Handreiking - Security Awareness (Concept)

Handreiking
Security Awareness
Een handreiking voor het opzetten en onderhouden van een bewustwordingsprogramma
werkdocument

1

“Bewust Vitaal”
Herstel van de zwakste schakel

Een handreiking voor het ontwikkelen van een
Security Awareness programma

Wat is het NAVI
In het Nationaal Adviescentrum Vitale Infrastructuur (NAVI) werken overheid en bedrijfsleven samen aan de
verbetering van de fysieke en digitale beveiliging van de vitale infrastructuur in Nederland. Beheerders en
eigenaren van de vitale infrastructuur in Nederland kunnen bij het NAVI terecht voor informatie en onafhankelijk
advies op het gebied van de beveiliging tegen moedwillige verstoring (security). De vier kerntaken van het NAVI
zijn:

Advisering over beveiliging
Het NAVI geeft eigenaren of beheerders van vitale infrastructuur in Nederland advies over beveiliging.
Bijvoorbeeld bij het uitvoeren van risicoanalyses of van een second opinion op een bestaand beveiligingsplan.
Ook adviseert het NAVI over al genomen of nog te nemen beveiligingsmaatregelen op basis van een
risicoanalyse. Hierbij werkt het NAVI vraaggericht.

Delen van kennis en informatie over beveiliging
Het NAVI zorgt ervoor dat betrokken partijen kennis en informatie binnen de vitale sectoren in Nederland kunnen
delen. Het NAVI onderhoudt daartoe contacten met overheden en met het bedrijfsleven uit de vitale sectoren en
daarnaast met relevante contacten en instellingen in het buitenland. Kennis en informatie worden op
verschillende manieren beschikbaar gesteld, ondermeer door het organiseren van bijeenkomsten, via de website
en de beschikbaarheid van een kennisbank.

Productontwikkeling
Het NAVI ontwikkelt ook eigen producten. De focus ligt hierbij op producten die voor een hele sector of zelfs
meerdere sectoren toepasbaar zijn. Voorbeelden hiervan zijn de verschillende handreikingen die momenteel
worden ontwikkeld over beveiligingsonderwerpen. Indien nodig worden de producten op verschillende niveaus
van volwassenheid ontwikkeld. Ook spant het NAVI zich in om producten van derden voor de Nederlandse vitale
infrastructuur toegankelijk te maken.

Netwerkfunctie
Het NAVI onderhoudt en ontwikkelt een breed netwerk binnen de beveiligingswereld en fungeert als
ontmoetingsplek voor de betrokken partijen binnen de vitale infrastructuur. Zowel voor overheidspartijen,
kennisinstellingen in binnen en buitenland, als bedrijven. Het NAVI brengt partijen bij elkaar, bijvoorbeeld via het
organiseren en ondersteunen van kennis- en informatieknooppunten. Hierin komen partijen uit een sector of uit
verschillende sectoren op reguliere basis bij elkaar om informatie te delen en om over beveiligingsonderwerpen te
spreken.

Kijk voor meer informatie op de website: www.navi-online.nl

1-dec-08, versie 0.6 pagina 3 van 36

Managementsamenvatting

Organisaties kunnen de integriteit, vertrouwelijkheid en Not My Problem
beschikbaarheid van informatie in hedendaagse
Professionals en hun organisaties zijn bereid om
gedistribueerde netwerken en de veiligheid van
grote investeringen te doen
personeel, materieel, gebouwen en processen niet
om technische maatregelen te implementeren
garanderen zonder dat iedere betrokken medewerker
zijn rol en verantwoordelijkheid begrijpt en adequaat is (techniek): veelal de eerste

opgeleid. De menselijke factor is een dermate grote volwassenheidsfase.

kritieke succesfactor dat het noodzakelijk en verplicht is, Professionals komen er achter dat techniek alleen
om management, beheerders en gebruikers van niet genoeg is. Procedures
systemen periodiek een bewustwordingsprogramma te dienen volledig te zijn, gecommuniceerd te
laten volgen dat gericht is op beveiliging. worden – kortom: beveiliging dient
georganiseerd te worden. De tweede
Deze handreiking voor het ontwikkelen van een volwassenheidsfase.
Security Awareness programma geeft organisaties een En als het dan georganiseerd is, en de techniek is
aanzet om een eigen bewustwordingsprogramma op te afgesteld, dan blijkt veelal
zetten of verder uit te bouwen. Het behandelt op grote dat mensen 'het gewoon niet zo doen'. En
lijnen het ontwikkelen van een plan, de ontwikkeling van
Nederlanders al helemaal niet.
materiaal en de implementatie en evaluatie ervan.
Nederlanders hebben een hekel aan
beveiligingsmaatregelen: “Waar is het
De start van de ontwikkeling van deze handreiking ligt
voor nodig?” “Hier gebeurt nooit wat” “Laten ze
nog maar kort achter ons en het NAVI is zich er van
maar eerst bij zichzelf
bewust dat tussen maar ook binnen de vitale sectoren
beginnen ”en andere uitvluchten, samen te vatten
een grote diversiteit is aan behoefte van bedrijven. Deze
tot “It Is Not My Problem”.
handreiking heeft daarom de status van een eerste
openbare concept. De lezer wordt van harte uitgenodigd Bron: Lezing van het Platform voor

commentaar en aanvullingen te geven waardoor het Informatiebeveiliging

plan van aanpak van het bewustwordingsprogramma
breder inzetbaar is en de kwaliteit verhoogd wordt.


Inhoudsopgave
1. Productbeschrijving ..................................................................................................................................... 9
1.1. Inleiding ................................................................................................................................................ 9
1.2. Achtergrond.......................................................................................................................................... 9
1.3. Relatie met andere literatuur ................................................................................................................ 9
1.4. Leeswijzer .......................................................................................................................................... 10
2. Product ........................................................................................................................................................ 11
2.1. Algemeen ........................................................................................................................................... 11
2.2. Doelgroep........................................................................................................................................... 12
2.3. De relatie naar bekwaamheid en bewustzijn ...................................................................................... 12
2.4. Waarom “Eerste openbare Concept”?................................................................................................ 12
3. De samenhang tussen de Componenten: Training, bewustzijn en opleiding ....................................... 15
4. De ontwerpfase ........................................................................................................................................... 17
4.1. Inleiding .............................................................................................................................................. 17
4.2. Structureren van een programma....................................................................................................... 17
4.3. Belangen- en behoeftebepaling.......................................................................................................... 18
4.4. Opstellen van een plan....................................................................................................................... 19
4.5. Stellen van prioriteiten ........................................................................................................................ 20
4.6. Mate van complexiteit......................................................................................................................... 20
4.7. Budgettering ....................................................................................................................................... 21
4.8. Commitment en draagvlak.................................................................................................................. 21
5. De ontwikkeling van materiaal................................................................................................................... 23
5.1. Inleiding .............................................................................................................................................. 23
5.2. Ontwikkelen van bewustwordingsmateriaal........................................................................................ 23
5.3. Selecteren van onderwerpen voor bewustwording............................................................................. 23
5.4. Bronnen voor materiaal ...................................................................................................................... 24
5.5. Uitbesteden of zelf doen?................................................................................................................... 25
5.6. Partnerschap ...................................................................................................................................... 25
5.7. Informatie-uitwisseling via de website van het NAVI .......................................................................... 25
5.8. De vorm.............................................................................................................................................. 25
6. De implementatiefase ................................................................................................................................. 27
6.1. Wijze van communiceren ................................................................................................................... 27
6.2. Technieken om de “boodschap” over te brengen ............................................................................... 27
7. De evaluatie- en onderhoudsfase.............................................................................................................. 29
7.1. Meten van de deelname en de effectiviteit ......................................................................................... 29
7.2. Evaluatie en feedback ........................................................................................................................ 30
7.3. Veranderingen doorvoeren................................................................................................................. 30
7.4. Verhogen van het niveau.................................................................................................................... 31
7.5. Succes indicatoren ............................................................................................................................. 31
8. Bijlage 1: Voorbeelden ............................................................................................................................... 33
8.1. Bewustwordingsprogramma gericht op Social Engineering................................................................ 33
8.2. Enkele voorbeelden van posters ........................................................................................................ 34
9. Bijlage 2; Literatuuroverzicht .................................................................................................................... 35


1. Productbeschrijving

1.1. Inleiding
Voor u ligt het eerste openbare concept van ‘Bewust Vitaal’, de handreiking Security Awareness van het NAVI.
Deze handreiking beschrijft welke activiteiten ondernomen moeten worden om te komen tot een Security
Awareness programma. Het bevat naast een stappenplan ook een plan van aanpak en creatieve ideeën om een
bewustwordingsprogramma op te zetten en te onderhouden. Er wordt een groot aantal praktische voorbeelden
gegeven hoe oplossingen gevonden zijn voor binnen een bedrijf aanwezige praktische problemen.

1.2. Achtergrond
Het NAVI heeft ervaren dat er een grote diversiteit is in de mate waarin bedrijven binnen de vitale sectoren hun
bewustwordingsprogramma op orde hebben. Bewustwording en bewustzijn zijn een voorwaarde voor
veiligheidsbewust handelen. Door een medewerker inzage te geven in de dreigingen, achtergronden van
maatregelen toe te lichten en de noodzaak om maatregelen te nemen te verduidelijken, zal zijn houding en
gedrag ten opzichte van security beïnvloed worden.

1.3. Relatie met andere literatuur
Bewustwordingsprogramma’s zijn er in veel geuren en kleuren, en ze
hebben allemaal gemeen dat ze geschreven zijn voor een bepaald Bruce Schneier:
bedrijf of bedrijfstak, ieder met zijn eigen cultuur, problemen en
Security yes, but down to earth,
risico’s. Bewustwordingsprogramma’s kunnen daarom niet zonder
without the mumbo jumbo,
meer worden overgenomen van andere bedrijven en moeten dus
without shouting in utter Panic:
vaak zelf ontwikkeld of aangepast worden. Handleidingen om te
“Barbarians at The Gate”.
komen tot de ontwikkeling van een bewustwordingsprogramma die
Boodschap: overdrijf niet en zorg
zich richten op de bedrijven in Nederland in de vitale sectoren, zijn er
niet. Natuurlijk is er wel veel over geschreven in diverse publicaties voor afweging tussen veiligheid en

maar de benodigde informatie is te verspreid om een eenduidig beeld werkbaarheid.

te geven. De bundeling van de informatie voor deze doelgroep is
daarom uniek.

