Handvatten voor een digitale veiligheidscultuur

Ransomware waarbij data ontoegankelijk is totdat je losgeld betaalt en social engineering aanvallen, waarbij hackers toegang tot systemen krijgen via échte medewerkers baren de grootste zorgen. Nu op afstand digitaal werken steeds meer gemeengoed wordt, wakkeren deze ontwikkelingen de noodzaak om een digitaal veiligheidsbeleid aan. Niet alleen bij grote organisaties, maar juist het mkb wordt gezien als toegangspoort voor cybercriminelen om toeleveringsketens te ontwrichten. 88% van de respondenten die heeft meegedaan met de Global Security Outlook stelt bezorgd hierover te zijn. Met het een digitale veiligheidscultuur vergroot je het besef van cybercriminaliteit bij medewerkers waardoor de kans op schade afneemt. 

De ingrediënten van een cyberbeveiligingscultuur zijn de waarden, kennis, opvattingen, houdingen en acties van je bedrijf gecombineerd met technische beveiligingscontroles en begrip van digitale bedreigingen.

Wat heb je nodig?

Wil je een goede digitale veiligheidscultuur opbouwen, zorg dan dat het hoogste management er achter staat. Vervolgens maak je iemand verantwoordelijk voor het beheer van het trainingsprogramma. Neem daarna de volgende stappen: 

• Wijs de juiste mensen om het programma uit te voeren 
• Meet veiligheidsbehoefte van je organisatie 
• Stel doelen
• Breng acties in kaart om het doel te bereiken 
• Stel je datums in waarop de verschillende acties starten en stoppen 
• Bepaal je de kpi’s 
• Definieer je succes 

Een veiligheidscultuur bouw je gezamenlijk op dus leg je die niet van boven op. Het team dat het programma leidt, is daarom een mix verschillende functies. Elk teamlid is bekend met de doelen van de organisatie maar ook de potentiële bedreigingen. Dit geldt zowel voor kleine dreigingen als voor gerichte aanvallen. 

Gap-analyses

Het is moeilijk om je doel te bereiken als je niet weet waar je staat als het gaat om een digitale veiligheidscultuur. Voer daarom een gap-analyse uit om het verschil inzichtelijk te maken in waar je nu staat en het doel. Houd interviews, bekijk documentatie, veiligheidshandleiding, veiligheidsbeleid en doe willekeurige steekproeven om erachter te komen wat werkt en wat niet. 

Het heeft weinig nut om een ​​beveiligingstests met kennis opgedaan uit een e-learningcursus over phishing-aanvallen. En het heeft evenmin zin om een accountmanager een inleiding tot het configureren van een firewall te geven. Voer een gap-analyse uit om de verschillende afdelingen en activiteiten in kaart brengen waarvan je denkt dat ze het meeste effect hebben.

Zo vergroot je het veiligheidsbesef in je organisatie

Er zijn veel soorten activiteiten om te achterhalen waar je staat en wat beter kan. Welke methode je ook kiest, stel kpi’s om te zien of je het doel hebt bereikt. Maar zorg ook voor een fun element. Hieronder vind je een overzicht van activiteiten die helpen om veiigheidsbesef te vergroten

• Games: misschien wel de duurste techniek die je kunt gebruiken om leren en communicatie te stimuleren, maar ook duidelijk de meest effectieve en originele. Het kunnen zowel computerspellen als bordspellen zijn. De kosten en complexiteit van het ontwikkelen van games zijn tegenwoordig lager dan ooit. Er zijn tal van boeken en gebruiksaanwijzingen voor games die zijn geschreven in Python, JavaScript, HTML5, C #, Java en nog veel meer. Wat dacht je van een multiplayer-game om op bepaalde tijden in te springen om wat puzzels op te lossen met collega’s? Of wat dacht je van een kaartspel als CPU Wars dat geen insteltijd vereist en tijdens de lunch kan worden gespeeld? Als je zoiets ontwikkelt, kan het ook worden gebruikt op stands op congressen, websites en voor werving van personeel. 
  
• Video: met video’s gemaakt met je smartphone kan je al eenvoudig het veiligheidsbesef vergroten. Maak leuke en relevante video’s en verspreid deze via interne communicatiekanalen en deel deze met klanten. 
  
• Speurtocht: maak van een evenement een op thema’s gebaseerde teambuildingoefening. Verdeel de medewerkers in groepjes en ga op speurtocht met leuke oefeningen en lekkere drankjes en hapjes. Wat mensen het beste onthouden, zijn goede ervaringen met anderen. 

• Penetratietesten: huur een specialist in die zowel de huidige fysieke beveiliging, de goodwill van de werknemers als je openbare systemen test. Er zijn bedrijven die dergelijke tests aanbieden als onderdeel van een training. Worden deze tests correct uitgevoerd, kan dit een zeer effectief en plezierig leerproces zijn. 
  
• Lezingen: Zet goede sprekers in die spannende verhalen kunnen vertellen over IT-beveiliging. 
  
• Workshops: Houd workshops waar groepen een specifieke taak met betrekking tot veiligheid zullen oplossen. Geef ze inzicht in waarschijnlijkheid en gevolgen, en hoe dit is gekoppeld aan vertrouwelijkheid, integriteit, beschikbaarheid en de zakelijke gebieden van het bedrijf. 
  
• Posters en flyers: Hang posters op in de bedrijfsruimten. De inhoud van de posters werkt het beste met humor en het minst met strikte bevelen. Liefst posters met zelfironie. Die posters maken je medewerkers bijvoorbeeld bewust van het vergrendelen van hun pc of laptop voordat ze naar het toilet gaan of gaan lunchen. Ook kan je flyers uitdelen met tips over het instellen van tweefactorauthenticatie op  privé accounts, het gebruik van fysieke beveiligingsproducten. 
  
• Prestatiebadges: beloon degenen die veiligheidsadviezen opvolgen. Geef ze badges als ze vreemde e-mails melden, vreemde dingen op de laptop vinden, een collega eraan herinneren dat hij of zij de computer moet vergrendelen of iets dergelijks.
  
• Webinar en e-learning cursus: Huur specialisten in op verschillende vakgebieden die kunnen praten over cybersecurity. Webinars en cursussen kunnen op het intranet worden opgeslagen, zodat iedereen ze op een of ander moment kan zien.

Levend proces

Een effectief veiligheidscultuurprogramma is een levend proces is en altijd zichtbaar en makkelijk vindbaar voor medewerkers. Degenen die het programma beheren, overleggen regelmatig met het management en rapporteren over de stand van zaken. Heb je een digitale veiligheidscultuur dan is de kans het kleinst dat jouw bedrijf te maken krijgt met succesvolle digitale aanvallen.