Wat is security awareness: een gids voor bedrijven

95% van alle hacks en datalekken wordt veroorzaakt door menselijke fouten, zoals:

• Klikken op een phishing link
• Software niet regelmatig bijwerken
• Werken op openbare wifi zonder VPN
• Zwakke wachtwoorden gebruiken

De meeste van deze menselijke fouten kunnen worden voorkomen door hetsecurity awareness binnen je organisatie te verbeteren.

In dit artikel leer je de basisprincipes van security awareness en hoe jouw organisatie vandaag nog kan beginnen met het verbeteren ervan.

Wat is security awareness: een definitie

Security awareness verwijst naar het begrip van cyberdreigingen en best practices voor het beveiligen van gevoelige informatie en systemen. Het houdt in dat je potentiële risico's herkent en op de hoogte blijft van nieuwe cyberdreigingen om je te beschermen tegen datalekken, malware en andere security risico's

Waarom security awareness belangrijker is dan ooit

Er zijn veel misvattingen over security awareness. Hier zijn er een paar die we veel horen:

→ "Beveiliging is de verantwoordelijkheid van de IT-afdeling, niet van mij"

→ "Cybercriminelen zijn te geavanceerd om awareness training effectief te laten zijn"

→ "Cybercriminelen hacken alleen grote bedrijven, waarom zouden ze mij aanvallen?"

→ "Mijn werknemers hebben geen training nodig, ze zijn ervaren internetgebruikers"

Zoals in de intro van dit artikel staat, wordt95% van alle hacks en datalekken veroorzaakt door menselijke fouten. Hoeveel cyberbeveiligingssoftware je ook hebt, het kan je niet beschermen tegen menselijke fouten zoals het klikken op een phishing-link of het gebruik van zwakke wachtwoorden. Dit betekent dat elke medewerker binnen je organisatie de verantwoordelijkheid draagt om je bedrijfsgegevens veilig te houden.

Veel van de tactieken die cybercriminelen gebruiken zijn niet zo geavanceerd als mensen denken. Als je team eenmaal op de hoogte is van de basis, neemt de kans op een datalek sterk af. De meeste datalekken worden bijvoorbeeld nog steeds veroorzaakt door zwakke wachtwoorden en het ontbreken van two-factor authentication.

Hier is een voorbeeld van een ethische hacker die het systeem van een organisatie hackt. Niet met ingewikkelde tools, maar met eenvoudige social engineering:

Als je organisatie zich bewust is van deze bedreigingen en de juiste procedures hanteert, is de kans op dit soort hacks veel kleiner.

De meeste grote bedrijven hebben grondig geïnvesteerd in cyber security. Daarom verbreden cybercriminelen hun werkterrein en richten ze zich op bedrijven van elke omvang. In 2022 waren cyberaanvallen op kleine bedrijvenmeer vaker voor dan aanvallen op grotere bedrijven. In datzelfde jaar was er een algehele toename van wereldwijde cyberaanvallen van 22%.

Al het bovenstaande betekent dat het een must is voor bedrijven van alle groottes om te investeren in security awareness voor hun hele organisatie.

Hoe ontwikkel je security awareness binnen een organisatie

Om een sterk security awareness programma binnen je organisatie te ontwikkelen, moet je de volgende stappen nemen.

Zorg voor buy-in van het management

Voordat je begint met security awareness campagnes, moet je ervoor zorgen dat je de steun krijgt van je managementteam. Als de leiding niet betrokken is, zal al je harde werk uiteindelijk voor niets zijn geweest. Als je CEO er niets om geeft, waarom zou de rest van het bedrijf zich dan wel betrokken voelen?

Deel het belang van beveiligingsbewustzijn (of deel gewoon dit artikel 😉 ) en creëer een regelmatige cadans waarin je ze op de hoogte houdt van lopende security projecten.

Zodra je managementteam echt gelooft in de noodzaak van bewustzijn op het gebied van security, kun je je gaan richten op de zogenaamde departmental champions. Dit zijn doorgaans teamleiders die dichter bij de rest van het personeel staan en je misschien moeten helpen bij het uitvoeren van security initiatieven. 

Als je in een grotere organisatie werkt en veel stakeholder moet overtuigen, kan het handig zijn om ze bij te houden in een stakeholder management template.

Wanneer je je plannen presenteert aan het managementteam, is het belangrijk om duidelijk te maken dat dit een programma voor de lange termijn is. Als dit niet duidelijk is, denken sommige mensen misschien dat je een eenmalig evenement organiseert. Maar een effectief awareness programma is een marathon, geen sprint.

Zorg voor duidelijke policies en procedures

Beveiligingsbeleid en -procedures vormen het fundament van de verdediging van elke organisatie tegen cyberaanvallen. Dit beleid dient als een reeks richtlijnen die niet alleen bepalen hoe gegevens, systemen en netwerken moeten worden beschermd, maar ook hoe medewerkers zich moeten gedragen in de digitale wereld.

Twee voorbeelden van essentieel security beleid zijn:

1. Beleid voor toegang tot gegevens: Dit beleid beschrijft wie toegang heeft tot gevoelige gegevens en onder welke omstandigheden. Het definieert gebruikersrollen en -rechten, toegangsverificatiemethoden en beperkingen op het delen van gegevens. Dit voorkomt dat onbevoegden vertrouwelijke informatie kunnen bekijken en wijzigen.
2. Wachtwoordbeleid: Een robuust wachtwoordbeleid bevat richtlijnen voor het maken en beheren van wachtwoorden. Het biedt criteria voor de complexiteit, vervaldatum en bescherming van wachtwoorden. Dit vermindert het risico op ongeautoriseerde toegang tot accounts.