Enkele voorbeelden van publicaties die waardevolle aanvullende informatie kunnen geven zijn (zie ook
literatuurbijlage):
- Building an Information Technology Security Awareness and Training Program van het NIST (National
Institute of Standards and Technology)
- Information Technology Security Training Requirements van het NIST
- Bruce Schneier, Beyond Fear:
- K.D. Mitnick, The art of deception; the human factor in Information Security
- Robert B. Cialdini; Using the Science of Influence to Improve the Art of Persuasion
- Y. Lafrance, Psychology: A precious security tool


1.4. Leeswijzer
De beschrijving van de handreiking, de relatie naar een
Bruce Schneier; Beyond fear.
volwassenheidsmodel en hoe deze handreiking gebruikt kan Over the last years we've become
worden vindt u in hoofdstuk 2. obsessed with security, and put in place
In deze handreiking worden vier kritische stappen onderkend a whole host of policies and procedures
om te komen tot een bewustwordingsprogramma:
that will do... exactly what?
- In Hoofdstuk 3 wordt de samenhang tussen de
(..) The key is to think of security not in
componenten training, bewustzijn en opleiding
beschreven; absolutes, but in terms of sensible trade-
- De ontwerpfase waarin het doel en de behoefte offs, whether on a personal or global
wordt bepaald en waarin een strategie wordt scale.
ontwikkeld (hoofdstuk 4);
(..) is a refreshing antidote to today's
- De ontwikkeling van trainingsmateriaal, afgestemd
doomsday pessimism and anxiety.
op de mogelijkheden, budget en beschikbare kennis
(hoofdstuk 5). In dit hoofdstuk worden diverse
Boodschap: overdrijf niet en zorg voor
soorten materiaal besproken zoals web-based afweging tussen veiligheid en
training, video, workshops, etc; werkbaarheid.
- De implementatie van het programma en de rol van
communicatie daarin (hoofdstuk 6);
- Evaluatie en onderhoud van de actualiteit en effectiviteit van het programma (hoofdstuk 7).

In de bijlagen zijn voorbeelden opgenomen van (delen van) bewustwordingsprogramma’s, waaronder een
programma dat bescherming biedt tegen het verstrekken van vertrouwelijke informatie door medewerkers aan
onbekende personen, zogenaamde Social Engineering.


2. Product
In dit hoofdstuk wordt beschreven wat de handreiking is, hoe deze gebruikt kan worden en ook wat de
handreiking niet beoogd te zijn. Tevens wordt aangegeven waarom dit document als “Eerste openbare concept”
ter beschikking wordt gesteld.

2.1. Algemeen
Het NAVI heeft zich naar aanleiding van signalen uit de vitale sectoren, tot doel gesteld om een handreiking te
schrijven, die door bedrijven in de vitale sectoren gebruikt kan worden om een bewustwordingsprogramma op te
zetten of te verbeteren. De mate waarin bedrijven een zeker niveau van “volwassenheid” hebben bereikt in het
realiseren van een bewustwordingsprogramma varieert zowel tussen de sectoren onderling, alsook binnen de
sectoren tussen de bedrijven. De mate van “volwassenheid” kan op hoofdlijnen worden onder verdeeld in drie
niveaus, variërend van laag, middel en hoog.

“volwassenheid”
Laag: Bedrijven hebben geen strategisch beleid en/of structureel budget Informele organisatie
voor een bewustwordingsprogramma. Er is nog geen of slechts
De socioloog Erving Goffman
incidenteel een bewustwordingsprogramma gerealiseerd. De
beschrijft in zijn boek The
verantwoordelijkheid voor het uitvoeren van een
Presentation of Self in Everyday
bewustwordingsprogramma is niet of slechts beperkt belegd bij een
Life op fascinerende wijze de
daarvoor aangewezen medewerker. Opvolging van eerder uitgebracht
manier waarop we blijven
programma strandt door het ontbreken van beleid, budget en/of
geloven in, en vasthouden aan de
creativiteit. Incidentregistratie wordt niet of niet volledig uitgevoerd.
formele realiteit:
Middel: Er is beleid en beschikbaar budget ten aanzien van
De wetten, de regels, de Security
bewustwording en er worden bewustwordingsprogramma’s uitgevoerd.
De verantwoordelijkheid hiervoor is belegd bij een medewerker van het Policies, de bewustwordings

bedrijf. Er vindt incidentregistratie plaats en er worden analyses op de trainingen, de seminars, etc.
incidenten uitgevoerd. Het bedrijf is zich bewust van de incidenten die Daarnaast bestaat er echter een
het gevolg zijn van niet beveiligingsbewust handelen van medewerkers. informele, vaak ontkende
Het bedrijf heeft moeite om voortdurend aandacht te blijven vragen voor organisatie waarin zelfs in
het onderwerp beveiligingsbewustwording omdat budgetten onder druk autoritaire instituties met “total
staan, de relatie naar een verlaging van het aantal incidenten niet control” (gevangenissen,
duidelijk is of door andere oorzaken, waaronder een gebrek aan psychiatrische ziekenhuizen, het
creativiteit. leger, religieuze ordes) vinden
Hoog: Er is beleid en beschikbaar budget ten aanzien van mensen hun weg om regels te
bewustwording en er worden bewustwordingsprogramma’s uitgevoerd.
buigen en hun eigen realiteit te
De verantwoordelijkheid hiervoor is belegd bij een medewerker of een
creëren om drugs, alcohol, sex,
afdeling van het bedrijf. Over de stand van zaken wordt reguleer
sigaretten etc. te bemachtigen.
gerapporteerd aan het management. Er vindt incidentregistratie plaats
Het is aan te raden om met deze
en er worden analyses op de incidenten uitgevoerd. Het bedrijf is zich
informele organisatie rekening te
bewust van de risico’s die het gevolg zijn van niet beveiligingsbewust
houden bij het formuleren van
handelen van medewerkers. De bewustwordingsprogramma’s maken
(soms complexe)
gebruik van vernieuwende en creatieve middelen en zijn daardoor in
veiligheidsprocedures
staat de aandacht voor bewustwording vast te houden. Medewerkers
begrijpen de intentie achter maatregelen en zijn daardoor in staat


beveiligingsbewust te handelen in alle voorkomende situaties.

2.2. Doelgroep
Deze handreiking Security Awareness richt zich op bedrijven die zich qua “volwassenheid” op de niveaus laag
en/of middel bevinden, dus voor bedrijven die een bewustwordingsprogramma willen starten of uitbreiden. Aan
de hand van case beschrijvingen zal de ervaring van bedrijven die zich op het niveau hoog bevinden, worden
meegenomen. Dit verhoogt niet alleen het draagvlak van het bewustwordingsprogramma maar draagt bij tot het
uitdragen van kennis, ervaring en creativiteit.

2.3. De relatie naar bekwaamheid en bewustzijn
Een lage mate van beveiligingsbewustwording wordt gekenmerkt doordat mensen fouten maken zonder dat zij
zich er van bewust zijn (1. Onbewust onbekwaam). Het doel van bewustwordingstrainingen is initieel om
medewerkers zich er van bewust te maken dat zij fouten maken of gemaakt hebben en waarom dit handelen als
fout getypeerd wordt (2. Bewust onbekwaam). Nadat dit stadium bereikt is wordt de medewerker het juiste gedrag
aangeleerd. De medewerker moet zich bewust zijn van de risico’s van zijn gedrag en handelt zoals hem is
aangeleerd (3. Bewust bekwaam). In de hoogste mate van bewustwording is het veilig handelen van de
medewerker een regulier onderdeel van zijn dagelijks functioneren. Hij handelt in overeenstemming met wat hem
geleerd is en is in staat om het aangeleerde ook in andere situaties toe te passen (4. Onbewust bekwaam).

Onbekwaam Bekwaam
Onbewust 1. Onbewust onbekwaam 4. Onbewust bekwaam
Bewust 2. Bewust onbekwaam 3. Bewust bekwaam

Deze handreiking heeft met name betrekking op “bewust onbekwaam” en “bewust bekwaam” handelen.

2.4. Waarom “Eerste openbare Concept”?
Zoals in de inleiding is geschetst, heeft het NAVI zich tot doel gesteld om een handreiking te maken die breed
toepasbaar is om een bewustwordingsprogramma op te zetten of verder uit te bouwen. De start van de
ontwikkeling van deze handreiking ligt echter nog maar kort achter ons en het NAVI is zich er van bewust dat
tussen maar ook binnen de vitale sectoren een grote diversiteit is aan behoefte van bedrijven.

De eerste stap is daarom een concept van een generiek The fallacy of novelty
stappenplan en plan van aanpak te presenteren. De
Nieuwer is nog niet beter
bedrijven binnen de sectoren worden nadrukkelijk
Het is een misvatting dat nieuwe middelen
uitgenodigd om hun commentaar en aanvullingen te
beter zijn dan de oude. Besluiten worden
geven.
vaak genomen op basis van de aanname

Handreiking houdt hier in dat het gebruikt kan worden bij dat nieuwer ook beter is en het oude is

de begeleiding van de totstandkoming van een afgedankt, in plaats van op meetbare

bewustwordingsprogramma. Het neemt degene die gegevens. De symboliek van “state of the
verantwoordelijk is gesteld, mee in zijn proces om art techniek” of “up-to-date” te willen zijn
problemen te onderkennen, doelen te definiëren en is soms erg belangrijk.
oplossingen te creëren. Het is nadrukkelijk geen keurslijf,


geen voorschrift. Het beoogt het proces te beschrijven, niet de inhoud. Dat wordt overgelaten aan de creativiteit
van de verantwoordelijke manager en is sterk afhankelijk van het bedrijf of de sector waarvoor dit
bewustwordingsprogramma wordt geschreven

De tweede stap is om dit commentaar te verwerken tot een breder gedragen en toepasbare handreiking. Indien
uit de commentaren en aanvullingen blijkt dat er behoefte is aan meer specifieke onderwerpen per bedrijf of
sector, dan wordt deze opgenomen in aanvullende hoofdstukken. Het mag immers duidelijk zijn dat een
bewustwordingsprogramma voor een bank andere eisen stelt dan die voor de petrochemische
Industrie, al was het alleen maar omdat de bedrijfsvoering van een geheel andere aard is.

