Het is maandagochtend als de telefoon gaat bij de klantenservice. “Goedemorgen, dit is Sandra van de IT-afdeling. We zijn bezig om alle systemen te updaten. Ik zie hier een wachtwoord op mijn scherm staan, maar ik denk dat die verouderd is, kan je voor de zekerheid je huidige wachtwoord met mij delen?”
Is dit een logisch verzoek of geeft dit reden tot twijfel? Dat is de vraag die door het hoofd van je collega’s moet gaan op dit soort momenten. Natuurlijk geeft bovenstaand voorbeeld reden tot twijfel, doorgaans hoef je immers nooit je wachtwoord met iemand te delen. Toch blijken dit soort trucs in de praktijk ontzettend lucratief voor cybercriminelen en worden verschillende (grote) organisaties op deze manier slachtoffer. Want zolang je collega’s de gevaren niet herkennen en zich niet bewust zijn van de risico’s, loopt je organisatie gevaar. En dat is precies waarin security awareness het verschil maak.
Waarom cybersecurity verder gaat dan technische maatregelen
Wanneer je denkt aan cybersecurity, denk je misschien aan technische stappen zoals firewalls, spamfilters en netwerksegmentatie. Hoewel dit soort acties belangrijk zijn, dekt het slechts een deel van je informatiebeveiliging.
Bewuste medewerkers zijn namelijk onmisbaar om je organisatie te beschermen tegen cyberaanvallen en -incidenten. Ze hebben vaak vanwege hun functies en werkzaamheden toegang tot bepaalde systemen, data en beschikken over bevoegdheden om acties uit te voeren.
Hoe gaan cybercriminelen te werk?
Voor cybercriminelen is het veel efficiënter om een persoon te manipuleren, dan een firewall te omzeilen. Cybercriminelen schieten hierbij met hagel. Ze versturen in bulk een phishingmail uit in de hoop dat er een onoplettende medewerker is die klikt.
Zeker met behulp van AI worden de aanvallen in grotere aantallen uitgevoerd, de berichtgeving steeds geloofwaardiger en de boodschap steeds persoonlijker. Ze hoeven maar te beschikken over een kleine hoeveelheid informatie om vervolgens een grotere aanval uit te voeren zoals een ransomware-aanval of hack. Kortom: problemen die je kosten wat het kost wilt voorkomen.
Wat is security awareness?
Met security awareness maak je jouw medewerkers bewust van de cyberdreigingen en -risico’s die ze tegen kunnen komen op de werkvloer en privé. Je biedt ze de kennis aan om hun vaardigheden op dit gebied te ontwikkelen. Zo leren ze onder andere: hoe ze phishing kunnen herkennen, wat een sterk wachtwoord is en hoe ze veilig om moeten gaan met persoonsgegevens.
Maar kennis alleen is niet voldoende. Zo wijst de praktijk uit dat mensen zichzelf vaak overschatten wanneer het aankomt op het herkennen van online oplichting. Op de werkvloer kan verschillende oorzaken hebben, zoals een hoge werkdruk, een onduidelijk beleid of het gebrek aan ondersteuning. Het is belangrijk om dit van te voren te onderzoeken, bijvoorbeeld door een cultuurmeting of nulmeting te doen. Zo kan je tijdens de campagne bijsturen om tot het gewenste niveau van informatiebewustzijn te komen.
Betrokken medewerkers met security awareness trainingen gebaseerd op gedragswetenschap
Je medewerkers kunnen wel de kennis hebben, maar laten ze uiteindelijk ook het gewenste gedrag zien? Dit resultaat kan je behalen door medewerkers te betrekken met verschillende prikkels. Een van de belangrijkste zaken is te kiezen voor een security awareness platform dat is gebaseerd op bewezen theorieën uit de gedragspsychologie, zoals bij Awaretrain. Zo vergroot je de kans dat dat de trainingen zullen aanslaan en sturen op blijvende gedragsverandering. Zorg bijvoorbeeld voor een combinatie van phishing simulaties, interactieve trainingen en sturende prikkels voor het creëren van eigenaarschap in alle lagen van je organisatie.
Het resultaat van veilig gedrag binnen je organisatie
Wat levert security awareness nu echt op? Voor veel organisaties is dat lastig in cijfers uit te drukken. Een cyberaanval die tijdig wordt herkend of een datalek dat wordt voorkomen, is moeilijk te meten. Toch maakt dat de waarde van security awareness niet minder groot.
De gevolgen van een cyberincident kunnen namelijk groot zijn. Denk bijvoorbeeld aan financiële schade, reputatieverlies of het stilvallen van bedrijfsprocessen. Door medewerkers bewust te maken van deze risico’s en het stimuleren van veilig werken, verklein je de kans dat dreigingen daadwerkelijk uitgroeien tot incidenten en schade toebrengen aan je organisatie.
De waarde van security awareness zit dan ook niet enkel in hetgeen wat medewerkers weten, maar vooral in wat ze met die kennis doen. Wanneer veilig gedrag onderdeel wordt van de dagelijkse werkzaamheden groeit de digitale weerbaarheid van je hele organisatie.