Je hebt ook duidelijke procedures nodig voor hoe medewerkers moeten handelen wanneer ze worden geconfronteerd met een cyberdreiging.

Organiseer regelmatige trainingen voor medewerkers

Als het leiderschapsteam er eenmaal achter staat, is het tijd om een bewustwordingstraining voor iedereen binnen de organisatie. Tijdens deze trainingen moeten werknemers leren over alle relevante cyberbedreigingen, die we later in dit artikel zullen bespreken.

Houd bij het zoeken naar een trainingsoplossing rekening met de volgende aspecten:

• Kies een trainingsoplossing die is gebaseerd op gamification. Een security awarenes game zoals Guardey stelt gebruikers in staat om actief te leren.
• Bied training aan die terugkerend is. Bedrijven bieden vaak jaarlijkse trainingen aan die een snelle kennisboost geven, maar niet leiden tot blijvende gedragsverandering. Zoek daarom naar trainingsoplossingen die wekelijkse, korte lessen bieden.
• Zorg ervoor dat je trainingen aanbiedt over alle huidige cyberdreigingen. Als een trainingsoplossing bijvoorbeeld geen content bevat over de gevaren van AI, is het niet de juiste oplossing. Cybercriminelen ontwikkelen zich snel, wat betekent dat je trainingsoplossing zich net zo snel moet ontwikkelen om je werknemers op de hoogte te houden.

Frame je programma met een positieve toon

Er zit vaak een negatieve toon aan communicatie rond cyber security. Als werknemers op een phishing link klikken of niet hoog scoren tijdens een awareness training, kunnen ze het gevoel krijgen dat ze daarvoor worden afgerekend of zelfs gestraft. Daarom is het belangrijk om je programma te positioneren als iets waar zowel je organisatie als de medewerker baat bij heeft.

Met dat in gedachten moet je ook begrijpen dat mensen niet op dezelfde manier om je security awareness programma zullen geven als jij. De why communiceren kan daarom echt een groot verschil maken. Schets een levendig beeld van wat de gevolgen kunnen zijn als er geen security awareness programma is.

Welke cyberdreigingen moeten in de training worden opgenomen?

Security awareness gaat om meer dan alleen phishing en wachtwoordbeheer. Als je je personeel traint, moet je ervoor zorgen dat je elke cyberbedreiging behandelt waarmee je te maken kunt krijgen. Hier is een nog verre van volledige lijst die je een idee geeft van bedreigingen die in de training aan bod moeten komen.

1. Phishing aanvallen: Leer je team om phishing e-mails en verdachte links te herkennen en benadruk hoe belangrijk het is om geen gevoelige informatie te delen met onbekende bronnen.
2. Ransomware: Geef richtlijnen voor het herkennen van potentiële ransomware-bedreigingen en benadruk het belang van het regelmatig maken van back-ups van gegevens.
3. Social engineering: Train werknemers om voorzichtig te zijn met het delen van gevoelige informatie in het echt, via de telefoon of online, en om de identiteit te verifiëren van mensen die om vertrouwelijke gegevens vragen.
4. Wachtwoordbeveiliging: Bevorder sterke wachtwoordpraktijken, waaronder het gebruik van complexe en unieke wachtwoorden, het inschakelen van twee-factor authenticatie en het vermijden van het delen van wachtwoorden.
5. Malware: Informeer werknemers over de risico's van het downloaden van software of bestanden van onbetrouwbare bronnen en het belang van het gebruik van antivirussoftware met een goede reputatie.
6. Bedreigingen van binnenuit: Creëer bewustzijn over de mogelijkheid van kwaadwillige acties door werknemers of partners en benadruk de noodzaak van een cultuur van zowel waakzaamheid als vertrouwen.
7. Risico's van BYOD (Bring Your Own Device): Geef richtlijnen voor het veilig gebruik van persoonlijke apparaten op de werkplek en erken de potentiële beveiligingsrisico's die ermee gepaard gaan.
8. Behandeling en bescherming van gegevens: Instrueer werknemers hoe ze gevoelige gegevens op de juiste manier kunnen behandelen, opslaan en verzenden om datalekken en ongeautoriseerde toegang te voorkomen.
9. Wifi beveiliging: Informeer werknemers over de gevaren van het gebruik van onbeveiligde openbare wifi-netwerken en het belang van het gebruik van een virtueel privénetwerk (VPN) als dat nodig is.
10. E-mail security: Best practices voor e-mail benadrukken, zoals het verifiëren van e-mailafzenders, geen bijlagen openen of klikken op links in verdachte e-mails en pogingen tot phishing melden.

En de lijst gaat maar door. Als een trainingsoplossing een paar van de bovenstaande onderwerpen niet behandelt, zoek dan vooral verder.

De essentie

In tegenstelling tot wat vaak wordt gedacht, kun je hackers wel degelijk te slim af zijn. Beveiligingsbewuste organisaties hebben simpelweg minder kans om getroffen te worden door cyberaanvallen. De meeste hacks en datalekken gebeuren nog steeds door eenvoudige menselijke fouten: klikken op phishing-links, werken vanaf een onbeveiligd netwerk of het niet gebruiken van twee-factor authenticatie.

Om de security awareness binnen je organisatie te vergroten, moet je overwegen om regelmatig trainingen aan te bieden. Zo leren je medewerkers de grootste cyberrisico's kennen en kunnen ze juist handelen als ze ermee te maken krijgen.

Met Guardey's security awareness game krijgt je team wekelijks een uitdaging van 3 minuten over een specifiek beveiligingsonderwerp. Het spel is samengesteld in samenwerking met ethische hackers en onderwijskundigen om blijvende gedragsverandering te bewerkstelligen. Je kunt het nu 14 dagen gratis uitproberen.

Laat hackers je niet te slim af zijn. Probeer Guardey.