U, de lezer, wordt daarom van harte uitgenodigd om bij te dragen aan een kwalitatief betere handreiking Security
Awareness door commentaar en aanvullingen te geven. Ook nodig ik u van harte uit om voorbeelden aan te
dragen van uitdagingen, die u in de praktijk hebt ervaren en die u hebt kunnen oplossen, zodat andere bedrijven
kunnen leren van uw creatieve oplossingen. Wij vragen u nadrukkelijk niet om veiligheidsincidenten die zich
binnen uw bedrijf hebben voorgedaan te beschrijven. Door het openbare karakter van deze handreiking Security
Awareness kunnen wij de vertrouwelijkheid van de incidenten en de afhandeling niet garanderen.


3. De samenhang tussen de Componenten: Training,
bewustzijn en opleiding

Een succesvol beveiligingsprogramma bestaat in de basis uit vier elementen:
• een strategie die gebaseerd is op de belangen en behoeften van de organisatie en afgestemd op de
bestaande en onderkende risico’s;
• een op die belangen en risico’s toegesneden combinatie van fysieke, logische (digitale) en
organisatorische beveiligingsmaatregelen vastgelegd in een Security Management System (SMS) en
een Operator Security Plan (OSP);
• medewerkers die geïnformeerd zijn over hun taken en verantwoordelijkheden zoals die zijn vastgelegd in
beveiligingsdocumentatie en procedures; en
• processen die het programma periodiek impulsen geven, bewaken en evalueren.

Een goed bewustwordingsprogramma moet aansluiten bij dit beveiligingsprogramma. Zowel de inhoud als het
gebruikte instructiemateriaal moet gebaseerd zijn op de strategie en beveiligingsplannen van de organisatie
alsook de gebruikte procedures. Dit vormt de basis voor een bewustwordingsprogramma dat afgestemd is op de
organisatie en aansluit bij de belevingswereld van de medewerkers.

Een bewustwordingsprogramma moet zich niet alleen
richten op de medewerker op de werkvloer maar op alle Kadootjes doen het goed
medewerkers van een organisatie, dus inclusief de
Nederlanders zijn als geen ander volk spaarders van
beheerders en het (top)management. Het management
zegeltjes, airmiles en freebees. Voor een klein
heeft daarbij de bijzondere taak om voorbeeldgedrag te
kadootje doen ze veel. Een ministerie wilde
vertonen. Goed voorbeeldgedrag is een noodzaak om te
stimuleren dat het overgrote deel van de
communiceren dat het management de navolging van
ambtenaren deel zou nemen aan een
veiligheidsregels onderschrijft. Slecht voorbeeldgedrag van
bewustwordingsprogramma. Het bood aan alle
het management wordt door medewerkers op de werkvloer
gezien als excuus om zelf de veiligheidsregels niet na te deelnemers een CD (in creditkaartformaat) aan met

hoeven leven. De effectiviteit van een gratis software voor thuisgebruik waaronder een

bewustwordingsprogramma is hier in grote mate van firewall, anti virus software en programma’s tegen
afhankelijk. spam en ongewenste advertenties. Ook werd
software geleverd waarmee ouders hun kinderen
Veiligheidsvoorschriften en procedures zijn vaak wel voor konden beschermen tegen bezoeken aan
alle medewerkers beschikbaar, op het intranet of fysiek als ongewenste sites. Daarnaast werd een cursus veilig
bundel in een archiefkast. Instructie over nut en noodzaak PC-thuisgebruik op de CD aangeboden en bestond
en de beoefening van de procedures wordt vaak de mogelijkheid een gekwalificeerde digitale
achterwege gelaten. De medewerker krijgt in dat geval handtekening aan te vragen.
opdracht om zich de procedures zelf eigen te maken, maar De deelname overtrof alle verwachtingen!
zal daar geen prioriteit aan geven. Een bewustwordings- ,
En de kosten? Die bedroegen € 3,00 per CD
opleidings- en trainingsprogramma is essentieel in de
verspreiding van noodzakelijke informatie die gebruikers,
inclusief management, nodig hebben om hun werk veilig uit te kunnen voeren. Het kan gezien worden als
communicatiemiddel in de verspreiding van veiligheidsmaatregelen.


Een effectief bewustwordingsprogramma legt op heldere wijze uit waarom een bepaald gedrag van een
medewerker verwacht wordt. Het geeft de noodzaak, de achtergronden en de mogelijke gevolgen aan van de
veiligheidsmaatregelen. In het bewustwordingsprogramma zal ook aandacht besteed moeten worden aan een
sanctiemodel indien een medewerkers de veiligheidsmaatregelen niet opvolgt. Van gebruikers mag worden
verwacht dat zij zich houden aan de veiligheidsregels en deze naleven. Zij moeten dan wel op de hoogte zijn van
deze veiligheidsregels en deze beoefend hebben. Zij moeten zich bewust zijn van de noodzaak en achtergronden
van deze maatregelen en weten elke mogelijke sancties staan op het niet opvolgen of naleven van deze
maatregelen.

Bewustwordingsprogramma’s worden ontworpen om gedrag te veranderen en kennis van
beveiligingsmaatregelen en procedures te vergroten. In een bewustwordingsprogramma wordt de aandacht
gevestigd op veiligheid. Dit kan zowel in de vorm van een presentatie zijn (overdracht van kennis) als in de vorm
van training waarin naast kennisoverdracht ook de handelingen beoefend worden en vaardigheden worden
aangeleerd.
SE als nul-meeting
Voor een deel van de medewerkers volstaat een U wilt weten hoe het gesteld is met het naleven
bewustwordingsprogramma niet. Medewerkers die specifieke of van veiligheidsmaatregelen in uw organisatie?
specialistische kennis op het gebied van beveiliging nodig hebben Overweeg dan eens te starten met een security
zullen veelal een externe opleiding volgen die in veel gevallen zal audit die gebaseerd is op Social Engineering.
lkeiden tot certificering. Op de Nederlandse markt zijn een groot
Hierbij proberen auditors door middel van list en
aantal aanbieders van internationaal erkende opleidingen actief
psychologische trucs om uw medewerkers (per
die leiden tot een eveneens internationaal bekende en erkende
telefoon of op locatie) te verleiden af te wijken
titel.
van veiligheidsprocedures en vertrouwelijke
informatie te verstrekken, toegang te verlenen
Een goed bewustwordingsprogramma richt zich dus op alle
tot locaties, netwerken en archieven.
relevante psychologische componenten: kennis (d.m.v. interne of
En weet u al dat ongenode gasten mee kunnen
externe opleidingen), houding (bewustzijn & competenties) en
gedrag (d.m.v. herhaalde oefening en training). Indien aan één liften bij de toegang tot het pand? Deze auditors

van deze drie componenten niet of onvoldoende aandacht wordt tonen op deze manier aan tot welke

besteed, functioneert een bewustwordingsprogramma niet naar vertrouwelijke informatie of (proces)systemen
behoren en is het op termijn gedoemd te mislukken. zij toegang kunnen krijgen.


4. De ontwerpfase
In de ontwerpfase van een bewustwordingsprogramma moeten het doel en de behoefte worden bepaald en een
strategie worden ontwikkeld. Vervolgens kunnen drie stappen worden onderscheiden in de ontwikkeling van een
bewustwordings- en trainingsprogramma:
1. de ontwerp het programma zelf,
2. de ontwikkeling van het trainingsmateriaal en andere benodigde zaken
3. de feitelijke implementatie van het programma
Daarna is aparte aandacht nodig voor de evaluatie en het onderhoud van het programma. Zelfs een beperkt
bewustwordings- en trainingsprogramma vergt de nodige inspanning voordat het daadwerkelijk de veiligheid en
de waakzaamheid vergroot binnen een organisatie.

Dit hoofdstuk beschrijft de eerste stap in de ontwikkeling van een bewustwordings- en trainingsprogramma; het
ontwerp van een programma.

4.1. Inleiding
Een bewustwordingsprogramma moet zijn afgestemd op de organisatie. Een open deur? Wellicht, maar een
bewustwordingsprogramma zal alleen voldoende aandacht krijgen als het in overeenstemming is met de missie,
de directe belangen of de veiligheidsbehoefte van een organisatie. Het moet belangrijk voor de organisatie zijn en
passen binnen zijn cultuur. De meest succesvolle programma’s zijn die, waarbij gebruikers ervaren dat de
onderdelen bijdragen aan de verhoging van de veiligheid binnen de organisatie (en zij de noodzaak daarvan ook
nadrukkelijk onderkennen). Iets wat als wezensvreemd wordt ervaren zal nooit worden uitgevoerd!

