Waarom je bewustzijnscampagne niets oplost
Elk jaar dezelfde phishingtest, elk jaar dezelfde percentages. En toch verandert er niets. Dat komt niet doordat je mensen niet opletten.
De meeste organisaties die ik binnenkom hebben een awarenessprogramma. Een e-learning, een jaarlijkse test, een poster bij de koffieautomaat. En bijna altijd hetzelfde gevoel bij de directie: we doen er iets aan, maar het lijkt niet te landen.
Dat gevoel is terecht. Niet omdat de campagne slecht is uitgevoerd, maar omdat hij een vraag beantwoordt die niemand heeft gesteld. De impliciete vraag onder elke awarenesscampagne is: hoe maken we onze mensen minder onveilig? Dat is de verkeerde vraag. Mensen zijn niet het lek. Ze zijn het enige onderdeel van je organisatie dat kan opmerken dat er iets niet klopt.
Wat een percentage je niet vertelt
Stel: acht procent klikt op de testmail. Volgend jaar zes procent. Iedereen tevreden. Maar wat je niet meet is hoeveel mensen iets vreemds zagen en het niet meldden. Hoeveel er dachten "dit is waarschijnlijk zo'n test" en verder werkten. Hoeveel er precies wisten dat de leverancier al drie maanden met een gedeeld beheeraccount inlogt, en dat nooit tegen jou hebben gezegd.
Het echte risico zit in de dingen waar niemand over praat: de uitzondering die tijdelijk zou zijn, het account dat na een vertrek open bleef staan, de afspraak met een leverancier die niemand meer kan navertellen. Daar helpt geen e-learning tegen. Daar helpt alleen een cultuur waarin mensen zich veilig genoeg voelen om te zeggen dat iets niet klopt.
Van waarschuwen naar uitleggen
Wat wel werkt is niet spannender: uitleggen waarom iets belangrijk is in plaats van voorschrijven wat men moet doen. Iemand die begrijpt welke gegevens de organisatie kwetsbaar maken, maakt in een onverwachte situatie een betere afweging dan iemand die tien regels uit het hoofd kent.
En het vraagt iets van jou als bestuurder. Namelijk dat een melding die intern ongemakkelijk uitpakt niet leidt tot een schuldvraag. Een organisatie die de boodschapper aanpakt, wordt precies één keer gewaarschuwd.
Als het antwoord op de laatste vraag nee is, heb je geen awarenessprobleem. Dan heb je nooit uitgelegd wat er te beschermen valt. Dat is geen verwijt: het is de eerlijkste plek om te beginnen.