Waarom de menselijke factor essentieel is voor cybersecurity succes

De complexiteit van cybersecurity is exponentieel gegroeid naarmate het aantal interconnecteerbare digitale apparaten is gestegen. Omdat interpendente computerinfrastructuren bijna elke organisatie vandaag ondersteunen, is het beschermen van digitale data cruciaal geworden.

Zevenendertig procent van de geïnterviewde CEO's zegt dat significant risico ligt binnen de uitgebreide business en sleutel enterprise partners. En preventieve maatregelen alleen zijn niet meer voldoende. De nieuwe omgeving vereist waakzame monitoring en creatieve innovatie. Het vereist all-stakeholder participatie.

Het menselijke element is de sleutel. Hoe goed u werknemers screen, traint en uitrast, zal uw cybersecurity-systeem, uw reputatie met klanten en partners, en misschien zelfs uw bedrijf zelf maken of breken.

Terwijl 89 procent van de C-suite gelooft dat werknemers verantwoordelijk informie zullen beschermen, zeggen 22 procent dat hun werknemers onbewust zijn van offsite databeleid. Apparaten meest at risk zijn bedrijfstelefones (50 procent), bedrijfslaptops (45 procent), en USB-opslagapparaten (41 procent).

In haar rapport over 2018 Views From the C-Suite, vond A.T. Kearney dat 85 procent van bedrijven beveiligingsschendingen ervaarde in het afgelopen jaar. Alleen 40 procent ontwierp en implementeerde cybersecurity-strategieën als reactie.

Naast het focussen op werknemers, is het belangrijk om de gehele supply chain aan boord te krijgen. Corporate leiders noemen vier top-tactieken om levensvatbare cybersecurity te waarborgen:

• Uitgebreide informatiebeveiligingsmaatregelen,
• Werven van hooggeschoolde IT-professionals,
• Cybersecurity gedragsanalytics, en
• Werknemerstrainingsprogramma's.

Het nieuwe paradigma voor cybersecurity is betrekken, overtuigen, educeren, converteren, en belonen. Eindgebruikers worden vaak oneerlijk gestereotypeerd als oncoöperatief, controle-avers, en onwillens gedrag te veranderen. Tegelijkertijd zijn ze de zwakste schakel in cybersecurity. Zelfs diepe technische experts kunnen net zo kwetsbaar zijn als minder getrainde en voorbereide gewone gebruikers.

Een real-life voorbeeld: Jaren geleden, als CISO van een wireless operator in Zuid-Amerika, werd ik getaakt met het reduceren van het stijgende aantal datalekken. Een senior executive aanbevoelde zware handhaving van beveiligingsbeleid. Eindgebruikers, zei hij, waren non-committal over beveiliging geweest, en onresponsief op campagnes om interne controles te verbeteren.

Ik besloot een contrarian standpunt in te nemen. Ervaring had me overtuigd dat om levensvatbare oplossingen te creëren, we alle stakeholders moesten betrekken — elk individu geïmpacteerd door beleid, technologieën, en beslissingen — niet alleen die in bestuurszaken zitten.

In plaats van eindgebruikers te straffen en uitsluitend te focussen op het afdwingen van controles, organiseerden we een reeks vergaderingen met werknemers om best practices te delen, hun pijnpunten te bepalen, en stap-voor-stap begeleiding te geven over hoe beveiligingstools correct te gebruiken.

Het bleek dat veel beveiligingsbeleid verouderd was door een reeks fusies. Bovendien gingen gebruikers om met een lastige 30-daagse wachtwoordverlooppraktijk door hun toegangscodes op Post-It briefjes te schrijven. Kwaadwillende mensen hadden daardoor onbevoegde toegang gekregen.

Op basis van feedback van werknemers, actualiseerden we beleid en herschreven we procedures en standaarden zodat ze relevant en duidelijk waren. Scorecards werden gebruikt om vooruitgang te tracken, en een beloningssysteem geïmplementeerd. Datalekken daalden, en een feedback-loop werd gevestigd tussen gebruikers en de beveiligingsafdeling om het programma relevant te houden. Eindgebruikers werden in het proces gebracht, met educatieve loops om potentiële problemen te signaleren.

De ervaring bevestigde dat een ontwerpproces dat stakeholder- en mens-gericent is, gebaseerd op betrekken, educeren, converteren, en belonen in plaats van straffen, de meest uitgebreide en duurzame cybersecurity-oplossingen produceert.

J. Eduardo Campos leidt het adviesbureau Embedded-Knowledge Inc.