In de ontwerpfase worden de te beveiligen belangen en
behoeften vastgesteld, de hiervoor relevante onderwerpen Gebruik eenvoudige maar
en prioriteiten geïdentificeerd, en vervolgens zaken als
effectieve hulpmiddelen
draagvlak, commitment en budget gezocht.
Dwingt uw netwerk ook af dat er gebruik
In onderstaande paragrafen worden de volgende wordt gemaakt van sterke, cryptische
onderwerpen behandeld:
wachtwoorden (3 van de 4 mogelijkheden van
- De structuur van een bewustwordings- en
grote en kleine letters, cijfers en leestekens)
trainingsprogramma
om ontdekking te voorkomen? In veel gevallen
- De behoeftebepaling
- Het opstellen van een plan wordt het wachtwoord dan Piet2009. Het
- Het stellen van prioriteiten voldoet aan de regels maar is het ook veilig
- Het reduceren van complexiteit genoeg?
- De budgettering Op het internet zijn voldoende handleidingen
- Commitment en draagvlak te vinden om veilige wachtwoorden te maken;
gebruik ze binnen uw bedrijf en ondersteun
4.2. Structureren van een programma veilige wachtwoorden m.b.v. een tool die de

Bij het bepalen van de structuur van een programma kan kwaliteit weergeeft in kleuren of cijfers.

gebruik worden gemaakt van drie basismodellen die 1VpK=/Zm
voornamelijk verschillen in de wijze waarop centraal of (Een veilig password kiezen is niet zo moeilijk)
decentraal uitvoering wordt gegeven aan het programma.
Voor alle drie de modellen geldt dat het beleid zelf centraal


is vastgesteld. De modellen zijn:
Model 1: Gecentraliseerde strategie en uitvoering;
Model 2: Gecentraliseerde strategie en decentrale uitvoering;
Model 3: Decentrale strategie en uitvoering

De keuze voor het model wordt bepaald door:
- De geografische spreiding van onderdelen van de organisatie
- De functie, taken en verantwoordelijkheden van een (deel)organisatie
- De toewijzing van budgetten en verantwoordelijkheid (centrale of decentrale budgetten)

De keuze voor een bepaald model dient bij voorkeur te sporen met
hetgeen in de reguliere bedrijfsvoering van de organisatie gebruikelijk is. Bang voor illegale
Een geheel gedecentraliseerde uitvoering van bewustwording binnen
USB-sticks?
een voor het overige volledige centraal geleide organisatie of vice versa
Meer dan 50% van mensen die een
zal weinig succesvol zijn. Dit is roeien tegen de stroom in.
USB-stick vinden brengen hun
computer in gevaar door ze aan te
4.3. Belangen- en behoeftebepaling sluiten; misschien bent u wel 1 klik
Aan de voet van de beveiligingstrategie ligt een goede risico-analyse. verwijderd van een groot
Hierin worden de belangen en bedreigingen van de organisatie netwerkprobleem. Is uw
geïdentificeerd. De NAVI-handreiking over risico-analyse kan hierbij organisatie of het netwerk niet
behulpzaam zijn.
ingericht om niet door de
Op basis van deze belangenanalyse dient vervolgens een
organisatie verstrekte USB-sticks
behoeftebepaling plaats te vinden. Dit is een proces waarin bepaald
te weren, overweeg dan eens om
wordt in welke mate een organisatie ook behoefte heeft aan een
een test uit te voeren met een
bewustwordingsprogramma in het kader van zijn beveiliging. Hierin
zogenaamde honeystick. Hierbij
wordt de ‘gap’ tussen de huidige en de wenselijke situatie vastgesteld,
worden door de organisatie
als ook wat voor overbrugging daarvan noodzakelijk is.
geprepareerde USB-sticks
- Strategisch management; schijnbaar achteloos achtergelaten
- Management verantwoordelijk voor beveiliging (fysiek e/o IT) binnen en/of buiten het bedrijf.
- Beveiligingsfunctionarissen, zowel management als uitvoering Zodra een USB-stick aangesloten
- Systeemeigenaren en administrators wordt op het bedrijfsnetwerk,
- Operationele managers en uitvoerders. wordt automatisch een verbinding
tot stand gebracht met een
Om de behoefte te kunnen bepalen kan gebruik worden gemaakt van
systeem dat de USB-stick en de
o.a. diverse technieken:
gebruiker registreert en de
- Interviews met bovenstaande groepen
gebruiker vervolgens op de hoogte
- Onderzoek naar bestaande bewustwordings- en
brengt van de overtreden
trainingsprogramma’s, trainingsschema’s en deelnemerslijsten
veiligheidsregel. Voor meer
- Onderzoek naar bestaande bedrijfs- en beveiligingsplannen en
informatie zie:
-procedures,
- Incidentregistratie en de afhandeling http://honeystickproject.com

- Trends in vakbladen
- Wijziging in weten regelgeving
- Analyse van de organisatie (o.a. percentage medewerkers met verantwoordelijkheden op
beveiligingsgebied)


- Analyse van belangrijke of te verwachten wijzigingen in organisatie, huisvesting en IT

Meetbare gegeven zoals de registratie van incidenten en deelnemers aan trainingen geven een objectief inzicht in
de stand van zaken en de behoefte voor evaluatie van een bestaand programma.

Analyse van de resultaten van de interviews en
Medisch Centrum zet
onderzoeken moet leiden tot beantwoording van de
volgende vragen: bewakingspersoneel in
- Wat is de behoefte aan een
Bij het uitvoeren van een
bewustwordings- en trainingsprogramma of
bewustwordingsprogramma zag een Medisch
opleiding?
- Op welke manier wordt op dit moment Centrum zich voor de uitdaging gesteld om ook de
voorzien in de behoefte en hoe effectief is avond- en nachtdienst van de verpleging te
dit? bereiken. Het betreffende MC heeft daarvoor de
- Wat is het verschil tussen de behoefte en beveiligers opgeleid die tijdens hun rondes en de
wat momenteel wordt gerealiseerd (gap-
pauzes van de verpleging op de afdelingen actuele
analyse)?
beveiligingsonderwerpen bespraken. Het resultaat
- Welke onderwerpen wordt als het meest
was een duidelijke stijging in het aantal meldingen
kritisch gezien?
- En langs welke weg kan de wenselijke van verdachte situaties en een verlaging van het
situatie het best worden bereikt? aantal diefstallen.

In deze stap moet tevens nadrukkelijk worden onderzocht welke mogelijkheden maar vooral ook beperkingen er
gelden bij een bepaalde vorm van het programma. Het is bijvoorbeeld van belang te weten voor welke aspecten
de bedrijfscultuur een hinderpaal vormt, of waarin de capaciteit en kwaliteit van het IT-netwerk van de organisatie
een Computer Based Training (CBT) eigenlijk wel kan ondersteunen. Ook kan het van belang zijn om te
onderzoeken of een presentatie of een training in eigen huis gegeven kan worden of dat moet worden uitgeweken
naar een externe locatie, enzovoort.

4.4. Opstellen van een plan
Nadat de behoeftebepaling heeft plaatsgevonden kan het plan worden opgesteld waarmee het eigenlijke
bewustwordings- en trainingsprogramma vorm kan krijgen. Het moet gezien worden als een werkdocument dat
de basiselementen bevat voor de te volgen strategie. Het plan moet ten minste ingaan op de volgende
onderwerpen:
- De formele basis voor het programma met bestaande weten regelgeving, aangevuld met bedrijfseigen
beleid en richtlijnen;
- De aansturing van het programma en de inbedding in de managementlijn;
- De scope van het programma;
- De rollen, taken en verantwoordelijkheden van medewerkers die betrokken zijn bij het ontwerp, de
ontwikkeling en de implementatie van bewustwordings- en trainingsmateriaal en de medewerkers die
betrokken zijn bij de uitvoering van het programma;
- Doelen die gesteld worden voor alle aspecten van het programma, waaronder bewustwording, training,
opleiding, certificering, inclusief de wijze waarop het resultaat van die doelen wordt gemeten;
- Bepaling van de doelgroepen voor de onderdelen van het programma;
- Verplichte en optionele delen van het programma voor iedere doelgroep en de frequentie van deelname;
- Leerdoelen en te behandelen onderwerpen voor afzonderlijke onderdelen van het programma;


- Wijze van communiceren (CBT, instructielokaal, presentatie,
posters, etc.); Het poldermodel in
- Documentatie, terugkoppeling en registratie van deelname;
security
- Wijze waarop de resultaten van het programma worden
verankerd in de reguliere bedrijfsvoering en hoe aan Veiligheidsregel van bedrijven

onderhoud daarvan verder uitvoering kan worden gegeven; worden soms onbewust maar ook

- Hoe evaluatie van en nazorg vanuit het programma zal regelmatig bewust overtreden. In
plaatsvinden, tegenstelling tot andere landen
zijn Nederlanders over het
algemeen geneigd om hun eigen
4.5. Stellen van prioriteiten
mening omtrent security ook toe
Als de strategie en het plan zijn opgesteld kan bepaald worden op te passen in de bedrijfsomgeving.
welke wijze de implementatie kan plaatsvinden. Bij een omvangrijk
Regels waarvan nut en noodzaak
programma kan dit in fasen gebeuren. Het is daarbij van belang zijn
niet bekend zijn of niet
om prioriteiten te stellen en om belangrijke en urgente zaken voorrang
onderschreven wordt, worden dan
te verlenen. De volgende overwegingen spelen daarbij een rol:
bewust niet opgevolgd. Bij het
- De beschikbaarheid van materiaal en personen;
opzetten van een programma moet
- De rol van de organisatie en de complexiteit (of eenvoud)
daarom niet alleen op de focus op
waarmee een programma kan worden gerealiseerd;
de inhoud liggen, maar ook op de
- De huidige stand van het niveau van bewustwording (grote
noodzaak van opvolgen van
“gaten” eerst dichten);
- De vraag in hoeverre andere prioritaire projecten afhankelijk veiligheidsregels.

zijn van het bewustwordingsprogramma?

In zijn algemeenheid geldt hier het volgende adagium. Hoe meer focus, hoe groter de kans op succes. Een vaak
voorkomende oorzaak van mislukking van bewustwordingsprogramma’s is gelegen in het feit dat daarvan te veel
zo niet alle heil wordt verwacht. Een lot dat dergelijke programma’s vaak delen met bijvoorbeeld allerlei
cultuurprogramma’s die beogen ‘de’ bedrijfscultuur te veranderen. Te veel tegelijk willen vergroot de kans dat het
proces tussentijds ’krakend tot stilstand komt’, en men daardoor uiteindelijk minder bereikt dan met een duidelijke
focus wellicht wel het geval zou zijn geweest.

