Cybersecurity begint bij gedrag

Cybersecurity wordt vaak geassocieerd met firewalls, encryptie of geavanceerde monitoring. Technologie alleen kan phishing, social engineering of onoplettend gedrag nooit volledig voorkomen. Het antwoord? De Human Firewall: medewerkers transformeren tot bewuste, proactieve verdedigers.

“De mens is de zwakste schakel.” Het is een uitspraak die vaak opduikt in gesprekken over cybersecurity. Maar Davina Luyten, Communications Officer bij Belnet, houdt niet van die formulering. “Als je mensen de zwakste schakel noemt, leg je impliciet de schuld bij hen,” zegt ze. “Terwijl je net het omgekeerde wil bereiken. Als je werkt aan een sterke cybersecuritycultuur, moet je mensen beschouwen als een cruciale verdedigingslinie, als een sterke buffer als het ware. Mensen culpabiliseren werkt contraproductief.”

Ook Mark Brown, medeoprichter van het leerprogramma Psybersafe, plaatst kanttekeningen bij de klassieke uitspraak. “Het echte probleem is niet dat mensen fouten maken,” zegt hij. “Het probleem is dat we onvoldoende rekening houden met hoe mensen van nature reageren. Technologie moet mensen ondersteunen, niet andersom.”

Technologie én
psychologie

Dat cybercriminelen vaak via mensen binnenraken, is duidelijk. Phishingmails en andere vormen van social engineering blijven bijzonder effectief. Volgens Luyten evolueren dreigingen razendsnel. “Bedrijven beveiligen zich steeds beter. Maar cybercriminelen verfijnen voortdurend hun technieken,” zegt ze. “Met artificiële intelligentie is het vandaag perfect mogelijk om stemmen na te bootsen of overtuigende video’s te maken.”

Brown wijst op de onderliggende psychologie. “Cybercriminelen spelen in op vaste mechanismen: autoriteit, tijdsdruk, nieuwsgierigheid, urgentie. ‘Je account wordt geblokkeerd’, of ‘je moet nu handelen’. Dat zijn prikkels die ons brein als bedreigend ervaart. Zodra dat gebeurt, schakelen we over op een oeroude reactie: fight, flight of freeze. We krijgen tunnelvisie en stoppen met kritisch nadenken.” Daarom blijven phishingaanvallen werken, zelfs bij mensen die weten wat phishing is. “Het probleem is geen gebrek aan kennis,” zegt Brown. “Wel aan inzicht in ons eigen gedrag.”

Belnet, het Belgische onderzoeks- en onderwijsnetwerk dat universiteiten en onderzoeksinstellingen verbindt, zet sterk in op awareness, ook in Europees verband. Luyten merkt dat veel mensen hun eigen rol onderschatten. “We horen vaak: ‘Ik heb toch niets te verbergen.’ Maar het gaat er niet om of criminelen geïnteresseerd zijn in jouw persoonlijke bestanden. Ze zijn geïnteresseerd in de organisatie waar jij deel van uitmaakt. En via jou proberen ze binnen te raken.”

Brown vult aan: “Velen denken: ik ben geen CEO, waarom zouden ze mij aanvallen? Maar het kost bijna niets om duizenden phishingmails te versturen. Iedereen is een potentieel doelwit.” Eén gecompromitteerde mailbox kan voldoende zijn om toegang te krijgen tot gevoelige gegevens of interne systemen.

Meer dan een jaarlijkse phishingtest

Toch schieten veel awarenessprogramma’s volgens beide experts hun doel voorbij. “Sommige organisaties sturen één of twee keer per jaar een phishing-simulatie rond, rapporteren het klikpercentage en gaan daarna over tot de orde van de dag,” zegt Luyten. “Dat is geen duurzame aanpak.”

Brown is ook kritisch: “Met de juiste context kan je het klikpercentage sterk beïnvloeden. Dat zegt weinig over echte bewustwording. Bovendien werkt het ontmoedigend als mensen het gevoel krijgen dat ze ‘betrapt’ worden.” Volgens hem is gedragsverandering een proces van herhaling. “Na een maand is het grootste deel van een klassieke training vergeten. Bewustwording moet je continu voeden.” Bij Psybersafe gebeurt dat via korte, maandelijkse leermomenten van vijf tot acht minuten. “De vraag is niet: wat moet je weten? Wel: waarom reageer je zoals je reageert, en hoe kan je dat bijsturen?”

Maak veilig
gedrag eenvoudig

Bij Belnet kunnen medewerkers verdachte mails met één klik rapporteren via een knop in hun mailbox. “Het securityteam onderzoekt de melding en koppelt terug. Zo leren mensen bij zonder het gevoel dat ze iets fout hebben gedaan.”

Ook rond wachtwoorden kiest Belnet voor gebruiksvriendelijke oplossingen. “We moedigen het gebruik van een wachtwoordmanager aan,” zegt Luyten. “Dat is een digitale kluis waarin je al je wachtwoorden veilig bewaart. Je moet nog maar één sterk hoofdwachtwoord onthouden. Zo verlaag je de drempel om veilige keuzes te maken.” Brown: Als iets te moeilijk is, of alleen al wordt ingeschat als moeilijk, doen mensen het vaak niet. Maak het gemakkelijk, en het gewenste gedrag volgt.”

Cybersecurity is volgens beide experts in essentie een cultuurverhaal. “Het is cruciaal dat het management erachter staat en zelf het goede voorbeeld geeft,” zegt Luyten. “Als security enkel iets is van de IT-afdeling, wordt het nooit echt geïntegreerd.” Brown sluit zich daarbij aan. “Mensen zijn geen probleem, wel een essentieel onderdeel van de oplossing.”

“Als je een onverwacht of dringend verzoek krijgt, pauzeer even,” zegt Luyten. “Laat je niet meeslepen door urgentie.” Volgens Brown zit daar de kern. “Veel aanvallen slagen door één impulsieve klik. Technologie alleen kan dat niet oplossen. Pas wanneer we begrijpen hoe mensen denken en reageren, en daar structureel op inspelen, wordt cybersecurity echt effectief.” •