De mens als zwakste schakel? Waarom cyber security vooral een vraagstuk van gedrag en inzetbaarheid is

Cyber security wordt vaak gezien als een technisch domein. Firewalls. Updates. Procedures. Toch laten de meeste incidenten iets anders zien. Niet technologie, maar menselijk gedrag bepaalt of organisaties digitaal weerbaar zijn. Hoe medewerkers omgaan met druk, aandacht, routines en verwachtingen bepaalt uiteindelijk het risico. Digitale veiligheid is dus óók een thema van duurzame inzetbaarheid.

In het kort

• De meeste incidenten beginnen bij gedrag onder druk, niet bij falende techniek.
• Vermoeidheid, tijdsdruk en een cultuur van snelheid vergroten de kans op klikfouten en zwakke wachtwoorden.
• Security awareness werkt alleen als het een gewoonte wordt, niet als het een verplichte jaarlijkse module blijft.
• Leidinggevenden bepalen met hun voorbeeldgedrag en hun norm rond werkdruk hoeveel digitaal risico een team neemt.

Aandacht en vermoeidheid vergroten digitale risico’s

Mensen maken vaker fouten wanneer ze vermoeid zijn. Afgeleid. Of onder tijdsdruk staan. Denk aan een verkeerd geklikte link, een slecht gekozen wachtwoord of een bestand dat per ongeluk gedeeld wordt. Deze ‘microfouten’ komen voort uit dezelfde factoren die ook fysieke en mentale inzetbaarheid beïnvloeden. Wie structureel te weinig herstel heeft, neemt meer risico’s, vaak zonder het door te hebben.

Organisatiecultuur bepaalt hoe mensen omgaan met twijfel

Medewerkers herkennen vaak wél dat iets niet klopt in een mail of verzoek. Toch gaan ze door. Niet omdat ze onwetend zijn, maar omdat de cultuur onbewust dwingt tot snelheid en gehoorzaamheid. “Ik moet dit meteen doen.” “Ik wil niet de trage collega zijn.” Een veilige cybercultuur vraagt om ruimte om te twijfelen. Vragen te stellen. Te vertragen wanneer iets verdacht voelt.

Waarom security awareness vaak niet blijft hangen

Bijna elke organisatie doet iets aan security awareness. Een e-learning bij indiensttreding. Een jaarlijkse module die voor de audit afgevinkt moet worden. Een phishingsimulatie waar collega’s elkaar achteraf mee plagen. Toch verandert er weinig in het dagelijkse gedrag.

Dat komt zelden door onwil. Het komt door de vorm. Kennis die één keer per jaar in een uur wordt aangeboden, zakt binnen enkele weken weg. En kennis is sowieso niet het probleem: de meeste medewerkers weten heus wel dat ze niet zomaar op een link moeten klikken. Het misgaan gebeurt op het moment dat aandacht schaars is. Precies dan helpt een module van vorig jaar niet.

Awareness die wel werkt, ziet er anders uit:

• Kort en herhalend, in plaats van lang en eenmalig. Een paar minuten per week beklijft beter dan een jaarlijkse sessie.
• Herkenbaar voor de eigen werksituatie, met voorbeelden uit de eigen sector, systemen en processen.
• Zonder afrekencultuur. Wie een phishingtest niet doorstaat, moet zich kunnen melden zonder gezichtsverlies.
• Meetbaar, zodat je ziet welke thema’s blijven hangen en welke teams extra aandacht nodig hebben.

Er is ook een formele kant. Onder NIS2 en normen als ISO 27001 wordt structurele bewustwording van medewerkers en bestuurders expliciet verwacht, inclusief aantoonbaarheid. Voor steeds meer organisaties is awareness dus geen goed voornemen meer, maar iets dat je moet kunnen laten zien.

Zo maak je security awareness onderdeel van gedrag

Awareness wordt pas gedrag als het aansluit bij de manier waarop mensen werken. Begin klein en maak het onderdeel van het ritme van het team.

• Plan een vast, kort moment in de week in plaats van een jaarlijkse training. Platformen voor security awareness training (zoals Guardey) werken met wekelijkse challenges van een paar minuten, waardoor het onderwerp levend blijft zonder de agenda te belasten.
• Maak melden makkelijker dan negeren. Eén knop of één vast aanspreekpunt, en een reactie zonder verwijt.
• Bespreek incidenten in het teamoverleg zoals je ook werkdruk bespreekt. Wat gebeurde er, en wat maakte het op dat moment lastig om het op te merken?
• Koppel awareness aan werkdruk. Als een team structureel te weinig lucht heeft, is meer training niet de oplossing.
• Meet gedrag, niet alleen deelname. Meldingsbereidheid en hersteltijd zeggen meer dan het percentage voltooide modules.

Leidinggevenden hebben een sleutelrol zonder dat ze technisch hoeven te zijn

Goed cybergedrag ontstaat niet door extra regels, maar door voorbeeldgedrag. Wanneer leidinggevenden bewust omgaan met wachtwoorden, updates en verdachte situaties, volgen teams vanzelf. Nog belangrijker. Leidinggevenden bepalen de norm rond werkdruk, prioriteiten en veiligheid. Een team dat altijd ‘aan’ staat en weinig ruimte ervaart, neemt meer digitale risico’s. Een leidinggevende die zelf hardop zegt dat een mail hem verdacht voorkwam, doet meer voor de awareness in het team dan een verplichte module.

Hybride werken maakt mensen kwetsbaarder

Thuis en op kantoor lopen werk en privé sneller door elkaar. Mensen gebruiken privé-apparaten, openbare wifi of wisselen bestanden sneller buiten de beveiligde systemen om. Hybride werk vraagt extra aandacht voor gedragsrituelen. Denk aan standaardmomenten voor updates, een duidelijke scheiding tussen werk- en privé-accounts, en laagdrempelig contact met IT wanneer iets niet klopt. Ook awareness verdient een plek in dat ritme, juist omdat collega’s thuis niemand even kunnen aanstoten met de vraag “vind jij dit ook gek?”.

Digitale veiligheid is onderdeel van duurzame inzetbaarheid

Een medewerker die vitaal werkt, voldoende herstel heeft en zich gesteund voelt door het team, maakt minder ‘digitale fouten.’ Cyber security en werkgeluk lijken misschien ver uit elkaar te liggen, maar ze raken allebei aan hetzelfde: gedrag onder druk. Security awareness is daarmee geen los IT-project, maar een onderdeel van hoe je met mensen omgaat. Veiligheid begint dus niet bij techniek, maar bij aandacht voor mensen.