4.6. Mate van complexiteit
Een tweede succesfactor betreft het eenduidige en toegesneden karakter van het programma. Zo moet de
complexiteit van het opleidings- en trainingsmateriaal in overeenstemming zijn met de rol van de persoon die het
programma gaat volgen. De ontwikkeling van materiaal moet gebaseerd zijn op twee belangrijke criteria, namelijk:
- de functie van de cursist en daarmee het opleidingsniveau
- de benodigde kennis en vaardigheden die voor die functie nodig zijn
Het is aan te bevelen om bij de start van een bewustwordings- en trainingsprogramma de complexiteit van de
over te dragen informatie sterk te reduceren. Beleid en regelgeving moeten te begrijpen zijn voor het
management maar ook voor de man op de werkvloer. Er mag geen misverstand of onduidelijkheid bestaan over
het beleid en de veiligheidsregels. Indien een bewustwordingsprogramma enige tijd is uitgevoerd kan
differentiatie worden aangebracht in de doelgroepen en kan de complexiteit van de informatie worden aangepast
aan het niveau en de functie van de deelnemers.


4.7. Budgettering
Nadat de strategie bepaald is en de doeleinden en prioriteiten vastgesteld zijn, moet het benodigde budget
worden bepaald.
Aan de hand van het opgestelde plan zal een berekening gemaakt moeten worden van de kosten die betrekking
hebben op het ontwikkelen van materiaal, de productie, communicatie en de verspreiding ervan en de kosten die
gemoeid zijn met het daadwerkelijk uitvoeren van het programma (personeel, locaties, catering, verlies aan
productiviteit, etc.). Een aantal mogelijke benaderingen om te komen tot een budget zijn:
- Een zeker percentage van het gehele opleidings- en trainingsbudget
- Budget per medewerker, afhankelijk van zijn rol,
- Een percentage van het IT Budget (let op: Niet alle Commitment van de
beveiliging is IT-gerelateerd)
- Expliciete berekening van het gehele programma.
leiding, maar hoe?
De “baas” moet uitstralen dat hij
Er zijn problemen te verwachten in het realiseren van het bewustwordingsprogramma
beveiligingsbewustzijn indien de budgetten lager uitvallen dan belangrijk vindt en moet het dus
benodigd. Het is de expliciete verantwoordelijkheid van het ook uitdragen. Een aantal
management om voldoende budget beschikbaar te stellen. Het voorbeelden hoe dat gerealiseerd
hanteren van het stappenplan en accorderen van het resultaat van kan worden:
iedere stap (strategie, behoefte, plan) door het management, biedt de - Laat de baas de opening doen,
grootste mate van zekerheid om het benodigde budget vrij te maken.
kleed dat feestelijk aan en zorg
Indien dit niet gerealiseerd kan worden, verdient het de voorkeur de
voor een prominente spreker;
doelen (behoefte) bij te stellen, een fasering aan te brengen of
- Plaats een interview met de baas
budgetten te herverdelen. Ook kan er uiteraard gelobbyd worden voor
over zijn beleving van veiligheid
meer budget.
en werkbaarheid;
- Laat de baas prijzen uitreiken
4.8. Commitment en draagvlak aan de winnaars van een
Een programma dat niet wordt gedragen, en dan met name door het veiligheidsprijsvraag en plaats
management, is gedoemd te mislukken. Het (top)management zal daar een artikel over.
actief en frequent zijn commitment moeten uitspreken door aanwezig - De baas onderwerpt zich
te zijn op belangrijke momenten in het programma zoals de start van (uiteraard) ook aan de regels.
het programma, de openstelling van een website, de eerste
presentatie etc. Alleen dan zal het draagvlak creëren bij de
medewerkers.


5. De ontwikkeling van materiaal

Na de ontwerpfase is de ontwikkeling van het bewustwordings- en trainingsmateriaal de tweede fase in een
bewustwordingsprogramma. Dit hoofdstuk beschrijft deze tweede stap: het ontwikkelen van trainingsmateriaal,
afgestemd op de mogelijkheden, budget en beschikbare kennis. In dit hoofdstuk worden diverse soorten
materiaal besproken zoals web-based training, video, workshops, etc.

5.1. Inleiding
Nadat het bewustwordingsprogramma is ontworpen moet het ondersteunende materiaal worden ontwikkeld. Bij
de ontwikkeling van het materiaal moet het volgende in gedachten worden gehouden:
- Welk gedrag willen we versterken en
- Welke vaardigheden willen we aanleren en toe laten passen
Deelnemers aan een programma zullen eerder geneigd zijn om wat zij zien en
horen in hun dagelijkse werk te implementeren, als zij het gevoel hebben dat
het materiaal specifiek voor hen is ontwikkeld. Het moet dus aansluiten bij de
belevingswereld, het opleidingsniveau en de functie van de deelnemer. Dit
houdt in dat materiaal ontwikkeld moet worden dat voor iedere medewerker
toepasbaar is, maar (in voorkomend geval) ook materiaal dat zich richt op een
specifieke doelgroep.

Denk daarbij vooral ook vanuit de betreffende medewerkersgroep. Wat zou hem of haar aanspreken? Wat past
het best bij zijn of haar reguliere werkzaamheden en de wijze waarop die normaal zijn ingericht? Betrek de
doelgroepmedewerkers daarbij indien dit op voorhand nog te weinig inzichtelijk is. Ervaring leert dat veel
mislukkingen deels zijn gelegen in het (te) aanbodgedreven karakter van het lesmateriaal; deels in het feit dat
allerlei ‘aanvullende’ zaken worden gevraagd die niet goed passen bij het reguliere bedrijfsproces van alledag.

5.2. Ontwikkelen van bewustwordingsmateriaal
Het plan voor het bewustwordings- en trainingsprogramma zal een lijst bevatten met onderwerpen die behandeld
moeten worden. Deze lijst kan worden samengesteld uit bronnen die zowel binnen als buiten de organisatie
beschikbaar zijn zoals de incidentendatabase, resultaten van interne audits, self-assessment resultaten,
vakbladen en nieuwsbrieven van diverse beveiligingsorganisaties en instellingen. Hierover in de volgende
paragrafen meer.

5.3. Selecteren van onderwerpen voor bewustwording
Een groot aantal onderwerpen kunnen in een bewustwordingsprogramma worden behandeld. Zonder uitputtend
te zijn volgt hier een overzicht met mogelijke onderwerpen:
- Gebruik en management van wachtwoorden; bedenken van sterke wachtwoorden, frequentie van
verandering, geheimhouding, hoe om te gaan bij meerdere systemen;
- Bescherming tegen virussen, wormen, Trojaanse paarden en andere “malware”; wat is het verschil, wat
doet die kwaadaardige software en hoe blijft mijn virusscanner up-to-date. Leg hierbij ook de relatie naar
het thuisgebruik;
- Beleid; implementatie in projecten en compliancy;


- Onbekende e-mails en/of bijlagen;
- Gebruik van het Internet; toegestaan en verboden (gevaarlijk) gedrag; monitoring van
gebruikershandelingen;
- Hoe om te gaan met SPAM berichten;
- Opslag van gegevens en de wijze van backup door de organisatie;
- Social Enginering; misbruik van vertrouwen van medewerkers door kwaadwillenden;
- Incidenten; wat te doen, bij wie te melden;
- Shoulder surfing; “Je mag alles van me weten, behalve mijn ….wachtwoord”;
- Veranderingen in de nutsvoorzieningen van het gebouw kunnen van invloed zijn op de systemen (water,
stof, vuur, tijdelijk uitgeschakelde toegangscontrole, etc.)
- Risico’s tijdens verhuizingen;
- Thuisgebruikers en de verantwoordelijkheid om het eigen systeem goed te beveiligen;
- Gebruik en gevaren van mobiele verwerking (I-phone, Blackberry, etc.);
- Gebruik van vercijfering van gegevens tijdens transport en opslag;
- Laptops tijden reizen; risico’s van diefstal van apparatuur en gegevens;
- Installeren van updates;
- Gebruik van software licenties; toegestane en illegale software op bedrijfscomputers
- Toegang tot bedrijfssystemen;
- Individuele verantwoordelijkheden versus verantwoordelijkheden van de organisatie;
- Procedures t.a.v. bezoekers; registratie en begeleiding, bescherming tegen inzage in bedrijfsinformatie;
- Desktop beveiliging; screensavers, clear desk en clear screen
- Geheimhouding van vertrouwelijke informatie
- Gedragsregels bij het gebruik van e-mail en Internet voor zakelijk en/of privé gebruik.

5.4. Bronnen voor materiaal
Het aantal en de verscheidenheid van bronnen die materiaal kunnen
leveren voor een bewustwordingsprogramma is groot. Veel van dit GOVCERT; de
materiaal is beschikbaar op het Internet als openbare bron. In een
aantal gevallen zal het zelfs mogelijk zijn om te beschikken over waarschuwingsdienst
complete bewustwordingsprogramma’s. Daarbij is echter een GOVCERT, de organisatie die
kanttekening op zijn plaats: Het programma is ontwikkeld met andere namens de overheid de
uitgangspunten. Kopieer daarom niet klakkeloos maar selecteer die bedreigingen op het Internet
onderwerpen die ook in het eigen proces geïdentificeerd zijn en pas ze
bewaakt, biedt de mogelijkheid
aan de eigen behoefte aan.
om per sms gewaarschuwd te
worden indien b.v. ernstige
Enkele voorbeelden van bronnen van materiaal:
kwetsbaarheden in software
- Handleidingen voor zakelijk en privé gebruik van Internet en e-
ontdekt worden of er een
mail zoals die in nieuwsgroepen beschikbaar zijn;
virusuitbraak dreigt. De dienst is
- Nieuwsbrieven van security organisaties en magazines;
gratis en kan zowel uw
o http://www.schneier.com/crypto-gram.html .A free
monthly newsletter providing summaries, analyses, medewerkers als uw kinderen

insights, and commentaries on security: computer and meer bewust maken van de

otherwise. bedreigingen op het Internet.
o http://www.biometrics.org/ www.waarschuwingsdienst.nl
- Whitepapers en ander materiaal dat op websites beschikbaar


wordt gesteld door organisatie van vakgenoten (voor leden en/of niet-leden);
o http://www.pvib.nl/ van het Platform voor InformatieBeveiliging.
- Websites met online nieuwsberichten;
o http://www.security.nl
- Materiaal van conferenties, seminars en cursussen;
- Professionele organisaties die bewustwordingsprogramma’s ontwikkelen.

