Melden is óók cyberveilig gedrag
Medewerkers worden binnen cybersecurity vaak de ‘zwakste schakel’ genoemd. Wij kijken daar liever anders naar. Een medewerker die iets verdachts herkent en direct aan de bel trekt, kan juist helpen voorkomen dat een klein incident groter wordt.

Dat vraagt natuurlijk om bewustwording. Medewerkers moeten phishing kunnen herkennen, weten wat digitaal veilig gedrag is en begrijpen waarom maatregelen belangrijk zijn. Maar bewustwording stopt niet bij herkennen. Weten wanneer en waar je iets meldt hoort daar net zo goed bij.

Zo verandert ook de manier waarop je naar medewerkers kijkt. Niet als iemand die vooral géén fouten mag maken, maar als iemand die actief kan bijdragen aan de digitale veiligheid van de organisatie.

Wat gebeurt er als iemand wél meldt?
Stel dat een collega naar je toe komt met: “Ik weet niet zeker of dit goed ging, maar ik heb net op deze link geklikt.”Wat krijgt die medewerker vervolgens te horen? “Hoe kon je daar nou op klikken?” Of iets anders: “Goed dat je het meldt. Laten we eerst even kijken wat er gebeurd is.”

Het verschil zit misschien maar in één zin. Maar die ene zin bepaalt wel welk signaal je afgeeft. Het betekent niet dat je fouten wegwuift. Er kan nog steeds iets aan de hand zijn en er kan actie nodig zijn. Maar eerst wil je weten wat er is gebeurd, zodat je snel kunt handelen. Pas daarna komt de vraag wat je ervan kunt leren.

Een meldcultuur ontstaat niet met één zin op intranet
“Meld verdachte situaties” klinkt eenvoudig. In de praktijk moet een medewerker op een spannend moment drie dingen weten: dát melden gewenst is, wáár dat kan en dat er serieus maar zonder oordeel op wordt gereageerd.

• Maak melden makkelijk. Zorg dat iedereen weet waar een verdachte situatie gemeld kan worden.
• Reageer eerst op de situatie. Kijk eerst wat er is gebeurd en welke actie nodig is, voordat je kijkt naar wie wat heeft gedaan.
• Geef als organisatie één duidelijk signaal af. Twijfel je? Meld het. Ook als achteraf blijkt dat er niets aan de hand was.
• Neem melden mee in security awareness. Leer medewerkers niet alleen phishing herkennen, maar ook wat zij moeten doen als ze al hebben geklikt.
• Leer van meldingen. Ook een bijna-incident kan laten zien wat er beter kan.

Geen schaamte. Geen paniek. Eerst kijken wat er aan de hand is.

Liever tien keer iets controleren wat achteraf niets blijkt te zijn, dan één keer niets horen omdat iemand bang is een fout te hebben gemaakt.

De vraag voor je eigen organisatie
De vraag is dus niet alleen hoeveel medewerkers een phishingmail kunnen herkennen.
Vraag jezelf eens iets anders af: als iemand vandaag tóch klikt, weet diegene dan waar hij of zij terechtkan? En misschien nog belangrijker: durft diegene het meteen te zeggen?

Want uiteindelijk wil je niet alleen medewerkers die phishing proberen te herkennen. Je wilt medewerkers die aan de bel trekken zodra iets niet goed voelt.

Ook dát is digitale weerbaarheid.