Nog niet bij iedere organisatie wordt security awareness training gedaan. En als het wel gebeurt, dan blijkt in de praktijk dat de resultaten tegenvallen. Met de komst van de algemene verordening gegevensbescherming, afgekort AVG, zijn steeds meer bedrijven zich bewust dat ze een verantwoordelijkheid hebben. Ze moeten meer doen aan de security- en privacy kennis van hun medewerkers. De risico’s rondom cybersecurity en het lekken van persoonsgegevens is inmiddels zo groot, dat het bewustzijn hiervan alleen onvoldoende is. Hierdoor moeten medewerkers de volgende stap maken; van bewust naar competent. De trainingsprogramma’s moeten daarom leiden tot gedragsverandering.

We willen juist de gedragsverandering meten

Veel van de huidige security awareness training meten de kennis per medewerker. Terwijl we juist de gedragsverandering willen meten. Organisaties kiezen vaak voor e-learning. Hierbij krijgt de medewerker wat theorie gevolgd door wat vragen. En meestal gepresenteerd met animaties, die al na een module gaan vervelen. Daarnaast vindt 93% van de medewerkers het onderwerp security niet interessant. Daar bovenop stellen veel bedrijven security awareness verplicht. Met als resultaat dat de motivatie om überhaupt aan de training te beginnen compleet weg is.

In werkelijkheid heeft niemand een idee waar het over gaat

Wat je vervolgens bij veel bedrijven ziet is dat medewerkers de antwoorden aan elkaar doorgeven. Hierdoor leren ze niks. Ook zie je dat het doen van de training zo lang mogelijk uitgesteld wordt, in de hoop dat ze het niet hoeven te doen. Hoewel uiteindelijk de resultaten op papier goed zijn, heeft in werkelijkheid niemand een idee waar de e-learning over ging. Met als resultaat dat niet iedere medewerker een phishing e-mail, social engineering- of cyberaanval herkent of weten wat ze moeten doen. Van de regels rondom de AVG weten de meesten al helemaal niets.

De kracht van onze aanpak zit hem in de combinatie

Dit moet daarom anders. In securitytrainingen gaat het er niet om dat iedereen een security expert wordt, maar wel dat men de nut en noodzaak in gaat zien om te willen leren over het veiligstellen van de eigen werkzaamheden. Dit doen zij onder andere door te ervaren en beleven wat de gevolgen en risico’s zijn van het eigen handelen, zodat men vervolgens ook echt wil weten wat te doen! De kracht van onze aanpak zit hem in de combinatie van privé- en zakelijke situaties van de onderwerpen. Dit helpt medewerkers in het bewustwoordingsproces.

Variatie in security awareness training, iedereen leert nou eenmaal anders

De combinaties zijn gebaseerd op het security awareness framework. Dit framework bestaat uit vier fases: analyseren, plannen, trainen en versterken. Natuurlijk is training de basis, maar die moet zo goed zijn dat je nieuwsgierig bent naar de volgende. En die volgende moet dan niet exact hetzelfde zijn als de vorige. Iedereen leert nou eenmaal anders, daarom zit er variatie in onze leeroplossingen. Uit onderzoek blijkt dat afwisseling ervoor zorgt dat je hersenen actief blijven. Hierdoor neem je de kennis sneller tot je. Kennis die geen functionele betekenis krijgt in het handelen, is betekenisloze informatie en zakt dus snel weg – belevingsgericht leren. De beleving of ervaring zorgt ervoor dat men zich kan identificeren en herkennen in datgene wat geleerd kan worden.

Medewerkers hebben direct zin om te starten

Medewerkers motiveren om überhaupt een training te volgen is de belangrijkste sleutel tot het succes van iedere security awareness training. Daarom helpen wij organisaties om samen met de directie een kick-off te doen. Alain rees, eigenaar Cyber Inc: “Als ik samen met de directeur een presentatie geef, dan zie ik dat de medewerkers direct zin hebben om met het awareness programma te starten. Dat is écht mooi om te zien. Zeker als er ieder kwartaal prijzen te winnen zijn. Op het leaderboard zien de medewerkers hun score, waardoor ze nog fanatieker worden. Buiten dat dit leuk is, wordt er ook inhoudelijk goed gediscussieerd en leren deelnemers iets.”

Niet het ei van Columbus

Security awareness training is natuurlijk niet het ei van Columbus. Het is een onderdeel van een complex geheel aan maatregelen. In de strijd tegen cybercrime en datalekken hebben bedrijven en organisaties een grote verantwoordelijkheid om hun medewerkers te wapenen met kennis. Dit lukt niet met eenmalige acties. Hiervoor zijn doorlopende programma’s nodig, die naast de nodige kennis en gedragsverandering bieden ook leuk en interessant zijn om te doen. Alleen dan zullen ze gemotiveerd uitkijken naar de volgende training.