Bewustwording in je team

Module 9: Regels en organisatie · Leestijd: 9 minuten

Leerdoel: Na deze les kun je bewustwording in een klein team organiseren: afspraken, melden zonder schuld, oefenen en herhalen.
Kernbegrippen: bewustwording, gedrag, meldcultuur, phishingoefening (met toestemming en zonder afstraffen), nieuwe medewerker, korte herhaling

Weten is niet hetzelfde als doen

Bijna iedereen weet dat je niet op verdachte links moet klikken. Toch gebeurt het elke dag, ook bij mensen die het beter weten. Dat komt niet door domheid. Het komt doordat een phishingmail (les 1.2 en module 3) precies inspeelt op hoe we werken: druk, haast, de wens om een klant of collega te helpen. Op een vrijdagmiddag om kwart voor vijf, tussen dertig andere mails, ziet een "openstaande factuur" er heel gewoon uit.

Bewustwording gaat daarom niet over kennis alleen, maar over gedrag: wat doen mensen echt, ook als ze moe zijn of haast hebben? Het doel is niet dat iedereen een expert wordt. Het doel is een paar vaste reflexen:

1. Stoppen bij een bericht dat iets vraagt: geld, een wachtwoord, een klik, een bijlage openen, iets installeren.
2. Checken via een andere weg: zelf inloggen in plaats van de link volgen, terugbellen op een bekend nummer.
3. Melden als iets niet klopt, ook als je al geklikt hebt.

Die derde reflex is het belangrijkst, en hij hangt helemaal af van hoe je team ermee omgaat.

Melden zonder schuld

Stel je twee bedrijven voor. Bij het eerste krijgt een medewerker die op een phishinglink klikte een boze reactie van de eigenaar: "Hoe kun je zo dom zijn?" Bij het tweede zegt de eigenaar: "Goed dat je het meteen zegt, dan kunnen we nu je wachtwoord wijzigen."

Wat gebeurt er de volgende keer dat iemand klikt? In het eerste bedrijf houdt hij zijn mond en hoopt dat het goed afloopt. In het tweede bedrijf meldt hij het binnen vijf minuten.

Dat verschil is enorm. Bij een accountovername of een begin van ransomware tellen uren (les 1.3 en 3.5). Een melding binnen vijf minuten betekent: wachtwoord wijzigen voordat de aanvaller heeft ingelogd, sessies intrekken, een computer van het netwerk halen voordat er iets versleuteld is. Een melding na drie weken, of nooit, betekent dat de aanvaller alle tijd heeft gehad.

Een goede meldcultuur heeft een paar kenmerken:

• Eén duidelijk meldpunt. Iedereen weet bij wie hij moet zijn: een naam en een telefoonnummer, en een vervanger als die persoon er niet is. Dat staat ook op de incidentkaart (les 8.1).
• Bedanken, niet straffen. Wie meldt, ook over een eigen fout, krijgt een bedankje. Zeg het hardop in het team: "Sanne meldde vanochtend een nepfactuur, daardoor konden we de anderen waarschuwen."
• Twijfel mag ook. "Ik weet niet of dit echt is" is een goede melding. Liever tien keer een echte mail laten controleren dan één keer een nepmail missen.
• Het voorbeeld van de leiding. Als de eigenaar zelf meldt dat hij bijna op iets was ingetrapt, maakt dat het voor iedereen makkelijker.

Straffen werkt averechts. Niet omdat fouten niet erg zijn, maar omdat je met straffen niet de fouten minder maakt, alleen de meldingen.

Afspraken die gedrag makkelijk maken

Mensen volgen sneller een regel die duidelijk en makkelijk is. Zorg dat het veilige gedrag ook het makkelijkste gedrag is. Een paar afspraken die in bijna elk klein bedrijf passen:

Schrijf de afspraken op één A4. Niet twintig pagina's beleid die niemand leest, maar een lijstje dat naast de koffieautomaat kan hangen.

Oefenen

Een afspraak die je nooit oefent, vergeet je. Er zijn verschillende manieren om te oefenen, van licht tot zwaar.

Samen voorbeelden bekijken. Neem in het werkoverleg vijf minuten voor een echte verdachte mail die iemand kreeg (zonder persoonsgegevens). Waar zag je het aan? Wat was het echte domein van de link? Dit kost niets en werkt verrassend goed, omdat het over echte berichten in jullie eigen mailbox gaat.

