Gedragsverandering Van weten naar doen
In veel organisaties is awareness een jaarlijkse verplichting: een e-learningmodule van twintig minuten, een certificaat, en terug naar het werk. Onderzoek laat telkens hetzelfde zien: een half jaar later is het effect verdwenen. Zo'n module draagt kennis over, maar verandert weinig aan wat medewerkers in de praktijk doen.
Dat komt doordat kennis en gedrag twee verschillende dingen zijn. Vrijwel iedereen kan na een training de kenmerken van een phishing-mail opnoemen, en toch klikt een deel van diezelfde medewerkers bij de volgende simulatie. Onder tijdsdruk — twintig tabbladen open, drie deadlines vandaag — wint het snelle, automatische brein het van het analytische. De beslissing om te klikken wordt niet genomen door het deel van het brein dat de training heeft gevolgd.
Gedragsverandering vraagt om drie dingen tegelijk: herhaling, herkenbare scenario's en directe feedback. Een phishing-simulatie combineert die drie. De medewerker ontvangt een realistische e-mail, maakt een keuze en hoort direct of die goed was. Wie dat twee tot vier keer per jaar herhaalt, met steeds andere scenario's, bouwt een alertheid op die een jaarlijkse module nooit bereikt.
Minstens zo belangrijk is wat er na een fout gebeurt. Medewerkers die een reprimande vrezen, melden incidenten niet, en dan blijft schade onnodig lang onzichtbaar. Organisaties met een sterke beveiligingscultuur belonen melden in plaats van het te bestraffen. Daarnaast loont het om veilig gedrag makkelijk te maken: een wachtwoordmanager die automatisch invult, een waarschuwingsbanner bij e-mail van buiten, een classificatie-pop-up bij het opslaan van een document. Dit soort duwtjes in de omgeving — nudging — verkleint het gat tussen weten en doen.
De sterkste beveiligingscultuur is niet waar niemand fouten maakt, maar waar iedereen ze meldt.
