Security Awareness Training

Het menselijke element is in veel gevallen de zwakste schakel binnen de cybersecurity van een organisatie. Ook mét goede bedoelingen kunnen mensen onbewust een fout maken. Bijvoorbeeld door op een verdachte link in een e-mail te klikken, een zwak wachtwoord te gebruiken of vertrouwelijke informatie (onbedoeld) te delen. Door medewerkers een Security Awareness Training te laten volgen, maak je ze bewust van de risico’s. Zodoende versterk je de menselijke schakel binnen de cybersecurityketen.

Wat is Security Awareness Training?

Met een Security Awareness Training maak je medewerkers en gebruikers binnen de organisatie bewust van het belang van cybersecurity en welke kwesties er op dit moment spelen. Ook laat je enkele best practices uit de praktijk zien. Het hoofddoel van de training is de herkenning van risico’s om hier vervolgens gepast op te reageren. Zo beschermen ze zowel de organisatie als zichzelf tegen digitale dreigingen.

Security Awareness Training bestaat in grote lijnen uit de volgende onderwerpen:

• Herkenning van beveiligingsrisico’s: het identificeren van potentiële beveiligingsrisico’s, zoals phishing e-mails en malware.
• Veilig online gedrag: veilig online navigeren, het gebruik van sterke wachtwoorden, het herkennen van verdachte websites en online fraude voorkomen.
• Beveiligingsbeleid en naleving: het informeren over het interne beveiligingsbeleid, de wettelijke vereisten en hoe hiernaar te handelen.
• Data-bescherming: het veilig delen van gegevens en informatie.
• Simulaties en oefeningen: realistische simulaties en oefeningen van beveiligingsincidenten om de reactie van medewerkers te testen.
• Continue educatie: door de voortdurende evolutie is het belangrijk om blijvend te trainen om zo bewustwording op een hoog niveau te krijgen.

Te minimaliseren risico’s

De lopende risico’s kunnen onderverdeeld worden in de twee hoofdcategorieën, opzettelijke en onopzettelijke risico’s. Met een Security Awareness Training kun je risico’s binnen beide categorieën minimaliseren.

Opzettelijke risico’s

Bij opzettelijke risico’s zijn individuen of organisaties bewust op zoek naar informatie en gegevens om zo schade aan te kunnen brengen. Onderstaand enkele voorbeelden van opzettelijke risico’s en hoe Security Awareness Training deze risico’s kan verminderen:

Ransomware-aanvallen	Doelbewuste pogingen om systemen, netwerken en gegevens te bemachtigen, beschadigen of stelen.	Herkenning van verdachte bijlagen en links, waardoor medewerkers minder snel geïnfecteerde bestanden openen.
Phishing	Een opzettelijke poging om gebruikers te misleiden door zich voor te doen als iets of iemand anders, met het doel om vertrouwelijke informatie te verkrijgen.	Herkenning van phishing-pogingen door o.a. kenmerken in e-mails en berichten te herkennen. Onderdeel hiervan kan phishingsimulatie zijn.
Insider Threats	Werknemers met slechte bedoelingen die gevoelige informatie lekker of andere schadelijke activiteiten uitvoeren.	Herkenning van verdachte activiteiten van collega’s en hier vervolgens actie op ondernemen door het maken van een melding.
Doelgerichte aanvallen	Aanvallen die specifiek gericht zijn op een organisatie of individu in bijvoorbeeld te spioneren of activiteiten te verstoren.	Bewustwording van de methoden die gebruikt worden bij een aanval, waardoor zij deze beter kunnen herkennen.
Identiteitsdiefstal	Het stelen van de identiteit van een individu om hier vervolgens mee te kunnen frauderen.	Beveiliging van persoonlijke informatie en bewustwording van het niet te veel delen van informatie op bijvoorbeeld social media.

Onopzettelijke risico’s

Onopzettelijke risico’s komen voort uit menselijk handelen, nalatigheid, gebrek aan bewustwording of technische problemen, maar worden niet met opzet veroorzaakt. Toch kunnen ook deze risico’s leiden tot enorme schade. Enkele voorbeelden van onopzettelijke risico’s en hoe Security Awareness Training deze risico’s kan verminderen:

Menselijke fouten	Het onopzettelijk delen van informatie met verkeerde personen, bijvoorbeeld door een e-mail naar een verkeerde persoon te sturen of een apparaat met gevoelige gegevens te verliezen.	Bewustwording van hoe je informatie en gegevens het veiligst kunt delen en bewaren.
Gebrek aan bewustzijn	Het onbedoelde veroorzaken van risico’s door niet op de hoogte te zijn van de gevaren, bijvoorbeeld door een zwak wachtwoord te gebruiken of updates te negeren.	Bewustwording van beveiligingsrisico’s, zoals het gebruik van sterke wachtwoorden en herkenning van kwaadwillende e-mails.
Fysieke kwetsbaarheden	Het verlies van gevoelige bedrijfsgegevens door apparaten te verliezen of documenten achter te laten in openbare ruimtes.	Veiligheidsrisico’s voor fysieke beveiliging, zoals het beschermen van apparaten en het uitvoeren van veilig gedrag in openbare plaatsen.
Nalevingskwesties	Het niet naleven aan wettelijke voorschriften of branchenormen, wat kan leiden tot juridische problemen en boetes.	Bewustwording van de wettelijke vereisten bij medewerkers zodat zij hier naar handelen.
Technische fouten	Fouten of storingen in systemen die leiden tot beveiligingsrisico’s, bijvoorbeeld door onjuiste configuratie of softwarebugs.	Veilig updates uitvoeren op regelmatige basis, waardoor systemen en software veilig blijven.

Waarom Security Awareness Training?

Uiteraard wil je niet dat jouw organisatie ten prooi valt aan kwaadwillenden. Zoals reeds eerder benoemd, zorg je er met een Security Awareness Training voor dat menselijke schakel versterkt wordt. Doordat medewerkers cyberrisico’s sneller herkennen én weten hoe ze vervolgens dienen te reageren, verminder je de risico’s significant. Het voorkomen van incidenten is dan ook beter én goedkoper dan het herstellen van de schade.

Daarnaast is het in sommige gevallen noodzakelijk vanuit regelgeving om je medewerkers te trainen, bijvoorbeeld wanneer jouw organisatie dient te voldoen aan de NIS2, ISO27001 of NEN7510. Deze normeringen kunnen niet behaald worden zonder dat er een trainingsplan voor medewerkers, binnen alle lagen, is opgesteld en wordt uitgevoerd.

Interesse?

Ben jij geïnteresseerd in de mogelijkheden van een Security Awareness Training voor jouw medewerkers? Neem dan vrijblijvend contact op om de mogelijkheden te bespreken.