Pas (er)op! - ‘Kan ieder (cyber-)security programma verrijken’

In het eerste hoofdstuk van Pas (er)op! leggen Hoogstra en Tonkes uit wat informatiebeveiliging is, hoe het zich verhoudt tot privacy en worden diverse normenkaders besproken om informatiebeveiliging in te richten. De belangrijkste hiervan is de ISO 27001 standaard voor informatiebeveiliging. Vervolgens lees je over de vier soorten maatregelen die je als organisatie kunt nemen en met de laatste maatregel vestigen ze ook de aandacht op de aanleiding en de kern van het boek: de mens. Het gedrag van mensen is nagenoeg allesbepalend als het gaat om het succes van informatiebeveiliging, omdat dit gedrag ook de andere maatregelen beïnvloedt. Daarom verdient deze categorie wat extra aandacht.

Bewust werken aan gedrag

Met bekende theorieën illustreren Hoogstra en Tonkes dat bewust maken alleen niet voldoende is. Om te komen tot echte gedragsverandering zul je een proces moeten doorlopen waarbij je gaat van onbewust onbekwaam (‘het gaat niet goed en we weten niet waarom’) naar onbewust bekwaam (‘we doen de goede dingen en we doen de goede dingen op de juiste manier, uit gewoonte’). Daarbij besteden ze ook direct aandacht aan valkuilen en uitdagingen waar je tegenaan kunt lopen, zodat je deze kunt aanpakken en daardoor sneller succes boekt.

Werken vanuit de ik-vorm

Door 9 gedragsregels te presenteren in de ik-vorm stimuleren Hoogstra en Tonkes de intrinsieke motivatie van medewerkers, die o zo belangrijk is om de menselijke maatregelen succesvol in te zetten. De regels worden helder toegelicht, waardoor je die regels als organisatie uitstekend kunt gebruiken om te zorgen dat je met alle neuzen dezelfde kant op staat als het gaat om informatiebeveiliging. In de praktijk blijkt namelijk dat veel zaken die als vanzelfsprekend worden aangenomen, absoluut niet vanzelfsprekend zijn. Met behulp van de vergeetcurve van Hermann Ebbinghaus kom je erachter hoe broodnodig blijvende aandacht is. Ik schrok ervan hoe snel je informatie kwijt bent. Medewerkers hebben meer nodig dan één cursusje of een mailtje met een PDF van een paar pagina’s. Echt veilig werken bereik je pas als je ze actief blijft betrekken bij het proces.

Hoe kom je tot echte gedragsverandering?

Omdat een theorie pas waardevol is als zij praktisch inzetbaar is, geven Hoogstra en Tonkes je de nodige hulpmiddelen om je medewerkers blijvend positief gedrag te helpen vertonen. Een PowerPoint presentatie over de schutting heen gooien werkt namelijk niet. Heel slim worden diverse hulpmiddelen gekoppeld aan een reeks van verschillende manieren van leren; iedereen leert immers op een andere manier. Vele praktische voorbeelden passeren de revue waar je je voordeel mee kunt doen, maar toch voelt het boek als behapbaar en wordt het nergens overweldigend. Ook wordt er gebruik gemaakt van leuke cartoons die de gedragsregels nog eens visueel duidelijk maken, met soms pijnlijke situaties die helaas in de praktijk nog verrassend vaak voorkomen.

In Pas (er)op! wordt niet alleen uitgelegd wát je hoort te doen, maar je krijgt ook nog eens concrete aanwijzingen voor hóe je dat moet(of kunt) doen. Van alle 9 gedragsregels leer je dat er verschillende fases zijn die je moet doorlopen en ook hoe medewerkers daarbij ondersteund moeten worden om op een positieve manier resultaten te boeken.

Stappenplan

Voor degenen die alle kennis uit het boek nog wat abstract vinden en niet zo goed weten hoe ze er mee uit de voeten kunnen, geven Hoogstra en Tonkes je nog een mooi stappenplan cadeau, waardoor je meteen op een gestructureerde manier werk kan maken van die positieve gedragsverandering. Sommige stappen omvatten grotere processen, maar ze worden kort toegelicht, met de nodige verwijzingen, zodat je direct een houvast hebt.

Al met al is Pas (er)op! een erg handig boek dat ieder (cyber-)security programma kan verrijken, ongeacht hoe groot of klein je organisatie is. Waar veel programma’s eindigen met awareness, helpen Hoogstra en Tonkes je op weg naar blijvend succes met blijvende gedragsverandering.