Het gevaar van cybersecurity komt niet altijd van buiten. Onschuldige en kwaadwillende medewerkers creeren risico s voor organisaties. Gelukkig passen organisaties maatregelen toe om het risico te verminderen. En het belangrijkste daarbij? Meten, bijvoorbeeld om een training aan te sluiten op de risicoscore van een medewerker. Dat is noodzakelijk, want niet iedereen leert even snel, aldus Sander Heinhuis, Security and Compliance Director bij PQR.

Het onderbelichten van de menselijke kant, is de tekortkoming van technologie gerichte security, begint Sander Heinhuis het gesprek. Hij maakt direct het statement dat als de menselijke kant onderbelicht blijft, de nieuwste maatregelen en technologie niet genoeg helpen om datalekken en bijvoorbeeld ransomware tegen te houden. De mens is dan echt de zwakste schakel.

Per ongeluk of met opzet?
Als het gaat om de menselijke kant van cybersecurity, dan zijn er grofweg twee manieren waarop het misgaat. De eerste is de onoplettende en onbewuste medewerker die per ongeluk op een verkeerde link klikt. De tweede is een kwaadwillende medewerker die ontevreden is en op het punt staat om te vertrekken. Dit wordt ook wel Insider Risk Management genoemd.

Om met het eerste te beginnen: Wij vinden het vanuit PQR het allerbelangrijkst om bewustzijn te ontwikkelen in de organisatie. En dan niet alleen bij de systeembeheerder of IT manager, maar ook op directieniveau om een breder begrip te creeren over de psychologische maatregelen die je implementeert om gedrag te veranderen. Het gedrag dat medewerkers niet op een linkje klikken of geld overmaken naar iemand die ze niet kennen.

Investeren in gedragsverandering
Sommige organisaties gaan over op het straffen van medewerkers als ze verkeerd gedrag vertonen, maar volgens Heinhuis is dat niet nodig. Als je investeert in gedragsverandering en die verandering meet, dan weet je wat je naast het implementeren van technologie moet doen om security awareness te vergroten. Daarom trainen wij medewerkers op het kennisniveau dat ze hebben en het risico dat ze daardoor lopen.

Het aanpassen van de training op het kennisniveau en de risicoscore van een medewerker is cruciaal voor het succes ervan, vertelt Heinhuis. Wat je doet is het veranderen van gedrag en dat heeft tijd nodig. Een jaarlijkse training of zelfs een langdurige training met een vastgestelde einddatum is ontoereikend. Inzichten en bedreigingen veranderen bijna dagelijks en daarom is een continue training die steeds wordt aangepast noodzakelijk.

Deze versturen we 3-4x per jaar.