Geef je werknemers meer verantwoordelijkheid voor cybersecurity

Terwijl het voor de meeste bedrijven wel duidelijk is dat ze zich moeten wapenen tegen cyberaanvallen, zien we dat ook bij de mensen zelf het bewustzijn rond security eindelijk begint te groeien, schrijft Edwin Weijdema van Veeam. Voor organisaties is dit een unieke kans om een groter stuk van de verantwoordelijkheid bij hun medewerkers te leggen. Op voorwaarde dat ze over de juiste tools en training beschikken.

Steeds meer mensen werken ondertussen meerdere dagen per week vanuit hun thuiskantoor. Dat zorgt ervoor dat het cybersecurityverhaal zich verder buiten de bedrijfsmuren verplaatst, maar gelukkig begrijpen de meeste gebruikers intussen dat ze een belangrijke schakel in de beveiligingsketen vormen en zijn ze ook bereid om hun verantwoordelijkheid op te nemen.

Die mentaliteitswijziging biedt uiteraard opportuniteiten voor organisaties. Investeren in technologie is immers niet voldoende als je de mensen in je bedrijf niet meekrijgt. Risico’s kan je nooit helemaal uitsluiten en daarom is het belangrijk dat je medewerkers weten hoe ze moeten reageren als er zich een incident voordoet. Want dat het ooit fout zal gaan, is inmiddels een zekerheid geworden.

Dat besef is nu ook tot in de bestuurskamer doorgedrongen. Op korte termijn mogen we zelfs verwachten dat security een vast onderdeel van elke jobomschrijving zal worden. Daarin zal haast letterlijk staan dat mensen een bepaald niveau van cyberbewustzijn moeten hebben en dat ze verantwoordelijk zijn om dit up-to-date te houden. Natuurlijk kan dat alleen maar als je als werkgever de handvaten hiervoor aanreikt.

Awareness en training

Hoe pak je dit dan precies aan? Er zal een soort van wisselwerking moeten komen, waarbij bedrijven meer investeren in tools en training, zodat mensen een actievere rol kunnen opnemen. Deze aanpak bestaat uit twee niveaus. In de eerste plaats moet er bewustzijn gecreëerd worden, want nog steeds zijn er werknemers die niet goed weten wat de risico’s precies zijn. Hiervoor zou je bijvoorbeeld een hacker kunnen inhuren die kan tonen hoeveel schade een klein foutje in slechts enkele minuten tijd kan aanrichten en hoe een snelle reactie van de gebruiker veel van die schade kan voorkomen.

In heel wat organisaties stopt het bij die awareness-training, maar je moet er ook een vervolg aan breien in de vorm van oefeningen. Uiteindelijk houden we toch ook jaarlijks een brandoefening, zodat iedereen weet wat er in een noodscenario moet gebeuren. Waarom zouden we dan niet iets gelijkaardigs voor cybersecurity doen? Security is een topic dat voortdurend aandacht moet krijgen. Je zou zelfs een ‘champions’-team kunnen samenstellen, een groepje werknemers die dankzij extra training meer kennis van security hebben en collega’s op de werkvloer kunnen coachen.

Wie dit goed doet, zal al gauw merken dat de meeste medewerkers meer dan ooit openstaan voor dit soort trainingen. Uiteindelijk zullen de kennis en skills niet alleen op kantoor van pas komen, maar is het ook in de privésfeer nuttig om te weten hoe je met cyberdreigingen moet omgaan. Niemand wil dat een hacker morgen met z’n slimme thermostaat begint te spelen. Of dat een slecht beveiligd toestel ervoor zorgt dat je bankrekening wordt geplunderd. Een goed opgeleid persoon zal die lijn bovendien doortrekken naar de opvoeding van z’n kinderen. Uiteindelijk spelen ook zij op jonge leeftijd al met een smartphone en kunnen we op die manier een meer cyberbewuste generatie opvoeden.

De belangrijkste cybersecuritytrend voor 2023 heeft dus niets te maken met nieuwe technologie. Wel is het een boodschap die we eigenlijk al meer dan tien jaar aan het verkondigen zijn: de mens is de sleutel tot de oplossing. Het grootste verschil met een tijdje terug is dat die mensen intussen ook zelf nieuwsgierig zijn en willen weten wat ze kunnen doen om hun steentje bij te dragen. En dat is een kans die je als bedrijf niet mag laten liggen.