Hoe stimuleer je veilig gedrag?
Waarom is veilig digitaal werken van belang?
Dagelijks versturen we e-mails, delen we bestanden, geven toegang tot (delen van) bedrijfsnetwerken en raadplegen we systemen die essentieel zijn voor de continuïteit van ons werk. Deze schijnbaar alledaagse handelingen blijken in de praktijk de basis voor veel cyberincidenten. Een onoplettende klik of een onbeveiligde laptop kan al voldoende zijn om schade te veroorzaken.
Tegelijkertijd zijn digitale dreigingen slimmer en gerichter. Cybercriminelen richten zich steeds vaker op medewerkers, omdat mensen toegankelijker zijn dan techniek. Een misleidende e-mail die lijkt op een bericht van een bekende leverancier werkt: het ziet er betrouwbaar uit, maar is dat niet. Hierdoor verschuift de nadruk van puur technische beveiliging naar veilig gedrag in het dagelijkse werk. Want veilig digitaal werken, is een vast onderdeel van professioneel handelen door iedereen binnen vrijwel elke organisatie.
Wat zijn de risico’s?
Een klik op een malafide link kan leiden tot de ongewenste installatie van malware. Een onbeveiligde laptop is snel te vinden door hackers die 24 uur per dag het internet scannen op zoek naar kwetsbaarheden. Verder werken organisaties steeds meer digitaal verbonden, waarbij allerlei systemen maar ook derde partijen via netwerken met elkaar zijn gekoppeld. Deze verwevenheid biedt snelheid en flexibiliteit, maar brengt een risico met zich mee, omdat één zwakke schakel gevolgen kan hebben voor een hele keten.
Een andere belangrijke ontwikkeling is de toenemende digitalisering van operationele processen. Machines, sensoren, systemen, productielijnen: ze zijn in vele gevallen verbonden met kantooromgevingen. In een fabriek kan dit betekenen dat een productielijn afhankelijk is van software-updates of externe leveranciers. Wanneer een medewerker een besmet bestand opent, kan dit effect hebben op systemen die productie aansturen.
Het hybride werken draagt hier ook aan bij. Medewerkers werken afwisselend op kantoor, bij de klant, thuis of onderweg. Dit vergroot het risico op verlies of diefstal van apparaten en op onveilige netwerken. Een openbaar wifi-netwerk zonder beveiliging is te vergelijken met hardop vertrouwelijke informatie bespreken in een druk café: meeluisteren is eenvoudig en vaak onzichtbaar.
Hoe kun je veilig digitaal werken?
Veilig digitaal werken, bestaat uit allerlei verschillende handelingen, activiteiten, maatregelen, werkwijzen en afspraken. Bewustzijn en praktische routines spelen een doorslaggevende rol. Denk bijvoorbeeld aan:
- Het vergrendelen van de laptop bij het verlaten van de werkplek;
- Het gebruik van goedgekeurde usb-sticks en externe schijven;
- Het vermijden van openbare wifi-netwerken;
- Het vermijden van ongeautoriseerde software of applicaties.
De combinatie met eenvoudige maar effectieve beveiligingsmaatregelen is het minste wat men mag verwachten. Zoals het gebruik van multifactor-authenticatie (mfa). Mfa werkt als een tweede slot op de deur: naast een sleutel is nog een extra controle nodig, zoals een code op de telefoon of een fysieke tag. Dit soort maatregelen laat zien dat digitale veiligheid niet ingewikkeld of kostbaar hoeft te zijn, mits deze consequent wordt toegepast in het dagelijkse werk.
