efter 12 månader av kontinuerlig utbildning.

Hur ofta ska jag köra phishing-simuleringar?

Månadsvisa simuleringar ger optimala resultat enligt forskningsdata. Kvartalsvisa simuleringar bibehåller medvetenhet men visar långsammare förbättringar. Årliga simuleringar är inte tillräckliga för ihållande beteendeförändring och skapar opålitliga mätdata.

Bör jag spåra enskilda medarbetares prestationer?

Individuell spårning kan ha juridiska konsekvenser enligt arbets- och dataskyddslagar. Aggregation av avdelnings- eller teamrelaterade mått ger ofta tillräcklig insikt i programmet utan integritetsproblem. Konsultera juridiska och HR-teamen innan du implementerar detaljerad individuell övervakning.

Vad om mina klickfrekvenser inte förbättras trots utbildning?

Recensera simuleringarnas svårighetsgrad med hjälp av standardiserade skalor. Säkerställ att utbildningen är beteendefokuserad snarare än passivt informationsöverföring. Täck flerkanaliga hot utöver e-post. Akademisk forskning visar att vissa utbildningsmetoder misslyckas — kontinuerliga, praktiska program övertrumfar årliga, teoretiska metoder.

Hur mäter jag verklig utbildningseffektivitet jämfört med simuleringsprestation?

Spåra faktiska hot rapporteringsfrekvenser från ditt e-postsäkerhetssystem. Övervaka trender i frekvensen av säkerhetsincidenter. Jämför användarrapporterade hot med automatiserade detektioner. Verklig effektivitet visar sig när anställda rapporterar verkliga hot, inte bara presterar bra i kontrollerade simuleringar.

Vad bör jag göra med anställda som konsekvent misslyckas med simuleringar?

Undvik straffande extra utbildning, vilket forskning visar inte hjälper de mest mottagliga användarna. Försök med individuell coachning, miljökontroller, mentorprogram eller rollutvärdering. Mät framgång genom förbättrade rapporteringsfrekvenser, inte bara genom minskade klick.

Vad gör du härnäst?

De sju nyckeltalen ovan ger en ram för att mäta utbildningens effektivitet snarare än dess aktivitet. Fokusera på beteendeförändring, överföring till verkliga scenarion och riskminskning som ledningen kan koppla till affärspåverkan.

Börja med att utvärdera ditt befintliga mätmetodiska tillvägagångssätt mot dessa sju områden. Identifiera vilka nyckeltal du redan samlar in och vilka luckor som måste åtgärdas. Plattformar som Complorer erbjuder integrerade instrumentpaneler som spårar beteendemått över olika angreppskanaler, vilket gör det lättare att bygga omfattande effektiv rapportering.

Kom ihåg att mätning påverkar kulturen. Ramverk skall ses som förbättringsmöjligheter snarare än prestationsövervakning. Syftet är att bygga säkerhetsmedvetna team, inte att syfta på att sätta dit någon.

Börja implementera dessa mätningar systematiskt över nästa kvartal för att bygga upp evidensbasen för din nästa ledningspresentation.

Referenser

[1] Verizon Business. (2024). 2024 Data Breach Investigations Report.

[2] Rozema, A., et al. (2025). Anti-Phishing Training (Still) Does Not Work: A Large-Scale Reproduction of Phishing Training Inefficacy Grounded in the NIST Phish Scale.

[3] Merritt, M., et al. (2024). Building a Cybersecurity and Privacy Learning Program. NIST Special Publication 800-50 Rev.1.

[4] Anonymous/Composite. (2025). Sustaining Cyber Awareness: The Long-Term Impact of Continuous Phishing Training and Emotional Triggers.

[5] IBM Security. (2024). Cost of a Data Breach Report 2024.