Tijdens het security awareness symposium dat wij onlangs hielden, werd nogmaals benadrukt dat cyberbewustzijn steeds belangrijker wordt in onze strijd tegen de dreigingen van het moderne tijdperk. Toch is het bewustzijn van dreigingen niet iets van de afgelopen jaren. Het heeft diepe wortels, mogelijk teruggaand tot ongeveer 100 voor Christus, dankzij het Caesar-cijfer. Dit eenvoudige cryptografische systeem vervangt elke letter in een bericht door een andere letter die een vast aantal posities verder in het alfabet staat. Op deze manier waren de Romeinen in staat om hun belangrijke documenten en bezittingen te beschermen.
Pas veel later, tijdens de Tweede Wereldoorlog, zagen we de eerste vormen van propaganda waarin burgers werden gewaarschuwd om niet te loslippig te zijn zodat de vijand kon meeluisteren. Denk ook aan de geheime communicatiesystemen, zoals de beroemde Enigma-machine van de nazi’s. Het besef dat deze geheimen van vitaal belang waren voor de oorlogvoering, leidde tot een nieuw bewustzijn, namelijk security awareness. Mensen begonnen te begrijpen dat gevoelige informatie beschermd moest worden tegen vijanden en spionnen.
Na de oorlog werd deze mentaliteit geïntegreerd in de beveiligingsrichtlijnen van overheden en bedrijven, wat de basis legde voor het beschermen van gevoelige informatie en het waarborgen van veiligheid. Denk hierbij bijvoorbeeld aan waarschuwingsbordjes en handleidingen om de veiligheid binnen een fabriek te waarborgen. In de decennia daarna evolueerde de wereld en werd alles digitaal. Al snel volgde de opkomst van op computer gebaseerde trainingssystemen (CBT) om medewerkers bewust te maken van de nieuwste dreigingen en veiligheidsmaatregelen. Een van de grootste uitdagingen was om niet alleen beleid op te stellen, maar ook te investeren in de educatie en training van medewerkers. Cyberbewustzijn kan immers alleen gedijen als alle betrokkenen er actief bij betrokken zijn.
Leer medewerkers begrijpen
De laatste jaren hebben we gezien dat medewerkers vermoeid raken door overmatige trainingen. Steeds vaker merkten bedrijven dat medewerkers lastig te motiveren waren voor de zoveelste training. De focus is daardoor meer verschoven naar meer plezier in het leerproces. Dit heeft geresulteerd in interactieve programma’s die zich richten op storytelling en gamification, waardoor leren over cyberbewustzijn leuk wordt. Dit beloont deelnemers voor het volgen van veiligheidsprotocollen en bevordert een proactieve benadering van cyberveiligheid.
Psychologie speelt hierbij een cruciale rol, omdat het organisaties in staat stelt om het gedrag van hun medewerkers te begrijpen en te beïnvloeden. Een boeiend concept dat hieruit voortkomt is ‘nudging’, waarbij medewerkers subtiel worden gestuurd in de richting van veilige keuzes. Maar denk ook aan het concept van security behavior design. Hierbij worden beveiligingsmaatregelen geïntegreerd in de dagelijkse activiteiten van medewerkers, zodat zij natuurlijk en intuïtief handelen in lijn met de veiligheidsrichtlijnen. Behavior design in het kader van cyberbewustzijn richt zich op het begrijpen en beïnvloeden van menselijk gedrag met betrekking tot cybersecurity. Het onderzoekt hoe mensen reageren op veiligheidskwesties, identificeert gedragspatronen en streeft naar duurzame gedragsverandering. Het uiteindelijke doel is het creëren van een cultuur van veiligheid binnen organisaties, waar medewerkers actief bijdragen aan de bescherming van gegevens en digitale assets. Deze aanpak omvat gedragsanalyse en integratie met technische beveiliging om organisaties te beschermen tegen cyberdreigingen die voortkomen uit menselijk gedrag.
Nieuwe technologieën, zoals ChatGPT en geavanceerde AI-systemen, spelen een steeds grotere rol om behavior design te versterken. Dergelijk technologie biedt gepersonaliseerde educatie en training, waarbij medewerkers relevante informatie ontvangen op basis van hun behoeften en vaardigheden. Bovendien stelt nieuwe technologie organisaties in staat realistische cyberdreigingsscenario’s te creëren, waardoor medewerkers praktische ervaring opdoen en leren hoe ze effectief kunnen reageren op mogelijke dreigingen. Een ander voordeel van deze technologieën is hun 24/7 beschikbaarheid, waardoor medewerkers op elk moment toegang hebben tot informatie en begeleiding. Ze kunnen ook zorgen voor voortdurende bewustwording door regelmatig herinneringen en updates te verstrekken over de laatste bedreigingen en beste beveiligingspraktijken.
Bovendien kunnen nieuwe technologieën helpen bij het analyseren van gedragsgegevens, waarbij patronen worden geïdentificeerd die wijzen op risicovol gedrag. Dit stelt organisaties in staat om gerichte interventies te ontwerpen en gedragsverandering te bevorderen. Tot slot vergroten deze technologieën de toegankelijkheid van cyberbewustzijnsprogramma’s, waardoor medewerkers, ongeacht hun locatie of schema, kunnen deelnemen. Dit verhoogt de betrokkenheid van medewerkers en draagt bij aan effectieve cybersecurity-initiatieven.
Kortom, net zoals cybercriminelen zich blijven ontwikkelen, doen securitybedrijven dat ook. We begonnen met eenvoudige cryptografische technieken zoals het Caesar-cijfer, en door de jaren heen zijn we geëvolueerd. Trainingen rondom cyberbewustzijn blijven evolueren, gedreven door technologische ontwikkelingen, psychologisch inzicht en innovatieve benaderingen om het gedrag van mensen positief te beïnvloeden. Het is essentieel dat we blijven leren en groeien in onze inspanningen om de digitale wereld veilig te houden.
Wilbert Pijnenburg, commercieel directeur CISA, CISSP bij Infosequre