Afspraken maken met personeel
Het invoeren van digitale veiligheidsmaatregelen werkt alleen wanneer medewerkers begrijpen waarom deze bestaan en wat het doel ervan is. Uitleggen dat een bepaalde werkwijze of tool niet willekeurig is gekozen, maar bedoeld om processen betrouwbaar en veilig te houden, vergroot de betrokkenheid van en naleving door medewerkers. Duidelijke communicatie over het ‘waarom’ helpt medewerkers om maatregelen niet als last maar juist als onderdeel van professioneel handelen te zien. Voorbeelden uit de dagelijkse praktijk, zoals het effect van een phishingmail op een productielijn, maken de noodzaak tastbaar en relevant.
Daarnaast is het ook belangrijk om medewerkers actief te betrekken bij het vormgeven van nieuw op te stellen veiligheidsprocedures. Wanneer maatregelen te ingewikkeld of onpraktisch zijn, kan het gebeuren dat medewerkers proberen om deze maatregelen te omzeilen, die vervolgens de effectiviteit hiervan ondermijnen. Door medewerkers te vragen naar hun ervaringen en verbeterpunten, ontstaat een realistische werkwijze die past bij de praktijk wat zowel de veiligheid als het draagvlak verhoogt: een maatregel werkt pas goed als mensen het echt kunnen en willen toepassen.
Wat kunnen werknemers doen?
Zoals eerder genoemd, kunnen werknemers persoonlijk veel doen om digitaal veilig te werken. Ze:
1. vergrendelen de laptop bij het verlaten van de werkplek;
Zo kunnen onbevoegden geen toegang krijgen tot systemen of informatie. Het is vergelijkbaar met het afsluiten van een kantoorruimte bij afwezigheid.
2. gebruiken alleen goedgekeurde usb-sticks en externe schijven;
Dergelijke gegevensdragers zijn bij voorkeur voorzien van versleuteling. Dit voorkomt dat gevoelige gegevens uitlekken wanneer een usb-stick of externe schijf verloren raakt.
3. vermijden openbare wifi-netwerken;
In ieder geval voor werkgerelateerde taken. Is dat niet mogelijk, gebruik dan een beveiligde verbinding, zoals een Virtual Private Network (VPN). Dit beschermt informatie tegen meekijken, vergelijkbaar met een privégesprek in plaats van een gesprek in een openbare ruimte.
4. installeren géén ongeautoriseerde software of applicaties;
Zo blijft de digitale omgeving bekend en beheersbaar en worden verborgen beveiligingsrisico’s voorkomen.
5. werken met sterke wachtwoorden, uniek voor elk gebruikersaccount;
Sterke wachtwoorden vormen de basis van digitale veiligheid. Een goed wachtwoord is te vergelijken met een unieke sleutel die niet op meerdere deuren past; het hergebruik van wachtwoorden vergroot namelijk het risico dat één incident meerdere systemen raakt. Het gebruik van een wachtwoordmanager kan helpen om dit praktisch en overzichtelijk te houden.
6. gebruiken multifactor-authenticatie waar mogelijk;
Multifactor-authenticatie voegt een extra controle toe bij het inloggen. Het is vergelijkbaar met een alarmsysteem naast een slot op de deur. Zelfs als een wachtwoord wordt onderschept, blijft toegang geblokkeerd zonder de tweede factor. Veel systemen bieden deze optie standaard aan zonder extra kosten. Het activeren ervan vermindert aantoonbaar het risico op misbruik. Consequent gebruik maakt deze maatregel effectief en betrouwbaar.
7. zijn alert op malafide berichten via e-mail, sms, social media;
Phishingberichten zijn vaak nauwelijks te onderscheiden van echte communicatie. Ze spelen in op herkenbare situaties, zoals facturen of leveringsproblemen. Controle van afzender, taalgebruik, noodzaak en onverwachte verzoeken helpt bij het herkennen van phishing. Bij twijfel is het verstandig om via een ander kanaal verificatie te zoeken, bijvoorbeeld door de afzender te bellen of een bericht te sturen. Reageert de afzender dat hij/zij niets gestuurd heeft, is de kans groot dat het om phishing gaat.
