Hoe bouw je een security awareness programma dat werkelijk iets verandert?

Begin bij risico

Niet iedere organisatie heeft dezelfde menselijke risico's.

Denk aan:

• phishing;
• BEC/factuurfraude;
• omgaan met cliëntgegevens;
• wachtwoorden;
• delen van informatie;
• gebruik van AI-tools;
• thuiswerken;
• melden van incidenten;
• omgaan met leveranciers.

Selecteer onderwerpen op basis van:

• incidenten;
• risicoanalyse;
• functies;
• sector;
• technische controls;
• eerdere metingen.

Dan wordt awareness onderdeel van risicobeheersing.

Segmenteer doelgroepen

Een receptioniste, financieel medewerker, bestuurder en systeembeheerder hebben andere risico's.

Maak daarom doelgroepen.

Bijvoorbeeld:

Alle medewerkers

Basisgedrag, phishing, melden, informatie.

Finance

BEC, betaalfraude, wijziging bankgegevens.

HR

Persoonsgegevens, sollicitaties, identiteitsdocumenten.

IT/beheer

Privileged accounts, social engineering, change control.

Bestuur/directie

Gerichte phishing, crisisbesluitvorming, risicoacceptatie.

Zo wordt training relevanter.

Formuleer gedrag, niet alleen kennis

“Medewerkers kennen phishing” is lastig meetbaar.

Beter:

• medewerkers melden verdachte e-mail;
• finance verifieert rekeningwijzigingen via tweede kanaal;
• medewerkers gebruiken goedgekeurde kanalen voor gevoelige data;
• beheerders gebruiken aparte beheeraccounts;
• incidenten worden binnen afgesproken termijn gemeld.

Dan kun je gedrag observeren en verbeteren.

Gebruik verschillende interventies

Mensen leren niet allemaal via dezelfde vorm.

Combineer bijvoorbeeld:

• korte e-learning;
• phishing simulatie;
• microlearning;
• teamgesprek;
• workshop;
• scenario;
• posters/intranet;
• onboarding;
• managementcommunicatie.

De juiste mix hangt af van risico en doelgroep.

Phishing simulatie: meet meer dan klikpercentage

Klikpercentage is een beperkte maat.

Ik kijk liever ook naar:

• meldpercentage;
• snelheid van melden;
• herhaalde fouten;
• verschillen tussen afdelingen;
• respons na training;
• trend over tijd.

Iemand die niet klikt maar ook nooit meldt, helpt de organisatie minder dan iemand die een aanval actief signaleert.

Meet of het programma werkt

Gebruik een beperkt aantal indicatoren.

Bijvoorbeeld:

• phishing meldpercentage;
• herhaalrisico;
• deelname relevante trainingen;
• incidentmeldingen;
• tijd tot melding;
• awarenessvragen in audits;
• gedragssignalen uit processen.

Koppel indicatoren aan het risico.

Een hoog trainingspercentage is mooi, maar zegt weinig over feitelijk gedrag.

Maak melden makkelijk

Dit is een van de meest praktische verbeteringen.

Als melden ingewikkeld is, melden mensen minder.

Zorg voor:

• duidelijke knop of kanaal;
• snelle terugkoppeling;
• geen schuldtoon;
• herkenbare communicatie;
• eenvoudige instructie.

Meldgedrag is een sterke graadmeter voor veiligheidscultuur.

Gebruik incidenten als leermoment

Een echt incident maakt risico concreet.

Deel waar mogelijk geanonimiseerd:

• wat gebeurde;
• hoe het werd ontdekt;
• wat goed ging;
• wat beter kon;
• welk gedrag hielp.

Dat is vaak geloofwaardiger dan een generieke campagne.

Betrek management

Awareness wordt zwak wanneer management zelf uitzonderingen verwacht.

Bijvoorbeeld:

• spoedbetaling zonder controle;
• wachtwoord delen;
• gevoelige data via privékanalen;
• securityproces omzeilen “omdat het nu snel moet”.

Gedrag van leidinggevenden bepaalt mede wat medewerkers normaal vinden.

Bouw awareness in bestaande processen

Een programma wordt sterker als het niet losstaat.

Integreer awareness in:

• onboarding;
• functiewijziging;
• incidentmanagement;
• leveranciers;
• HR-cyclus;
• risicoanalyse;
• interne controles;
• managementrapportage.

Dan wordt het onderdeel van de organisatie.

Hoe ziet een jaarcyclus eruit?

Een eenvoudige cyclus kan zijn:

Q1

Risicoanalyse, nulmeting, doelgroepen, basisinterventie.

Q2

Phishing/betaalfraude, teamgesprekken, meting.

Q3

Gerichte verdieping per doelgroep, onboardingcheck.

Q4

Scenario-oefening, trendanalyse, managementevaluatie.

Het hoeft niet druk te zijn.

Consistentie is belangrijker dan iedere maand een nieuwe campagne.

Wat rapporteer je aan bestuur/directie?

Ik zou niet rapporteren hoeveel modules zijn verstuurd.

Ik zou laten zien:

• grootste menselijke risico's;
• relevante trends;
• meldgedrag;
• terugkerende kwetsbare groepen/processen;
• incidenten;
• verbeteracties;
• effect van maatregelen.

Dan wordt awareness bestuurlijke risicoinformatie.

Wanneer werkt e-learning wel goed?

E-learning is prima voor:

• basiskennis;
• onboarding;
• herhaling;
• aantoonbaarheid;
• schaalbaarheid.

Gebruik het als onderdeel van het programma.

Niet als complete strategie.

Mijn uitgangspunt

Awareness gaat voor mij uiteindelijk over gewenst gedrag op het moment dat het ertoe doet.

Een medewerker krijgt een verdachte mail.

Een financecollega ontvangt een verzoek om een bankrekening te wijzigen.

Een bestuurder krijgt een spoedverzoek.

Een beheerder moet een uitzondering maken.

Dan wil je dat mensen:

• het risico herkennen;
• weten wat de afspraak is;
• veilig handelen;
• afwijkingen melden.

Dat vraagt meer dan één training.

Wil je eerst zien hoe je huidige awarenessaanpak ervoor staat? Bekijk dan ook het bestaande artikel over cybersecurity awareness training en aantoonbaar veilig gedrag.