Digitale weerbaarheid als onderdeel van duurzame inzetbaarheid

Duurzame inzetbaarheid gaat over de vraag of iemand zijn werk over tien jaar nog met plezier en gezondheid kan doen. In de meeste programma’s betekent dat vitaliteit, ontwikkeling, werkdruk en loopbaan. Digitale weerbaarheid staat er bijna nooit bij, terwijl het inmiddels op alle vier die thema’s ingrijpt.

Een incident is ook een personeelskwestie

Wie ooit dichtbij een geslaagde aanval heeft gestaan, kent het beeld. Niet alleen systemen liggen eruit, ook de persoon die op de link klikte zit er doorheen. Die heeft het bedrijf stilgelegd, dat is het gevoel, en in sommige organisaties wordt dat gevoel bevestigd in de nasleep.

Dat is een arbeidskwestie, niet alleen een IT-kwestie. Schuldgevoel na een incident leidt tot verzuim, tot vertrek van mensen die je niet kwijt wilde en tot een cultuur waarin de volgende twijfelgevallen niet meer gemeld worden. Daarmee verslechtert de beveiliging precies op het moment dat je meer informatie nodig hebt.

Organisaties die dit goed aanpakken behandelen een klik als een procesfout en niet als een persoonlijke fout. Dat is geen softe keuze. Het is de enige manier om meldingen binnen te krijgen in de eerste twintig minuten, en dat is de enige periode waarin een incident nog relatief goedkoop is.

Waar digitale weerbaarheid raakt aan werkdruk

Phishing werkt op tijdsdruk. Een verzoek dat nu moet, van iemand die boven je staat, in een week die al te vol zit. Dat is geen toeval maar het ontwerp van de aanval.

Dat betekent dat werkdruk een securityfactor is. Afdelingen waar standaard achter de feiten aan wordt gelopen, klikken meer. Als de normale route voor een factuur drie dagen kost, wordt de snelle route via een appje aantrekkelijk, ook als die niet klopt. Wie dus iets aan weerbaarheid wil doen, kijkt niet alleen naar kennis maar ook naar de vraag waarom het afwijken van de route zo verleidelijk is.

Ook de oudere en de jongere medewerker, maar anders

Het cliché is dat oudere medewerkers kwetsbaarder zijn. Dat is te simpel. Oudere medewerkers melden vaak juist eerder iets, omdat ze minder schaamte hebben over het niet snappen van een systeem. Jongere medewerkers gaan sneller en vertrouwen de interface, en zijn daardoor gevoeliger voor een nette nabootsing.

Wat beide groepen gemeen hebben is dat een generieke e-learning weinig doet. Een voorbeeld uit het eigen werk werkt bij iedereen, abstracte uitleg bij vrijwel niemand. Daarom is bewustzijn structureel opbouwen effectiever dan een jaarlijkse module: korte herhaling over langere tijd, met voorbeelden uit de eigen praktijk, in plaats van een sessie waarin alles langskomt.

Hoe je het in een bestaand programma inpast

Het goede nieuws voor wie al met duurzame inzetbaarheid bezig is: dit vraagt geen nieuw programma. Drie aanknopingspunten zijn er al.

• Het introductieprogramma. Daar zitten al modules over veiligheid, verzuim en gedragscode. Twee minuten over hoe verzoeken binnen de organisatie wel en niet lopen, past daar zonder uitzondering in.
• Het ontwikkelgesprek. Digitale vaardigheid is een onderdeel van inzetbaarheid geworden, ook in functies die niet achter een bureau zitten. Benoemen helpt, al is het maar om de schaamte eruit te halen.
• Het verzuim- en nazorgprotocol. Leg vast dat iemand na een incident begeleiding krijgt in plaats van een gesprek met een beoordelend karakter. Dat kost niets en bepaalt of de volgende melding komt.

De verplichting komt er toch wel

Voor een groeiende groep werkgevers is dit inmiddels geen keuze meer. De Cyberbeveiligingswet (NIS2) vraagt in een reeks sectoren dat medewerkers aantoonbaar basiskennis meekrijgen en dat bestuurders zelf getraind zijn. Veel organisaties lossen dat af met een eenmalige sessie en een deelnemerslijst.

Dat haalt de verplichting, maar niet het doel. Het verschil zit in de vraag of mensen een jaar later anders handelen. Dat is precies de maatstaf die bij duurzame inzetbaarheid al jaren gangbaar is: niet of iemand de training heeft gevolgd, maar of het werk er beter van is geworden.