Zo verpest je je security awareness-programma – een korte handleiding

Achter de humoristische titel schuilde een serieuze boodschap. Veel organisaties investeren aanzienlijke middelen in security awareness-programma’s, maar slagen er toch niet in om blijvende gedragsverandering te realiseren. Het probleem is vaak niet een gebrek aan inspanning, maar het gebruik van methoden die van nature weinig effect hebben.

De grootste fout: security awareness behandelen als een een malige activiteit

Een vande meest voorkomende manieren om een security awareness-programma te laten mislukken, is het te zien als een project in plaats van een doorlopend proces.

Veelorganisaties vertrouwen nog steeds op jaarlijkse trainingen of incidentele awareness campagnes. Hoewel dergelijke activiteiten kunnen helpen om aan compliance-eisen te voldoen,leiden ze zelden tot duurzame gedragsverandering.

Mensen vergeten dingen. Prioriteiten veranderen. Nieuwe dreigingen ontstaan.

Het creëren van een sterke securitycultuur vraagt om voortdurende versterking en herhaling, niet om losse trainingsmomenten.

Informatie is niet hetzelfde als gedragsverandering

Een andere belangrijke boodschap was het verschil tussen kennis en gedrag.

De meeste medewerkers weten al dat ze niet op verdachte links moeten klikken, geen wachtwoorden mogen hergebruiken en geen gevoelige informatie mogen delen via onveilige kanalen. Toch blijven incidenten plaatsvinden.

Waarom?

Omdat menselijk gedrag wordt beïnvloed door gewoonten, context, stress, werkdruk en sociale factoren. Alleen informatie geven leidt niet automatisch tot veiliger gedrag.

Het doel van security awareness moet daarom zijn om dagelijks gedrag te beïnvloeden, niet alleen om kennis over te dragen.

Stop met meten wat gemakkelijk te meten is

Security awareness-programma’s worden vaak beoordeeld op basis van cijfers die eenvoudig te verzamelen zijn, maar weinig zeggen over daadwerkelijke risicoreductie.

Voltooiingspercentages, deelnamecijfers en quizresultaten laten zien dat mensen hebben meegedaan, maar zeggen weinig over hoe zij handelen wanneer zij met een echte dreiging worden geconfronteerd.

Organisaties zouden zich daarom meer moeten richten op gedragsindicatoren en langetermijnveranderingen dan op eenvoudige activiteitsmetingen.

Security awareness moet onderdeel zijn van het dagelijkse werk

Een terugkerend thema in de presentatie was het belang van leren als onderdeel van de dagelijkse werkpraktijk.

Lange trainingssessies concurreren met de primaire werkzaamheden van medewerkers en worden vaak snel vergeten. Korte, relevante en regelmatige leermomenten hebben veel meer kans om te blijven hangen en toegepast te worden wanneer het er echt toe doet.

Dit is ook een van de kernprincipes achter NanoLearning: kleine, behapbare leermomenten aanbieden die security awareness het hele jaar door top-of-mind houden.

Het opbouwen van een securitycultuur kost tijd

Misschien wel de belangrijkste conclusie was dat er geen snelle oplossing bestaat.

Het opbouwen van een sterke securitycultuur vraagt om consistentie, herhaling, steun vanuit het management en een realistisch begrip van hoe mensen leren en hun gedrag veranderen.

Organisaties die security awareness zien als een voortdurende reis in plaats van een compliance-activiteit, hebben een veel grotere kans om blijvende resultaten te behalen.

Samenvatting

In zijn presentatie stelde Arno van den Hof een aantal veelvoorkomende aannames over security awareness ter discussie. In plaats van uitsluitend te focussen op kennisoverdracht, zouden organisaties zich moeten richten op duurzame gedragsverandering door middel van continu leren, relevante boodschappen en regelmatige herhaling.

Met andere woorden: als je wilt voorkomen dat jeje security awareness-programma verpest, moet je stoppen met het zien als training – en beginnen het te zien als gedragsverandering

‍

Bekijk hier Arno van den Hofs volledige presentatie van Cybersec Europe:

‍