5.5. Uitbesteden of zelf doen?
Het ontwikkelen van een bewustwordingsprogramma kost veel
tijd, energie en geld. Op enig moment zal de vraag gesteld
worden of we het allemaal zelf wel kunnen en willen.
Onderstaande overwegingen kunnen gebruikt worden rond de
besluitvorming:
- Heeft de organisatie zelf de kennis en capaciteit
beschikbaar? Hebben deze mensen de juiste
vaardigheden en ervaring? Zijn de mensen voor deze
opdracht beschikbaar?
- Is het meer kosten effectief om het programma zelf op te
zetten of uit te besteden?
- Zijn er budgetten beschikbaar?
- Is de organisatie in staat om eenmaal aangeleverde
programma’s zelf te onderhouden?
- Staat de gevoeligheid van de inhoud van het
programma uitbesteding wel toe?
- Past uitbesteding in het beoogde tijdsplan?
- Behoud van benodigde kennis.

5.6. Partnerschap
Waarom zelf ontwikkelen als anderen u al voor gegaan zijn. Het ontwikkelen van een programma kan gebaat zijn
bij een partnerschap met een soortgelijke organisatie waarbij niet alleen het resultaat (het programma) kan
worden uitgewisseld maar ook de voorafgaande plannen en overwegingen. De samenwerking reduceert niet
alleen de kosten maar bevorderd ook het uitwisselen van creatieve ideeën.

5.7. Informatie-uitwisseling via de website van het NAVI
De website van het NAVI biedt een beveiligde mogelijkheid voor het uitwisselen van vertrouwelijke informatie
door o.a. gebruik te maken van een geregistreerde en geautoriseerde gebruikers, fora en vercijferde toegang. Via
deze website kunt u veilig informatie uitwisselen en delen met door u zelf bepaalde organisaties en personen.
Voor meer informatie verwijs ik u naar http://www.navi-online.nl/.

5.8. De vorm
Er bestaat een groot scala aan technieken en vormen om de boodschap uit te dragen. De keuze, of combinatie
van keuzes, hangt af van het type boodschap, de organisatie en zijn cultuur, en de complexiteit van de
boodschap. Bij de start van een bewustwordingsprogramma is het van belang de focus te leggen op de meest


belangrijke risico’s die een organisatie loopt en zich te richten tot alle
medewerkers. Een overdosis aan onderwerpen, de wijze waarop het
Snelle reactie op
programma gecommuniceerd wordt of te grote differentiatie naar type
verloren USB-stick
medewerkers, zal afleiden van de essentie van het programma. Nadat
Het ministerie van Defensie kwam
initieel een bewustwordingsprogramma gehouden is voor alle
enige tijd geleden in het nieuws
medewerkers met de meest prangende onderwerpen, kan differentiatie
plaatsvinden naar medewerkers (uitvoerders, staf, midden en door het verlies van een USB-stick

strategisch management), de wijze waarop de onderwerpen met zeer gevoelige informatie. Het

gecommuniceerd worden (webgebaseerde training, presentaties, ministerie reageerde daarop direct
nieuwsbrieven). Onderstaand overzicht kan een hulpmiddel zijn bij de door extra aandacht te vragen voor
keuze van de wijze waarop de onderwerpen gecommuniceerd kunnen dit onderwerp in bestaande
worden: bewustwordingsprogramma’s.
- Boodschappen op (dagelijks) gebruiksmateriaal zoals pennen,
post-it briefjes, sleutelhangers, keycords, klokken;
- Posters met informatie over wat te doen of juist niet te doen;
- Screensavers met wisselende teksten;
- Nieuwsbrieven;
- E-mail berichten;
- Videoberichten;
- Webgebaseerde informatie of trainingen;
- Presentaties door een instructeur;
- Security dagen;
- Security tips die periodiek, bijvoorbeeld bij het opstarten van de computer, verschijnen (en pas na een
bevestiging weer verdwijnen)
- Kruiswoordpuzzels
- Prijsvragen
In alle gevallen is het van belang om de boodschap op meerdere manier over te brengen. Dit versterkt de kracht
van de inhoud en het effect op de medewerkers. Zo kan in een presentatie de kwaliteit van een wachtwoord
behandeld worden die vervolgens door posters, e-mails of een handleiding versterkt wordt.


6. De implementatiefase
Na de ontwerpfase en de ontwikkeling van het bewustwordings- en trainingsmateriaal volgt de derde fase in een
bewustwordingsprogramma. Dit hoofdstuk beschrijft deze derde stap: de rol van communicatie bij de
implementatie het programma.

6.1. Wijze van communiceren
Het bewustwordingsprogramma moet binnen de
organisatie uitgelegd en gecommuniceerd worden. Veiligheidsregels worden pas
Het doel is begrip en ondersteuning te realiseren voor
opgevolgd indien een medewerker
de uitvoering van het programma en de bijdrage die
van de medewerkers verwacht wordt. De het in zijn portemonnee voelt
communicatie zal moeten verduidelijken wat de
Veiligheidsregels zijn lastig en worden niet altijd
verwachtingen van het management zijn en de te
begrepen. De naleving van de veiligheidsregels heeft
verwachten resultaten voor de organisatie. De wijze
voor de medewerker vaak geen consequenties
waarop het project bekostigd wordt (centraal budget
waardoor het hem aan motivatie ontbreekt. Bij het
of doorbelasting) moet voor het managent duidelijk
zijn. Verder is het van belang dat iedereen in de opzetten van een bewustwordingsprogramma moet

organisatie die betrokken is bij het programma, zijn met top- en middenmanagement, personeelsafdeling

eigen taken en verantwoordelijkheden kent, maar ook en eventueel de ondernemeningsraad worden
die van de andere deelnemers. Als aanvulling hierop afgesproken op welke wijze naleving van
moeten ook tijdschema’s en beoogde resultaten (in veiligheidsregels onderdeel worden van het
aantal deelname en percentage geslaagden per beoordelingssysteem en welke correctieve
onderdeel) gecommuniceerd worden. maatregelen gebruikt kunnen worden. Dit kan
bijvoorbeeld door privileges op te schorten of
In paragraaf 4.2 wordt een aantal basismodellen daadwerkelijk strafmaatregelen te nemen (b.v. korting
besproken voor het bepalen van de structuur van een op een bonus).
programma. De basismodellen verschillen Voorwaarde is een gedegen onderzoek bij een
voornamelijk in de wijze waarop centraal of decentraal
geconstateerd veiligheidsincident met hoor en
uitvoering wordt gegeven aan het programma. Het
wederhoor en schriftelijke vastlegging.
spreekt voor zich dat de wijze waarop de
communicatie moet worden ingericht (centraal of
decentraal) moet aansluiten bij de keuze die in paragraaf 4.2 gemaakt is.

6.2. Technieken om de “boodschap” over te brengen
In hoofdstuk 5 is al over de vorm gesproken waarmee de boodschap uit het programma kan worden
overgebracht. In deze paragraaf worden in aanvulling hierop verschillende technieken besproken.

De techniek die gebruikt gaat worden om de boodschap naar de medewerker te brengen moet voldoen aan een
aantal criteria:
- Eenvoud in gebruik; gebruiks- en onderhoudsvriendelijk (updates);
- Schaalbaarheid; verschillende kennisniveaus van de gebruikers, grootte van de deelnemersgroepen en
verschillende locaties (klaslokaal en auditorium);


- Vastleggen van meetgegevens; aantal
deelnemers, scores, tijdsbesteding,
correlaties tussen deelnemersgroepen en
resultaten;
- Beschikbaarheid op de markt; aantal
potentiële leveranciers

De meest gebruikelijke technieken zijn:
- Interactieve Video Training (IVT) dat gebruikt
kan worden voor leren en trainen op afstand
en maakt gebruik van technologie die twee
richtingverkeer voor interactieve audio en
video mogelijk maakt. De interactieve vorm maakt het leereffect groter maar de kosten zijn hoger dan
niet-interactieve vormen.
- Web gebaseerde training is momenteel erg gebruikelijk. Iedere deelnemer kan in zijn eigen tempo
deelnemen aan het programma. Er kunnen testen meetmomenten ingebouwd worden en de resultaten
kunnen worden teruggekoppeld met de deelnemer. Zonodig kan een specifiek onderdeel van het
programma herhaald worden. De techniek van de web gebaseerde training is sterk in ontwikkeling. Het
is zelfs mogelijk dat instructeur en deelnemers (of deelnemers onderling) interactief met elkaar kunnen
communiceren;
- Niet- Web gebaseerde training is de meer traditionele vorm van verspreiding van trainingsmateriaal door
deze beschikbaar te stellen op intranet website voor download. Het programma wordt dan door iedere
deelnemer vanaf zijn eigen werkstation gevolg, zonder interactie met een instructeur of andere
deelnemers;
- On-site instructie waarbij de instructeur een prominente rol heeft in het overdragen van kennis en de
begeleiding van het aanleren van vaardigheden. Dit kan in de vorm van een presentatie in een lokaal of
auditorium, een trainingslokaal, etc. Het is de oudste maar ook meest populaire en interactieve vorm van
kennisoverdracht. In grote organisaties zal het moeilijk zijn deelnameschema’s op te stellen zodat alle
medewerkers ook deel kunnen nemen en kan geografische spreiding van medewerkers leiden tot lange
reistijden of instructie op meerdere locaties.

