Rond de 90% van alle cyberaanvallen richt zich op de mens. Door mensen te manipuleren (social engineering) proberen cybercriminelen toegang te krijgen tot persoonlijke of bedrijfsgevoelige data. Security awareness-training helpt mensen online gevaren beter te begrijpen en leert hen onder meer welke tactieken cybercriminelen gebruiken om mensen te manipuleren. Hoe relevanter en persoonlijker de trainingscontent, hoe beter een trainingsprogramma aanslaat bij de deelnemer. De opmars van (generatieve) kunstmatige intelligentie (AI) leidt tot tal van nieuwe mogelijkheden om security awareness-trainingen te verbeteren. In dit artikel deel ik enkele voorbeelden van hoe (generatieve) AI kan helpen om security awareness-trainingen te verrijken of automatiseren.
1. Relevante, tailor-made situaties gebruiken in trainingscontent
Een effectief trainingsprogramma bestaat uit verschillende soorten trainingsvormen zodat mensen kunnen kiezen voor het type training dat overeenkomt met hun favoriete manier van leren. Veel mensen vinden het fijn om een video te kijken als trainingsmethode. Met generatieve AI kan veel sneller videocontent van hoge kwaliteit worden gegenereerd. Filmen op locatie met een of meerdere acteurs is niet langer een vereiste. Met behulp van generatieve AI kunnen producenten veel meer video’s creëren en dus ook veel meer onderwerpen aansnijden. Is er bijvoorbeeld een nieuwe tactiek die cybercriminelen toepassen, dan kunnen ze daar veel sneller een trainingsvideo over maken. En die trainingscontent is met behulp van generatieve AI ook weer makkelijk aan te passen voor verschillende doelgroepen. Denk aan het visualiseren van herkenbare situaties voor medewerkers met verschillende jobprofielen. Hoe persoonlijker de trainingscontent, hoe relevanter.
2. Avatars voor trainingscontent met meer autoriteit en dus overtuigingskracht
Training is veel meer dan het overbrengen van informatie: het moet uiteindelijk leiden tot gedragsverandering. Het gebruiken van een herkenbare avatar in trainingen kan helpen bij het verhogen van de didactische waarde. De ontwikkeling van generatieve AI is inmiddels zo ver dat het vrij eenvoudig is om deepfakes te maken van mensen: filmpjes die ze zelf nooit hebben opgenomen en die niet of nauwelijks van echt te onderscheiden zijn. Het sentiment rondom deepfakes is negatief, omdat mensen ze met verkeerde intenties kunnen maken. Maar deepfakes kunnen ook worden gebruikt om trainingscontent te maken waarin een avatar van bijvoorbeeld de CEO of CISO van een bedrijf, of een alom gerespecteerde cybersecurity-specialist aan het woord is. Het idee hierachter is dat een bekend gezicht met veel status en autoriteit een boodschap met meer overtuigingskracht kan overbrengen op medewerkers dan wanneer een willekeurige acteur het filmpje inspreekt.
3. Detectie van onveilig gedrag gebruiken voor realtime training en het optimaliseren van trainingen
Hoe meer trainingen zijn gebaseerd op situaties die medewerkers herkennen in hun dagelijks werk, hoe relevanter de training wordt. Bovenstaande toepassingen van (generatieve) AI gaan daarbij helpen. Maar de trainingen worden nóg relevanter als ze niet langer uitgaan van een fictieve situatie maar van een gebeurtenis die daadwerkelijk heeft plaatsgevonden. AI kan worden toegepast om medewerkers in realtime te trainen op basis van hun eigen gedrag. Denk aan een HR-medewerker die per ongeluk klikt op een linkje van een cv in een phishing-e-mail. Op het moment dat de beveiligingstool van het bedrijf dit als incident herkent, kan met behulp van generatieve AI meteen een korte trainingsvideo worden gecreëerd waar de specifieke phishing-mail die de medewerker heeft gezien meteen in wordt verwerkt, waarna die video ook meteen wordt gedeeld. Deze training wordt relevant omdat de medewerker zich herkent in de situatie en daardoor meer openstaat voor de informatie in de trainingsvideo. De mogelijkheden van AI gaan zelfs nog verder dan deze vorm van nudging. Door over een langere periode het gedrag van medewerkers te meten kan AI ook helpen bepalen welke onderwerpen meer aan bod moeten komen in trainingen. Met als resultaat een trainingsprogramma dat niet langer wordt samengesteld op basis van onderbuikgevoelens, maar op basis van keiharde data.
Jelle Wieringa, Security Awareness Advocate bij KnowBe4
