Een phishingmail herkennen. Niet zomaar op een link klikken. Een verdachte inlogpoging melden. Weten wat je moet doen als je tóch ergens je gegevens hebt ingevuld. Het zijn kleine handelingen, maar bij cybersecurity kunnen ze een groot verschil maken.
Toch wordt Security Awareness nog regelmatig gezien als iets wat ‘erbij hoort’. Een jaarlijkse training, een phishingtest en klaar. Terwijl juist medewerkers iedere dag beslissingen nemen die invloed hebben op de digitale veiligheid van een organisatie.
De vraag is daarom niet alleen wat Security Awareness kost. Veel interessanter is: wat kan het je organisatie opleveren?
Medewerkers zijn onderdeel van je beveiliging
Organisaties investeren in technische beveiligingsmaatregelen om aanvallen buiten de deur te houden. Maar techniek kan niet iedere menselijke handeling voorkomen.
Een medewerker ontvangt een overtuigende phishingmail. Een bekend ogende afzender vraagt om snel ergens in te loggen. Er wordt telefonisch gevraagd om informatie. Of iemand merkt iets vreemds op, maar weet niet of het belangrijk genoeg is om te melden. Op zulke momenten maakt bewustwording het verschil.
Security Awareness draait daarom niet alleen om medewerkers leren wat ze níét moeten doen. Het gaat er juist om dat zij risico’s leren herkennen, weten hoe ze moeten handelen en begrijpen wanneer ze iets moeten melden. Want ook als er een fout wordt gemaakt, kan snel herkennen en melden ervoor zorgen dat er eerder wordt ingegrepen.
Een incident voorkomen is één ding. De impact beperken is minstens zo belangrijk
Geen enkele awareness-aanpak kan garanderen dat er nooit meer iemand op een verkeerde link klikt. Mensen blijven mensen. Het doel is daarom niet om van iedere medewerker een securityspecialist te maken. Het doel is om de kans op succesvolle aanvallen te verkleinen én ervoor te zorgen dat medewerkers sneller herkennen wanneer er iets niet klopt.
Dat kan op meerdere manieren waarde opleveren. Een aanval die wordt herkend voordat gegevens worden ingevoerd, hoeft geen incident te worden. Een fout die direct wordt gemeld, kan sneller worden onderzocht en opgevolgd. Daarmee kan worden voorkomen dat een aanvaller langer toegang houdt of een probleem zich verder door de organisatie verspreidt.
En dat is relevant. Want bij een security-incident gaat het niet alleen om het herstellen van een account of apparaat. Een incident kan ook leiden tot uitval van systemen, onderzoek en herstelwerkzaamheden, productiviteitsverlies en mogelijk reputatieschade.
Voorkomen waar het kan en sneller handelen wanneer het toch misgaat, is daarom een belangrijk onderdeel van digitale weerbaarheid.
Security Awareness is geen eenmalige training
Een jaarlijkse training afvinken en ervan uitgaan dat medewerkers de rest van het jaar cyberbewust handelen, is wat ons betreft te eenvoudig. Cyberdreigingen veranderen continu. Aanvallers passen hun werkwijze aan en phishingberichten worden steeds overtuigender. Tegelijkertijd verandert ook de organisatie zelf: nieuwe medewerkers starten, systemen veranderen en bestaande kennis zakt na verloop van tijd weg.
Bewustwording vraagt daarom om herhaling.Denk aan terugkerende awareness-trainingen, gesimuleerde phishingaanvallen en momenten waarop medewerkers worden meegenomen in actuele risico’s. Niet om mensen af te rekenen wanneer ze een fout maken, maar om veilig gedrag steeds vanzelfsprekender te maken.
Kun je Security Awareness meten?
Bewustwording klinkt misschien als iets abstracts. Toch kun je de ontwikkeling ervan wel degelijk volgen. Bij klanten die gebruikmaken van onze dienst Phishing & Awareness kijken we onder andere naar de Behavioural Risk Score (BRS). Deze score geeft inzicht in gedrag rondom security en maakt ontwikkeling over een langere periode zichtbaar. Bij deze klanten zien we een positieve ontwikkeling in die score.
Dat vinden we belangrijk, omdat Security Awareness daarmee verder gaat dan alleen aantonen dat medewerkers een training hebben gevolgd. Je wilt uiteindelijk weten of gedrag daadwerkelijk verandert en of de weerbaarheid van de organisatie verbetert. Juist door periodiek te meten, kun je zien waar extra aandacht nodig is en awareness daarop aanpassen.
Ook wet- en regelgeving vraagt aandacht voor bewustwording
Security Awareness is bovendien niet alleen een verstandige investering in de weerbaarheid van een organisatie. Cybersecuritywetgeving legt ook nadrukkelijk verantwoordelijkheid bij organisaties én hun bestuurders.
Binnen de NIS2-richtlijn wordt onder andere aandacht besteed aan cybersecuritytraining voor bestuurders en medewerkers. Daarnaast behoren basismaatregelen rondom cyberhygiëne en cybersecuritytraining tot de maatregelen waarmee organisaties hun digitale risico’s moeten beheersen.
Met de Nederlandse Cyberbeveiligingswet wordt de NIS2-richtlijn verder in nationale wetgeving uitgewerkt. Maar ook als jouw organisatie niet rechtstreeks onder deze wetgeving valt, kun je ermee te maken krijgen. Cybersecurity wordt namelijk steeds meer een ketenverantwoordelijkheid. Klanten, leveranciers en samenwerkingspartners kunnen eisen stellen aan de digitale weerbaarheid van organisaties waarmee zij samenwerken.
Security Awareness is daar een belangrijk onderdeel van. Want uiteindelijk gaat het niet alleen om voldoen aan wet- en regelgeving of eisen vanuit de keten, maar om hoe weerbaar je organisatie daadwerkelijk is.
Dus: kostenpost of investering?
Security Awareness kost tijd en geld. Daar hoeven we niet ingewikkeld over te doen. Maar alleen kijken naar de kosten van training vertelt maar een deel van het verhaal.
De andere kant bestaat uit incidenten die mogelijk worden voorkomen, fouten die eerder worden herkend, sneller handelen wanneer iets misgaat en medewerkers die beter begrijpen welke rol zij zelf spelen in de digitale veiligheid van hun organisatie.
Goede security heeft een prijs. Een security-incident ook.
Daarom zien wij Security Awareness niet als een losse training of verplicht vinkje, maar als een structureel onderdeel van een bredere securityaanpak.
Want hoe goed je technische beveiliging ook is ingericht: uiteindelijk zijn het ook de mensen binnen je organisatie die iedere dag bijdragen aan je digitale weerbaarheid.
Hoe staat het met het securitybewustzijn binnen jouw organisatie?
We denken graag mee over hoe je bewustwording structureel onderdeel maakt van je securityaanpak.
Plan een vrijblijvend gesprek in en ontdek wat Nedvice voor jouw organisatie kan betekenen.