8. houden apparaten en software actueel;
Updates repareren zwakke plekken in software. Het uitstellen ervan is vergelijkbaar met doorrijden met versleten banden: het gaat vaak goed, tot het misgaat. Automatische updates verminderen de kans dat bekende kwetsbaarheden worden misbruikt. Dit geldt voor laptops, telefoons en industriële systemen. Regelmatige herstarts zorgen ervoor dat updates daadwerkelijk worden geïnstalleerd. Zo blijft de digitale werkomgeving betrouwbaar functioneren.
9. gaan zorgvuldig om met data;
Niet iedereen hoeft overal bij te kunnen of alles te weten. Deel bestanden alleen met betrokken collega’s en gebruik beveiligde platforms. Het opslaan van gegevens op persoonlijke apparaten of onbeveiligde usb-sticks vergroot risico’s. Duidelijke afspraken over datagebruik ondersteunen veilig gedrag. Dit verkleint de impact wanneer er toch iets misgaat.
10. worden op de hoogte gehouden van relevante kennis en informatie.
Digitale veiligheid werkt het best wanneer het een vaste routine is, waarbij regelmatige korte aandachtmomenten effectiever zijn dan eenmalige trainingen. Praktische voorbeelden sluiten beter aan dan abstracte regels, wat ervoor zorgt dat veiligheid meegroeit met de dagelijkse praktijk, maar ook dat medewerkers de situaties en scenario’s beter kunnen begrijpen en herkennen.
Hoe kan het CWB helpen?
Stichting Cyber Weerbaarheidscentrum Brainport ondersteunt bedrijven in de hightech- en maakindustrie met actuele dreigingsinformatie, best practices en templates, kennissessies en hulpkaarten, zoals de preventiekaart Wachtwoorden en de advieskaarten Clean desk & clear screen en Effectieve communicatie. Daarnaast kunnen leden via besloten communicatiekanalen snel informatie delen over dreigingen zoals een gesignaleerde phishingcampagne. Samen zorgen we ervoor dat je niet alleen staat en sneller kunt reageren.
Wil je meer weten of zoek je hulp? Neem dan gerust contact op met Lisette Oosterbosch (lisette.oosterbosch@cwbrainport.nl. Stuur een e-mail of bel: 06-83111210 op ma.di.do.) of Nannie van Bijsterveldt (nannie.van.bijsterveldt@cwbrainport.nl. Stuur een e-mail of bel: 06-15904539 op ma.wo.do). We helpen je graag verder. Want samen maken we de sector digitaal weerbaarder. Meer informatie over het lidmaatschap en de kosten vindt u hier.
Creëer draagvlak voor securitymaatregelen!
Informatiebeveiliging is een collectieve taak. Medewerkers moeten begrijpen waarom bepaalde regels bestaan om deze effectief en gemotiveerd na te leven. Om misverstanden of aannames te voorkomen, helpen voorbeelden van herkenbare situaties én concrete keuzes, vertaald naar duidelijke instructies mogelijk vastgelegd in een gedragscode.
Sta hierbij ook stil bij regelgeving en eisen van klanten en ketenpartners. Als medewerkers begrijpen dat bepaalde maatregelen noodzakelijk zijn, beseffen ze dat hun dagelijkse handelingen bijdragen aan het voldoen aan alle eisen en daarmee aan het (voort)bestaan van de onderneming. Zo mag je medewerkers zien als de eerste verdedigingslinie bij incidenten, zolang ze duidelijke uitleg krijgen over risico’s en gewenst gedrag.
Door uit te leggen waarom een maatregel bestaat, ontstaat draagvlak. Beveiliging wordt pas effectief wanneer medewerkers begrijpen waarom bepaalde keuzes zijn of worden gemaakt en hoe die aansluiten op hun dagelijkse werkzaamheden. Door er regelmatig over te communiceren, is cybersecurity een blijvend aandachtspunt en onderdeel van het normale werkproces.