De menselijke factor in cyberveiligheid

Er zijn maar 24 uren in een dag. Een mens brengt daarvan een deel slapend door. Maar machines kunnen de klok rond gefocust presteren aan dezelfde snelheid, zonder nood aan pauzes of slaap. Die efficiëntie halen wij mensen niet.

Tegelijkertijd maken mensen fouten, bijvoorbeeld door een gebrek aan slaap, door gestoord te worden, ziekte en zo meer. Machines hebben daar geen last van, en kunnen taken op steeds dezelfde manier uitvoeren zodat fouten bijna niet voorkomen. Phishing is een veel voorkomend voorbeeld van menselijk falen: we herkennen het niet als een cyberaanval, en maken dan de fout erin te trappen, met alle gevolgen van dien.

Onderzoeken tonen aan dat bedrijven steeds meer aandacht hebben voor cyberveiligheid. Het World Economic Forum hield een enquête waaruit bleek dat cyberveiligheid in de top 3 van meest gegeven antwoorden staat op de vraag waar bedrijven van wakker liggen. En Beltug onderzocht welke prioriteiten CIO’s en ICT beslissingsnemers zien. De lijst met antwoorden bestaat bijna volledig uit het thema cyberveiligheid. Je kan dus stellen dat bedrijven zich zeer goed bewijst zijn van cybergevaren en de noodzaak om maatregelen te nemen.

Bewust zijn is één ding, er effectief iets aan doen blijkt in de praktijk veel moeilijker. Er bestaat namelijk een structureel tekort aan specialisten in cyberveiligheid. Er zijn niet genoeg mensen om dit groeiende probleem op te lossen.

Cyberveiligheid draait echt om mensen. Om zich toch te kunnen verdedigen, gaan bedrijven op zoek naar een SOC (Security Operations Center) service. Zij monitoren welke aanvallen er binnen komen, om dan gepast te kunnen ingrijpen waar nodig. Maar zij hebben te kampen met een torenhoge werkdruk, gepaard met steeds meer geavanceerde aanvallen en een groter wordende impact op de geviseerde bedrijven. Die druk weegt enorm. Bovendien is het niet evident om te bepalen waar ze wel of niet moeten ingrijpen, soms door een tekort aan informatie, vaak ook door een teveel daarvan. Hier kan automatisering soelaas bieden.

Wie in cyberveiligheid werkt kan soms voor het ethische vraagstuk komen te staan of cybermisdaad loont of niet. Cybercriminaliteit lijkt puur financieel vaak wel lucratiever. Maar gelukkig zijn er ook andere, nobelere drijfveren om zich in te zetten voor meer cyberveiligheid. Ieder individu dat in cyberveiligheid actief is, heeft daar zijn eigen goede redenen voor.

Als bedrijf kan je niet op elk cyberrisico reageren, omdat er eenvoudigweg teveel zijn. Je moet keuzes maken. Eens die keuze is gemaakt, kan je ingrijpen, maar het is minstens even belangrijk om je medewerkers ook mee te krijgen in het verhaal. Cyberaanvallen stoppen doe je niet alleen. Mensen hebben een natuurlijke afkeer tegen verandering. Het is belangrijk dat ze zich goed bewust zijn van de gevaren en bij veranderingen en updates er ook snel en daadkrachtig op reageren. Doen ze dat niet, dan blijf je als bedrijf onnodige risico’s lopen.

De mens speelt in de problematiek van cyberveiligheid een centrale rol. Je kan mensen zien als de zwakste schakel, want ze maken fouten en werken vaak minder efficiënt. Maar tegelijkertijd zijn mensen op een andere manier dan weer de sterkste schakel. Wanneer het er echt op aan komt, kunnen mensen op de juiste manier tussenkomen om een aanval af te weren. Echte cyberveiligheid draait uiteindelijk meer om mensen dan om technologie.