Neem het security awareness programma op in het informatiebeveiligingsplan

In de praktijk betekent er verwacht wordt dat er is een security awareness programma is opgenomen in het informatiebeveiligingsplan en dat dit organisatie breed wordt uitgevoerd. Belangrijk is dat het doel beschreven wordt en hoe je dit gaat meten. Waarschijnlijk zal je meerdere metingen hanteren om tot je hoofddoel te komen. Wanneer je dit doet en allerlei security awareness activiteiten uitvoert zoals phishing, workshops, trainingen en lezingen, dan zit je al redelijk in de buurt van een volwassenheid van niveau drie. Dat vraagt dat je security awareness programma is gedocumenteerd, op een formele manier wordt uitgevoerd en dat het aantoonbaar en effectief is.

Boven honderd medewerkers ontkom je niet aan een online e-learning programma

Voor volwassenheidsniveau vier wordt er een verbetering verwacht. Je hebt immers voor niveau drie je meting gedaan en de effectiviteit beoordeeld. En wat blijkt niet iedereen heeft meegedaan aan het programma en voor niveau vier is het nodig dat iedereen de security awareness activiteiten succesvol heeft doorlopen waarbij de kennis is getoetst. Dat dit wordt bewaakt en gerapporteerd aan senior management. In een organisatie met minder dan 100 medewerkers zou je dit kunnen doen door fysieke trainingen op de afdelingen te geven, maar boven de 100 ontkom je niet aan een online e-learning programma inclusief toetsen. Probeer wel in je programma fysieke contact momenten in te bouwen naast de onlinetrainingen, door bijvoorbeeld bij de afdelingen langs te gaan, lezingen en workshops te organiseren of de week van de security te houden.

Toon de effectiviteit aan

Het zou mooi zijn als je het effect van je security awareness programma regelmatig kunt meten en kan bijsturen. Niet alleen het effect op de kennis over security risico’s en het beleid en procedures van de organisatie, maar ook het effect op de security incidenten. De correlatie van deze incidenten en jouw programma vergt wat tijd en denkwerk, maar je zult snel zien dat je hiermee organisatie breed de effectiviteit van het programma kunt aantonen.