De meest krachtige vorm bij kennisoverdracht is het
gebruik van meerdere technieken. Zo kan een instructeur
Praatje, plaatje, daadje
eerst vertellen (presenteren) over een bepaald onderwerp Hoe blijft de boodschap het beste “hangen”?
waarna een videopresentatie gestart wordt ter De volgende wijsheid kan daarbij helpen:
ondersteuning van het onderwerp. In een later stadium kan “Vertel het me en ik zal het vergeten.
een deelnemer via een interactieve trainingg meer kennis Laat het me zien en ik zal het onthouden.
en vaardigheid opdoen vanaf zijn eigen werkplek. Laat het me doen en ik zal het Begrijpen.”


7. De evaluatie- en onderhoudsfase
Na de ontwerpfase, de ontwikkeling van het bewustwordings- en trainingsmateriaal en de daadwerkelijke
uitvoering van het bewustwordingsprogramma volgt de “laatste” fase in een bewustwordingsprogramma. Dit
hoofdstuk beschrijft deze “laatste” stap: de evaluatie- en onderhoudsfase van het programma. Deze fase
beoordeelt of het effect van het programma in overeenstemming is met het gedefinieerde ontwerp, en het
resultaat voldoet. Deze fase maakt van het gehele proces van de ontwikkeling van een
bewustwordingsprogramma een cyclisch en zich herhalend proces.

7.1. Meten van de deelname en de effectiviteit
Gedurende de uitvoering van het bewustwordings- en trainingsprogramma dient informatie verzameld te worden
over de deelname aan het programma. Het gegevensbestand moet in ieder geval de mogelijkheid bieden om
informatie te verstrekken over:
• cursus- en opleidingsdata,
• inhoud van de opleiding
• deelname, zowel totalen als percentages per organisatieonderdeel
• waarderingen uit de evaluatieformulieren van de deelnemers

De meetgegevens kunnen gebruikt worden voor
rapportages aan het management over de mate van
compliance, de kwaliteit en volwassenheid van het
opleidings- en trainingsprogramma, de bereidheid
van afdelingen om deelnemers af te vaardigen en
kwaliteitsverbetering. De deelnamegegevens geven
een rechtvaardiging van beschikbaar gesteld budget
en geven in detail aan of medewerkers hebben
deelgenomen aan het programma. Hieruit kunnen
voor zowel de medewerkers als voor
afdelingsmanagement consequenties volgen.
Medewerkers die deelgenomen hebben aan een
dergelijk programma kunnen bijvoorbeeld voorrang krijgen bij interne sollicitaties. Is deelname aan een
bewustwordingsprogramma een functie-eis, dan kan het niet deelnemen of niet slagen consequenties hebben
voor de uitoefening van de betreffende functie. De organisatie loopt in dat geval een te groot risico loopt op
schade door onachtzaam foutief handelen van personeel dat geen training heeft gevolgd.

De uitkomsten van de analyse van de meetgegevens kan tot gevolg hebben dat correctieve actiefsmoeten
worden uitgevoerd die betrekking hebben op de kwaliteit of inhoud van het programma of de deelname. Aan het
verantwoordelijke management kan bijvoorbeeld in meer formele zin deelname van de medewerkers worden
opgedragen, er kan aanvullende training of opleiding noodzakelijk zijn of de wijze waarop het programma wordt
aangeboden, moet worden bijgesteld. De uitkomsten zullen veelal aanleiding zijn voor een apart plan van aanpak
om de correcties en aanpassingen uit te werken en te implementeren


7.2. Evaluatie en feedback
Formele evaluatie en feedback is een kritische component van een bewustwordingsprogramma. Voortdurende
verbetering kan niet plaatsvinden als het ontbreekt aan een goed gevoel hoe een programma werkt. Vanaf de
start van de ontwikkeling van het programma, nadat de contouren van het programma zich beginnen af te
tekenen, moet dus nagedacht worden hoe de kwaliteit van het programma op een objectieve manier kan worden
vastgesteld.

Er zijn een aantal evaluatie en feedback methoden mogelijk die gebruikt kunnen worden om een programma bij te
stellen of aan te passen. In ieder geval zullen onderwerpen beoordeeld moeten worden op het gebied van
kwaliteit, scope, gebruikte methoden (o.a. Interactieve Video trainging, web gebaseerd), moeilijkheidsgraad,
eenvoud van gebruik, duur van het programma, relevantie en gangbaarheid van de behandelde onderwerpen en
suggestie voor verbetering.

De meest gangbare methoden voor evaluatie en feedback zijn:
Not My Problem
- Evaluatieformulier; gebruik daarbij zo veel mogelijk
Niet dat beveiliging niet als een
voorbedrukte teksten en normeringen zodat er weinig
geschreven hoeft te worden om een waardering aan te probleem wordt gezien, alleen niet dat

geven; van mij. En vraag me niet van wie wel,

- Open forum discussie waar bovenstaande onderwerpen want dat weet ik niet precies.
besproken kunnen worden. Deze vorm van evaluatie biedt Van medewerker tot directielid is dit
de beste mogelijkheid op nieuwe ideeën en inzichten ter een veel gehoorde reactie: NMP.
verbetering van het programma. Bron: Lezing van het Platform voor
- Selectieve interviews met deelnemers waarop in een 1-op- Informatiebeveiliging
1 gesprek de onderwerpen van de evaluatie besproken
worden. De selectie van deze groep moet echter objectief
blijven om de uitkomst niet te beïnvloeden. Men moet er echter ook rekening mee houden dat
deelnemers, om diverse redenen, niet altijd hun mening aan (vertegenwoordigers van) het management
van de organisatie willen vertellen. In deze vorm van evaluatie wordt medewerkers wel de mogelijkheid
geboden om hun mening te geven zonder dat zij zich in een groep daarvoor moeten verantwoorden.
- Onafhankelijk observatie door een derde partij die kan zorgen voor een gedegen onafhankelijk oordeel;
- Formele statusrapporten door managers van deelnemers.
- Benchmarking, waarbij het programma (en de resultaten ervan) vergeleken wordt met andere,
soortgelijke organisaties. Deze vorm van evaluatie wordt uitgevoerd door gespecialiseerde organisaties
die de beschikking hebben over uitgebreide gegevens van resultaten van bedrijven over een langere
periode.

7.3. Veranderingen doorvoeren
Het is noodzakelijk om maatregelen ter verbetering van een programma te nemen omdat er nieuwe technieken in
gebruik genomen worden (ieder weer met andere en nieuwe risico’s), en het kennisniveau en gedrag van de
medewerkers verandert. Noodzakelijke wijzigingen kunnen ook veroorzaakt worden omdat een organisatie zijn
missie of doelstelling bijstelt of inzichten wijzigen hoe de doelstellingen van het programma gehaald kunnen
worden. Belangrijke landelijke of internationale ontwikkelen, of de komst van nieuwe wetgeving kunnen ook hun
invloed hebben op een programma.


7.4. Verhogen van het niveau
Zoals in eerdere paragrafen is besproken, zal een bewustwordingsprogramma moeten starten met een focus op
de meest cruciale securiy aspecten en zich moeten richten op iedere medewerker, dus van (top)management tot
de medewerker op de werkvloer. Nadat het beoogde niveau gehaald is, zal de volgende stap gezet moeten
worden om het niveau te verhogen. Dit kan door een aanvullend programma (met een hoger niveau) op te zetten
voor alle medewerkers, maar ook door differentiatie aan te
brengen naar type medewerker, zijn niveau, zijn taken en
verantwoordelijkheden. In dit laatste geval wordt er differentiatie
aangebracht naar doelgroepen, die ieder hun niveau toegesneden
programma gaan volgen. Op deze wijze zal het programma
groeien in volwassenheid. Het verdient aanbeveling om het
verhogen van het niveau in het ontwerp van het programma mee
te nemen en te baseren op meetbare gegevens. Een norm voor
het verhogen van het niveau zou in dat geval een deelname van
ten minste 85% en een slagingspercentage van 90% kunnen zijn.

Tijdens het uitvoeren van een programma verdient het
aanbeveling om voortdurend de ontwikkelingen op de mark van
bedreigingen, technologie, good practices en benchmarking bij te
houden waardoor mogelijkheden ontstaan om proactief de
kwaliteit en/of effectiviteit van het programma te verbeteren.

7.5. Succes indicatoren
CEO’s, CIO’s, management en programmamedewerkers zijn bij uitstek de voortrekkers voor de permanente
verbetering van een bewustwordingsprogramma. Het is cruciaal dat deze functionarissen uitdragen dat zij het
programma ondersteunen. Binnen het aspect beveiliging is het zeker waar dat “de keten zo sterk is als de
zwakste schakel”. Beveiliging van een organisatie is een teaminspanning.

Onderstaand is een list opgenomen van indicatoren om
een inschatting te maken van de ondersteuning en de Commitment van de leiding
acceptatie (commitment) van een programma.
Bij een ministerie was de draagplicht van de
- Is er voldoende budget beschikbaar gesteld om
personeelspas reeds lange tijd ingevoerd maar
de geaccordeerde doelstellingen te halen;
werd de maatregel niet altijd consequent
- Is de organisatie rond het programma ingericht
uitgevoerd. Als onderdeel van een
met medewerkers van voldoende kwaliteit;
bewustwordingsprogramma werd extra aandacht
- Is het programma een regelmatig terugkerend
onderwerp op de agenda van het management; aan de noodzaak voor deze maatregel besteed en

- neemt het management deel aan de training; werd de uitvoering van strenger gecontroleerd.
- het percentage deelname; Personeel dat de pas niet bij zich had werd de
- het gemotiveerd uitdragen van (de toegang tot de kantine ontzegd en personeel dat
doelstellingen van) het programma door het de pas niet zichtbaar droeg werd gecorrigeerd. De
verantwoordelijke management. meeste indruk maakte echter een van de
- Is er brede ondersteuning voor de distributie van topfunctionarissen die collega’s direct aansprak
materiaal; en hen corrigeerde.