Een tabletop-oefening. Je bespreekt samen een scenario: "Het is maandagochtend en niemand kan meer bij de netwerkschijf. Op elke pc staat een bericht met een losgeldeis. Wat doen we?" Je loopt de incidentkaart na en kijkt waar het hapert (les 8.1). Een uur, een keer per jaar.

Een phishingoefening. Je stuurt de collega's een nagemaakte phishingmail om te zien wie klikt en wie meldt. Dat kan leerzaam zijn, maar alleen als je het goed doet:

• Met toestemming en aangekondigd. Vertel vooraf dat er dit jaar oefeningen komen, zonder de datum te noemen. Niemand mag zich achteraf bedrogen voelen.
• Zonder afstraffen. Wie klikt, krijgt meteen een korte uitleg waar hij het aan had kunnen zien, geen berisping en geen lijst met namen in het werkoverleg.
• Meten wat telt. Het aantal meldingen is belangrijker dan het aantal kliks. Een oefening waarbij drie mensen klikken maar vijf het binnen tien minuten melden, is geslaagd.
• Geen gemene thema's. Geen nepmail over een bonus, ontslag of de gezondheid van een collega. Dat beschadigt vertrouwen meer dan het oplevert.
• Let op privacy. Bewaar niet langer dan nodig wie er klikte, en gebruik het nooit voor een beoordeling.

Voor een team van vijf is de eerste vorm vaak al genoeg. Een phishingoefening is pas zinvol als de afspraken en het meldpunt er zijn.

Nieuwe medewerkers en herhaling

Twee momenten zijn extra belangrijk.

De eerste werkdag. Een nieuwe medewerker krijgt accounts, een laptop en toegang tot systemen. Juist in die eerste weken weet hij nog niet hoe dingen normaal gaan, en dus ook niet wat afwijkend is. Een oplichter die zich voordoet als "de IT-afdeling" of "de directeur" heeft dan meer kans. Neem bij de start een half uur voor het A4 met afspraken, het meldpunt, de wachtwoordmanager en het aanzetten van tweestapsverificatie. Regel dat in hetzelfde lijstje als de rest van de indiensttreding (les 7.1).

Korte herhaling. Bewustwording zakt weg. Eén lange training per jaar werkt minder goed dan elke maand vijf minuten. Ideeën voor zo'n korte herhaling:

• een verdachte mail van deze maand bespreken;
• één afspraak van het A4 uitlichten en vragen of hij nog werkt;
• een nieuw soort fraude die in het nieuws was (bijvoorbeeld een nieuwe smoes via sms of WhatsApp, les 3.4);
• de vraag "heeft iemand deze maand iets gemeld?" en wie dat deed bedanken.

In de praktijk: zo ziet het eruit

Een voorbeeld, samengesteld uit situaties die vaak voorkomen. Een architectenbureau met negen mensen had een beleidsdocument van veertien pagina's dat bij indiensttreding werd getekend en daarna nooit meer werd geopend. Na een bijna-geslaagde factuurfraude veranderden ze drie dingen: een A4 met zes afspraken bij de printer, een vaste naam en een telefoonnummer om te melden, en elke eerste maandag van de maand vijf minuten "verdachte post" in het werkoverleg. In het eerste half jaar kwamen er meer meldingen binnen dan in de vijf jaar ervoor. Twee daarvan waren echte aanvallen, die zo vroeg werden gezien dat er niets gebeurde. De rest was vals alarm, en dat werd elke keer gewoon bedankt.

Samenvatting

• Bewustwording gaat over gedrag: stoppen, checken via een andere weg, en melden.
• Melden zonder schuld zorgt voor snelle meldingen; straffen zorgt alleen voor minder meldingen, niet voor minder fouten.
• Leg afspraken vast op één A4 en maak het veilige gedrag het makkelijkste gedrag.
• Oefen met echte voorbeelden en een tabletop; doe een phishingoefening alleen aangekondigd, zonder afstraffen en met aandacht voor privacy.
• Besteed extra aandacht aan nieuwe medewerkers en herhaal kort en vaak.

Quiz

Opdracht

Opdracht D9.2: Een bewustwordingsplan voor je team. Maak voor je eigen bedrijf een A4 met maximaal acht afspraken, wijs een meldpunt en een vervanger aan, en plan voor het komende jaar wanneer je kort herhaalt en welke oefening je doet. Beantwoord daarna de reflectievragen.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken
• NCSC, Phishing: https://www.ncsc.nl/phishing
• NCSC, CyberVeilig Check voor zzp en mkb: https://tools.ncsc.nl/cyberveilig-check/
• Fraudehelpdesk (melden van fraude en phishing): https://www.fraudehelpdesk.nl