Qwerty123456, Wachtwoord, Welkom01! Zomer2021. Staat uw wachtwoord ertussen? Het kan zomaar, want uit onderzoek blijkt dat een groot deel van alle beveiligings­incidenten te wijten is aan de menselijke factor en door gebruik van zwakke of gestolen wachtwoorden. Het cliché luidt niet voor niets dat de mens de zwakste schakel is in cyberveiligheid. Bij het ministerie van Justitie en Veiligheid willen ze van de medewerker juist de sterkste schakel maken. Medewerkers van JenV werken met gevoelige informatie en zijn bij uitstek degenen die verdachte zaken kunnen opmerken en melden. Maar dan moeten ze wel goed getraind zijn, weten waarop ze moeten letten én waar ze kunnen melden.

“Ons ideaal is een eigen noodnummer voor onveilige situaties, zoals 112 maar dan voor ICT”, zegt Frances van Luxemburg, coördinator van het programma Weerbaar JenV. “Zolang we nog geen hotline hebben, proberen we te zorgen dat alle medewerkers precies weten waar ze terecht kunnen: voor privacy-incidenten bij de privacy officers, voor informatieveiligheidsincidenten bij de chief information security officers (CISO) en voor fysieke dreiging bij de beveiliging en de receptie. Daarnaast is er een integriteitsofficer voor ethische aspecten.”

Frances van Luxemburg

Op cursus

Het doorlopende programma Weerbaar JenV is gestart in 2018, omdat het ministerie haar medewerkers in staat wilde stellen om op een veilige en verantwoorde manier om te gaan met gegevens en voorzieningen. De strategie is gericht op het bevorderen van het risicobewust handelen van medewerkers, het optimaal faciliteren door de organisatie en het monitoren van de weerbaarheid. Daarvoor zijn drie instrumenten beschikbaar. Zo is er een online cursus ontwikkeld met verschillende modules, waarvan de eerste twee modules verplicht gesteld zijn in het personeelsreglement. Iedereen die in dienst komt volgt de introductiecursus. De tweede module in de basiscursus wordt jaarlijks aangepast aan de actualiteit en aan actuele risico’s en moet dan ook jaarlijks opnieuw worden doorlopen.

Naast de verplichte basiscursus zijn er modules beschikbaar voor diverse doelgroepen, waaronder leidinggevenden en medewerkers met specifieke werkzaamheden, zoals systeembeheerders. Iedere cursus is aangepast aan het type organisatie, want een uitvoeringsorganisatie als Dienst Justitiële Inrichtingen heeft met andere zaken te maken dan het bestuursdepartement.

Van Luxemburg bespreekt regelmatig de resultaten met de organisaties. “Over het algemeen zijn de uitvoeringsorganisaties heel blij dat wij hierin faciliteren. De verplichtstelling in het personeelsreglement is een mooie stok achter de deur. Zelf zijn de organisaties verantwoordelijk voor de inbedding in de organisatie.”

Het aantal meldingen van veiligheidsincidenten is aanzienlijk gestegen sinds de medewerkers de cursus volgen. Het succes van de aanpak komt volgens Van Luxemburg doordat ze een handelingsperspectief krijgen aangereikt. Dit is één van de belangrijkste speerpunten binnen het programma. Ook essentieel voor het succes is de verplichtstelling, die zorgt voor commitment.

Weerbaarheidsmeting en phishingmails

In de jaarlijkse weerbaarheidsmeting monitort het programma hoe het staat met de kennis van medewerkers en hoe veilig werken met informatie bij JenV wordt ervaren. Medewerkers geven aan of ze het eens of oneens zijn met stellingen als ‘ik schrijf weleens wachtwoorden op’. Leidt dat niet tot sociaal wenselijke antwoorden? “Dat proberen we te ondervangen doordat het anoniem is en doordat iedereen dezelfde meting ontvangt. De methodiek is wetenschappelijk onderbouwd.”

Een derde instrument binnen het programma is de phishingcampagne. Het percentage medewerkers dat op een link in een phishingmail of sms’je klikt, daalt gestaag. Inmiddels ligt het veertig procent lager dan toen de eerste phishingmails werden verstuurd. Van Luxemburg: “De aanpak van het management in de verschillende organisaties werkt door in de resultaten. Wanneer het commitment hoog is, zie ik dat de resultaten sneller bereikt worden en dat de klikpercentages lager liggen. Veel aandacht maakt mensen alerter, is onze ervaring.”