8. Bijlage 1: Voorbeelden
8.1. Bewustwordingsprogramma gericht op Social Engineering
Onderstaand voorbeeld is afkomstig uit een bewustwordingsprogramma van een ICT dienstverlener waar uit
onderzoek is gebleken dat regelmatig vertrouwelijke informatie werd opgevraagd door onbekende personen die
zich voordeden als collega. Het ging daarbij vaak om tarieven van consultants, informatie over lopende offertes,
details over klanten of opdrachtgevers en onderwerpen waarop business development plaatsvond. Het
bewustwordingsprogramma richt zich op Social Engineering (het d.m.v. list, en psychologische trucs inwinnen van
vertrouwelijke informatie) en behandelt in acht afleveringen de psychologische achtergrond van een bepaalde
truc. De onderwerpen zijn als onderdeel van een bredere bewustwordingscampagne in een maandelijkse
nieuwsbrief opgenomen. Deze nieuwsbrief was wederom onderdeel van een breed pakket aan producten rond
bewustwording.

Deel 5: Social Engineering en psychologie; het aspect autoriteit
Voorwoord
In mijn rol als security consultant heb ik de laatste jaren een aantal security audits uitgevoerd in de vorm van zgn.
Social Engineering Assessment, zowel binnen de publieke als private sector. Social Engineering kan omschreven
worden als het verkrijgen van toegang tot vertrouwelijke informatie door middel van list, bedrog en
psychologische trucs.
De resultaten van de security audits die ik heb uitgevoerd verbaasden me in hoge mate; van username/password
van kritische of vertrouwelijke systemen of applicaties, vriendelijke portiers die me toegang verleenden tot hoog
beveiligde delen van het gebouw, toegang tot opiaten (geneesmiddelen) en criminele en juridische informatie
over personen. In het merendeel van de gevallen was het enige dat ik hoefde te doen: Er (brutaal) om vragen!
Het meest extreme resultaat was het in ontvangst mogen nemen van vijf handvuurwapens, simpel op basis van
één telefoontje en een goed verhaal.
Ik ben er steeds meer van overtuigd geraakt dat de beveiliging niet zit in de Firewall, SafeWord tokens en andere
technische beveiligingsmaatregelen maar in de mens zelf.

Dit document is bedoeld als bijdrage aan het bestaande bewustwordingsprogramma en is tot stand gekomen in
samenwerking met de Corporate Security Officer en Corporate Information Management.

Inleiding
Waarom en hoe kan het menselijke gedrag zo sterk beïnvloed worden, dat een verzoek van een vreemde om
vertrouwelijke informatie te verstrekken, wordt ingewilligd. In een serie van acht afleveringen ga ik in op het hoe
en waarom van menselijk gedrag en hoe daar misbruik van gemaakt kan worden door profiteurs. Met de kennis
kun je herkennen wanneer iemand jou probeert te beïnvloeden; zowel privé als zakelijk. Maar je kunt de kennis
uit deze serie ook gebruiken in je zakelijke of privé-sfeer om iets van een ander gedaan te krijgen.

Eigen ervaringen
Bij een ministerie was de beveiliging van de kantoren van de minister en zijn directe staf sterk verbeterd. De
Plaatsvervangend Secretaris Generaal had mij de opdracht verstrekt om deze beveiliging te testen.
Ik kwam (gekleed in driedelig kostuum) hard aangelopen bij de bewaking van de achteringang en parkeerplaats
van de auto’s van de hogere ambtenaren. Hijgend zei ik tegen de portier dat ik zojuist bij het verlaten van het
complex mijn elektronische toegangspas was vergeten en vroeg hem of ik het pasje even mocht ophalen. Hij
aarzelde. Ik zei dat de Plaatsvervangend SG (ik noemde de voor en achternaam) twee straten verder ongeduldig
stond te wachten; er was haast bij en ik moest snel mijn pas hebben. De poort ging open en ik rende snel naar
een toegangdeur. Binnen in het gebouw pakte ik twee lege dozen en deed daar mijn colbertje en vestje in en liep
daarmee naar de toegang van het compartiment van de minister. Ik sloot achter een man aan die ook in dezelfde
richting liep. Toen hij zijn pas aanbood en het poortje open ging begon ik hoorbaar te mopperen dat ik mijn pas op


mijn kantoor vergeten was. Hij was erg vriendelijk en opende het poortje
voor me (er was geen anti-pass-back). Mijn visitekaartje heb ik op het
toetsenbord van mijn opdrachtgever geplaatst ten teken dat de opdracht
was uitgevoerd.

Door te benoemen dat ik in opdracht van een bekende autoriteit
handelde, voldeed de bewaker aan mijn verzoek en werd ik toegelaten
tot het complex.

Autoriteit
Uit onderzoek is vastgesteld dat elk mens nagenoeg ieder opdracht
uitvoert als een autoriteit dit van hem verlangt. Vanaf de geboorte wordt
ons bijgebracht dat gehoorzaamheid aan goede autoriteiten juist is. Het
gehoorzamen aan autoriteiten levert ons ook voordelen op. Doordat zij
zoveel macht hebben, lijkt het vaak wijs om deze autoriteiten te
gehoorzamen. Wanneer we ontdekken dat gehoorzaamheid vrijwel altijd
iets oplevert, bestaat de kans dat we er een automatisme van maken.

Vaak zijn we niet alleen gevoelig voor de autoriteiten zelf, maar ook met
de symbolen die we met hen verbinden, zoals titels, kleding en
bepaalde voorwerpen. Oplichters dragen niet voor niets vaak dure pakken en verhoogde schoenen. Mensen
willigen verzoeken veel makkelijker in als de vragers in uniform gekleed zijn. Ook mensen die in pak rondlopen
kunnen op ontzag rekenen. Attributen als dure auto’s, laptops, PDA’s en juwelen zijn ook prima gezagssymbolen.

Verdediging
Vaak zijn we niet voorzichtig genoeg wanneer ons om volgzaamheid verzocht wordt. Door constant waakzaam te
blijven tegenover zogenaamde autoriteiten kunnen we achteraf minder snel voor verrassingen komen te staan.
Wanneer we ons bovendien nog eens extra bewust worden van het feit dat gezagssymbolen eenvoudig kunnen
worden nagemaakt, zullen we ook waakzamer zijn wanneer autoriteiten ons willen beïnvloeden. De enige
kanttekening is echter dat we liever niet tegen het gezag ingaan. Meestal is het immers juist om autoriteiten te
gehoorzamen. Je kunt het beste leren ontdekken wanneer je de richtlijnen van autoriteiten wel, en wanneer je
deze niet zou moeten opvolgen. Deze twijfel kunnen we door middel van twee vragen wegnemen:
1. Is de autoriteit daadwerkelijk deskundig?
2. Is deze autoriteit ook betrouwbaar?

8.2. Enkele voorbeelden van posters
Onderstaande posters vormen een kleine selectie van een grote hoeveelheid materiaal dat op het Internet
beschikbaar is. Een korte zoektocht levert veel voorbeelden op die de creativiteit kan stimuleren.


9. Bijlage 2; Literatuuroverzicht

Building an Information Technology Security Awareness and Training Program van het NIST (National
Institute of Standards and Technology)

Information Technology Security Training Requirements van het NIST (National Institute of Standards and
Technology)

Bruce Schneier, Beyond Fear:

K.D. Mitnick, The art of deception; the human factor in Information Security

Robert B. Cialdini; Using the Science of Influence to Improve the Art of Persuasion

Y. Lafrance, Psychology: A precious security tool

Lezing Platform voor Informatiebeveiliging 30 oktober 2008 door Hans Labruyere, LBVD

Bewustwordingsprogramma van een niet nader te noemen ICT dienstverlener uit 2007

Security Management System (SMS) en Operator Security Plan (OSP), beide publicaties van het NAVI
waarin een op de belangen en risico’s van een organisatie toegesneden combinatie van fysieke, logische
(digitale) en organisatorische beveiligingsmaatregelen wordt vastgelegd


December 2008
werkdocument

Copyright
© Nationaal Adviescentrum Vitale Infrastructuur (NAVI)
Alle rechten voorbehouden. Verveelvoudiging, verspreiding en gebruik anders dan voor de in deze publicatie aangegeven doeleinden, is zonder vooraf-
gaande schriftelijke toestemming van het NAVI niet toegestaan.

Rechten en vrijwaring
Het NAVI is zich bewust van zijn taak een zo betrouwbaar mogelijke uitgave te verzorgen. Niettemin kan het NAVI geen aansprakelijkheid aanvaarden voor
eventueel in deze uitgave voorkomende onjuistheden, onvolledigheden of nalatigheden. Het NAVI aanvaardt ook geen aansprakelijkheid voor enig gebruik
van voorliggend document of schade ontstaan door de inhoud van het document of door de toepassing ervan.

Het NAVI verleent u hierbij toestemming dit document te bekijken, af te drukken, te verspreiden en te gebruiken onder de hiernavolgende voorwaarden:
het NAVI wordt als bron vermeld;
het document en de inhoud mogen commercieel niet geëxploiteerd worden;
publicaties of informatie waarvan de intellectuele eigendomsrechten niet berusten bij het NAVI blijven onderworpen aan de
beperkingen opgelegd door de oorspronkelijke auteur(s) of instantie(s);
ieder kopie van dit document of een gedeelte daarvan dient te zijn voorzien van de in deze paragraaf vermelde waarschuwing.

Handreiking - Security Awareness (Concept)

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie Handreiking - Security Awareness (Concept)

Ähnlich wie Handreiking - Security Awareness (Concept) (20)

Handreiking - Security Awareness (Concept)