Ik hoor het veel mensen al zeggen: ‘Het jaar is weer voorbijgevlogen!’ 2023 was een jaar waarin we met Behaav de evolutie van security awareness van dichtbij hebben mee mogen maken. Steeds meer aanbieders die al probeerden om het hele cybersecurity spectrum in hun portfolio te hebben, vonden daar zelfs nog ruimte voor security awareness. Dat is een goed teken, want dat betekent dat het onderwerp leeft. En dat er op deze marktplaats ruimte is voor boetiekshops die deze niche als hun ‘brood en boter’ beschouwen, dat belooft veel goeds.
We gaan in deze blog verder in op de methode die we gebruiken om trainingsonderwerpen te bepalen en maken een voorzichtige top 10(+1) van de voornaamste onderwerpen. Steeds vaker willen bedrijven gedragsverandering realiseren – in plaats van compliance of kennis gedreven security awareness programma’s – en dat is het allerbeste signaal in 2023 (en ook alvast voor 2024!). Lang leve cyberveiligheid!
In het afgelopen jaar hebben we tienduizenden medewerkers getraind en hopelijk bewuster gemaakt van de risico’s die onveilig werken met zich mee kunnen brengen.
Risico’s zitten opgesloten in ons gedrag. Of we nu te hard autorijden of wanneer we roekeloos omgaan met gegevens, beide gedragingen brengen risico’s met zich mee. Risico’s kunnen ook voortkomen uit kennis of een gebrek daaraan. Tot slot kan het nemen van risico’s onderdeel van de cultuur van een organisatie zijn. Ter illustratie: een beleggingskantoor zal minder risicomijdend zijn dan een accountantskantoor, uitzonderingen daargelaten.
Om de trainingsonderwerpen te bepalen lopen we met onze klanten een aantal stappen door, wij noemen dit de BRIGHT©-methode (Behavioural Risk Insights). Deze stappen zijn:
Het in kaart brengen van de kernsprocessen van de organisatie.
Het in kaart brengen van de belangrijkste risico’s in deze kernprocesen en de context waarbinnen de processen opereren.
Het in kaart brengen van het dreigingslandschap van de klant, waarbij de focus ligt op die dreigingen met een menselijk aspect.
Het koppelen van dreigingen die vastgestelde risico’s kunnen manifesteren (denk aan verschillende manieren die kunnen leiden tot een datalek, zoals een phishingmail, foutief geadresseerde e-mails of onveilig geschreven softwarecode).
Impactvolle content -en interventievormen gepaard met afgestemde communicatie per risico -en doelgroep.
Met bovenstaande creëren we niet alleen interventies per doelgroep, maar spreken we ook ‘de taal’ van de organisatie. Wij zijn van mening dat je mensen niet alleen in hun hoofd moet ‘raken’, maar juist in hun ‘buik’, want daar zit het gevoel en daar kunnen we het verschil maken.
Uit de uitgevoerde BRIGHT©-analyses zijn de onderstaande onderwerpen het meeste naar voren gekomen. Deze lijst is niet gelimiteerd tot de volgende onderwerpen, maar hebben wel stuk voor stuk de mens als rode draad:
Kennis
Kennis is een belangrijke drijver achter het ontstaan van risico’s. We hebben het in dit geval niet alleen over de basiskennis AVG en informatiebeveiliging. Medewerkers zijn vaak ook onvoldoende bekend met bestaand beleid en procedures. Wat is voor zowel intern als extern een veilige manier voor het uitwisselen van data en waar sla ik bepaalde data veilig op?
Leiderschap
Veel managers en bestuurders zijn zich anno 2023 nog steeds onvoldoende doordrongen van het belang van goed huisvaderschap op het vlak van informatiebeveiliging en privacy. Goed voorbeeld doet goed volgen! Maak het onderdeel van de standaardwerkwijze binnen de werkprocessen.
Communicatie
Er wordt vaak slecht of onvoldoende gecommuniceerd. De afdeling communicatie is een van de eerste afdelingen die wij intekenen in de governance van onze security awareness -en gedragsprogramma’s. Communicatie bepaalt voor 80% het succes van elk programma. Enkele onbeantwoorde vragen van het eerste uur:
- Hoe weet ik dat ik een passwordmanager moet gebruiken als ik daarover niet geïnformeerd ben?
- Waarom zou ik MFA gebruiken als ik niet weet hoe?
- Welk beleid? Ik heb geen idee waar ik dat kan vinden of ik snap totaal niet wat daarin beschreven staat.
Compliance
Er zijn nogal wat normenkaders en wet -en regelgeving in bedrijfsmatige context. Het niet voldoen aan deze regels brengt op meerdere fronten risico’s met zich mee. Compliant zijn wordt weleens afgedaan als schijnveiligheid en soms is het gat tussen de gedocumenteerde veiligheid en de veiligheid in de realiteit inderdaad erg groot. Hoe dan ook helpen die regels ons wel om risico’s te minimaliseren. Nog steeds zijn veel vragen aan ons compliance gedreven en dat is een uitstekend begin.
Hoewel veel van bovenstaande dreigingen kunnen leiden tot ongeautoriseerde toegang, is het ook een dreiging die op zichzelf staat. Veel systemen worden nog wel eens onbewaakt achtergelaten en in veel organisaties werkt men nog steeds onnodig veel met gedeelde accounts. Dergelijke zaken verhogen de kansen op ongeautoriseerde toegang.
De bovenstaande dreigingen hebben allemaal een paar zaken gemeen. Ze hebben allemaal een menselijk aspect bij zich. En zonder enige uitzondering hebben ze allemaal verregaande impact op datgene wat wij als informatiebeveiligingsadepten willen beschermen, namelijk de integriteit, vertrouwelijkheid en beschikbaarheid van jouw organisatie ofwel het beschermen van het bestaansrecht van jouw organisatie.
Sinds de oprichting van onze organisatie in 2019 gingen veel gesprekken over het overbrengen van kennis. Een goede e-learning met een video en een quiz voldeed vaak. Maar kennis is simpelweg niet gelijk aan gedrag. Die vraag evolueert naar: hoe zorgen we ervoor dat het gedrag van onze mensen veiliger wordt en blijft? Dit betekent dat de ‘awareness-vraag’ langzaam verandert in een risico gebaseerde vraag, namelijk: 'hoe werken we aan cyberveilig gedrag?' - en daar zijn we dankbaar voor!