Waarom security awareness onderdeel moet zijn van jouw cybersecurity strategie

Technisch op orde, maar toch gehackt 

In de afgelopen jaren zijn er tal van incidenten geweest waarbij een menselijke handeling heeft geleid tot enorme schade. Een voorbeeld hiervan is CEO fraude bij Pathe. Een fraudeursbende deed zich voor als bestuurder van het hoofdkantoor in Frankrijk en vroeg de CEO en CFO van Pathé Nederland om in totaal ongeveer 19 miljoen euro over te maken. De hackers hadden zich zo verdiept in de organisatie waardoor het de bestuurders van Pathé Nederland niet opviel dat het in dit geval om nepmails ging. 

Wat is security awareness?

Security awareness is het trainen van je medewerkers om hen in staat te stellen informatie incidenten, zoals phishing mails en social engineering te voorkomen. Door security awareness maak je je medewerkers bewust, leer je ze hoe ze een datalek moeten herkennen én hoe ze een datalek moeten escaleren.

De cybersecurity strategie

Technisch gezien kan je een heleboel inrichten, maar het feit blijft dat de medewerker vaak nog de zwakste schakel is binnen cybersecurity. Vooral wanneer zij niet getraind zijn en nietsvermoedend gevaarlijke e-mails opvolgen. Security awareness zou daarom standaard onderdeel uit moeten maken van de cybersecurity strategie. Daarnaast vragen steeds meer instanties hier specifiek naar. Onder andere DNB en overheid (via de BIO) verplichten dat organisaties ook trainingen aanbieden op het gebied van informatiebeveiliging en de AVG. Hiervoor moet je inzicht kunnen geven in welke medewerkers deze trainingen succesvol hebben afgerond. 
Tenslotte ben je als organisatie verantwoordelijk over de security kennis en acties van medewerkers. In het geval van Pathé was de medewerker niet getraind in het herkennen van een phishing mail en werd de organisatie verantwoordelijk gesteld. 

De kracht van security awareness 

Security awareness moet top of mind zijn. Niet door een eenmalige workshop of sessie, maar juist door het repeterend op de agenda te zetten. Houd je medewerkers continu scherp! Wij geloven in kleine online interactieve sessies waar medewerkers maximaal 15 minuten bezig zijn met een bepaald onderwerp. 

Om onze klanten verder te helpen maken wij gebruik van het platform van Knowbe4.  Het platform biedt een brede set aan trainingen, games, quizzen en video’s op alle verschillende thema’s binnen cybersecurity. Door middel van Azure AD koppelen we de omgeving van de klant aan het platform zodat we medewerkers kunnen testen op bijvoorbeeld phishing mails. Op basis van deze testuitkomsten, relevante thema’s voor de klant én medewerker kiezen we de juiste training per medewerker en stellen we rapporten op over de voortgang.  Op deze manier creëren we een trainingsprogramma dat past bij het profiel en het niveau van de medewerker. Zo richten we ons samen op de belangrijkste factor binnen cybersecurity: de mens!