Tijdens een bijeenkomst hoorde ik laatst weer iemand zeggen "de mens is de zwakste schakel." Dat hoor ik inmiddels al minstens tien jaar (en eerlijk is eerlijk: dat heb ik zelf vroeger ook geroepen). Maar volgens mij houden we onszelf al jaren hetzelfde verhaal voor.
Natuurlijk maken mensen fouten. Jij, ik, de collega die vanochtend op een phishinglink klikte. Dat is niks nieuws. Wat mij verbaast, is dat we daar binnen cybersecurity nog steeds verrast over doen.
Dus wat doen organisaties? Ze richten er complete programma's op in om medewerkers bewust te maken van de risico’s die er zijn. Genoeg trainen, genoeg nep-phishingmails sturen, vaak genoeg herhalen dat mensen alert moeten zijn en dan komt het goed, en worden organisaties steeds veiliger. Klinkt logisch, maar ik geloof er steeds minder in. Of nou ja, ik geloof er wel in, maar niet als de heilige graal waar we het nu voor aanzien. Met als gevolg dat er al lange tijd naar de verkeerde oplossing voor het probleem wordt gekeken.
Laat ik duidelijk zijn: medewerkers bewust maken van de risico’s van cyber is zeker geen onzin. Medewerkers krijgen dagelijks te maken met phishingmails, verdachte telefoontjes, WhatsApp-fraude en gevoelige informatie. Het is dus verstandig dat zij begrijpen welke risico's daarbij horen.
Maar de grootste waarde van awareness zit wat mij betreft niet in het voorkomen van fouten. Die waarde zit in het herkennen en het melden van afwijkingen. Een medewerker die denkt "dit klopt niet helemaal" en vervolgens aan de bel trekt, is vaak waardevoller dan een medewerker die alle theorie uit zijn hoofd kent.
Daarnaast draagt awareness bij aan een cultuur waarin beveiliging bespreekbaar wordt. Je wilt niet dat medewerkers bang zijn om fouten te maken. Je wilt dat ze incidenten melden zodra ze iets verdachts zien. Dáár zit de echte kracht van awareness.
Het probleem ontstaat wanneer organisaties deze bewustwording gaan zien als dé oplossing voor cyberrisico's.
Ik kom regelmatig organisaties tegen die volop phishing-campagnes organiseren, verplichte e-learnings uitrollen en trots hun awareness-scores op een dashboard laten zien.
Maar ondertussen is multi-factor authenticatie (MFA) nog altijd niet op alle systemen ingevoerd, draaien kritische systemen gewoon door op verouderde software, hebben gebruikers meer rechten dan ze eigenlijk nodig hebben, ontbreekt segmentatie in het netwerk en wordt er nauwelijks gekeken naar afwijkend gedrag.
Dan vraag ik mij weleens af of we wel met de juiste dingen bezig zijn. Want als fundamentele beveiligingsmaatregelen ontbreken, blijf je met awareness vooral symptomen bestrijden in plaats van het grotere probleem.
Of misschien beter gezegd: de mens is niet het probleem. Het systeem is het probleem. De uitspraak "de mens is de zwakste schakel" wordt vaak gebruikt om verantwoordelijkheid af te schuiven. Zodra een medewerker op een phishingmail klikt, wijzen we naar de medewerker. We noemen het een menselijke fout, roepen om meer training, meer bewustwording.
Maar stel eens een andere vraag: waarom kon die ene klik überhaupt zoveel schade aanrichten? Er was geen multi-factor authenticatie ingericht. De medewerker had toegang tot systemen die hij helemaal niet nodig zou hebben. En niemand zag dat er iets vreemds gebeurde in het netwerk, laat staan dat de malware werd tegengehouden voordat die zich verder kon verspreiden.
Dat zijn de vragen waar het wat mij betreft echt om draait en waar er voor veel organisaties nog grote verbeterpunten liggen. Want dan gaat het niet meer over een medewerker die een fout maakte, maar over keuzes die de organisatie zelf gemaakt heeft.
Digitale veiligheid is een van de weinige vakgebieden waarin we lijken te verwachten dat mensen foutloos functioneren. In het verkeer accepteren we dat bestuurders fouten maken. Daarom bouwen we auto's met airbags en plaatsen we vangrails langs de weg.
Maar binnen cybersecurity verwachten we soms dat medewerkers tussen honderden e-mails precies die ene perfect nagemaakte phishingmail herkennen. En als dat niet lukt, concluderen we dat er meer training nodig is. Dat is best een merkwaardige redenering. Zeker nu cybercriminelen steeds professioneler worden en AI gebruiken om nog geloofwaardigere aanvallen op te zetten.
Veel organisaties sturen op phishingscores om te toetsen hoe kwetsbaar de organisatie of medewerker is voor phising. Begrijpelijk, maar uiteindelijk zegt zo'n percentage verrassend weinig.
De vraag die ertoe doet is niet óf iemand klikt, maar wat er daarna gebeurt, want vroeg of laat gebeurt dat altijd. Niet omdat medewerkers dom zijn, maar omdat mensen nu eenmaal mensen zijn.
Dát bepaalt de weerbaarheid van een organisatie, en niet het percentage in het dashboard.
Het creëren van bewustwording in je organisatie is geen wondermiddel. Het is geen vervanging van technische beveiliging, goed toegangsbeheer of monitoring. Het is één van de maatregelen die samen de weerbaarheid van een organisatie bepalen. Net als governance, processen, technologie, back-ups en incident response. Juist daarom hoort awareness thuis binnen integraal security management.
Niet meer en niet minder!
De grootste waarde zit niet in het voorkomen van menselijke fouten, want die strijd ga je verliezen. De grootste waarde zit in medewerkers die risico's herkennen, incidenten melden en begrijpen waarom beveiligingsmaatregelen vanuit de kern bestaan.
Dus heeft security awareness zin? Absoluut! Maar niet als dé heilige graal voor cyberrisico's.
Mensen blijven fouten maken. Dat is geen tekortkoming, maar een gegeven. Wie zijn beveiliging laat leunen op perfect menselijk gedrag, bouwt iets kwetsbaars. De weerbare organisaties zijn degene die gewoon accepteren dat mensen fouten maken, maar daar wel hun beveiliging op inrichten.
Want uiteindelijk geldt:
Als één verkeerde klik je hele organisatie platlegt, heb je geen awarenessprobleem. Dan is het tijd om kritisch naar de basis van je beveiliging te kijken.