Als CISO zou ik natuurlijk kunnen zeggen dat ik wakker lig van hackers. Van ransomware. Kwetsbaarheden. Zero-days. AI. Of van een aanvaller ergens aan de andere kant van de wereld die achter drie beeldschermen heel ingewikkelde dingen zit te doen. Maar eerlijk? Mijn grootste zorg loopt gewoon iedere ochtend door de voordeur. De mens.
En voordat iedereen zich persoonlijk aangesproken voelt: ik bedoel óók mezelf. We weten heus wel dat we niet zomaar op linkjes moeten klikken en dat een onverwacht verzoek om ergens in te loggen misschien een tweede blik verdient. En toch gaat dat soms anders.
Mijn eigen kleine hacker woont thuis
Ik las deze zomer Liever moe dan lui van Erik Scherder. Dat leidde thuis tot een nogal daadkrachtige aanscherping van het schermbeleid voor mijn 13-jarige zoon.
Ik stelde schermtijd in.
Hij vond een oplossing.
Ik paste de instellingen aan.
Hij vond een nieuwe oplossing.
Uiteindelijk escaleerde onze technische wapenwedloop dusdanig dat ik de router heb aangepast. Na 21.30 uur gaat het internet voor hem gewoon uit. Het resultaat? Minder slaapstrijd, meer rust en een vrolijkere puber. En moeder trouwens ook.
Voorlopig dan.
Want je kunt technisch van alles bedenken, maar onderschat nooit de motivatie en vindingrijkheid van een mens die iets heel graag wil. En dat geldt niet alleen voor pubers.
Weten is nog geen doen
Dat werd afgelopen week mooi duidelijk tijdens de workshop Waarom slimme mensen op phishing klikken. Sociaal psycholoog en cybersecurity-expert Maarten Timmerman nam ons mee in de menselijke kant van informatiebeveiliging. Over motivatie en weerstand. Over aangeleerd gedrag. En over het verschil tussen onze intenties en wat we daadwerkelijk doen.
Neem klikken. We klikken de hele dag en meestal levert dat precies op wat we willen: informatie, toegang, snelheid, gemak. We zijn dus behoorlijk goed getraind in klikken. Totdat die ene klik ineens niet zo handig blijkt.
We kunnen allemaal de intentie hebben om veilig te werken. Maar sluit ons gedrag daar altijd op aan? Daarom gaat een veiligere VU voor mij over meer dan techniek en regels. We willen dat collega's bewust zijn van risico's en bekwaam zijn om veilig te handelen. Maar uiteindelijk willen we verder.Naar een cultuur waarin veilig werken gewoon onderdeel is van hoe we bij de VU werken.
Luister. Leer. En nu: spreek je uit.
Dat sluit prachtig aan bij het thema van onze Cyber Security Awareness Month: Spreek je uit. Luister. Leer. Afgelopen week hebben we geluisterd en geleerd. Nu willen we vooral weten wat jij denkt. Van 26 tot en met 30 oktober staat de Wall of Vote in de centrale hal van het hoofdgebouw. Want cybersecuritydilemma's zijn lang niet altijd zwart-wit:
“Liever digitaal gevolgd dan slachtoffer van een cyberaanval.”
Of:
“Gebruiksgemak mag ten koste gaan van informatiebeveiliging.”
Eens? Oneens? Of denk je vooral: ja, maar…? Mooi. Juist dat gesprek willen we voeren.
Tijdens de Wall of Vote kun je stemmen, zien hoe anderen erover denken en in gesprek gaan met studenten, collega's en cybersecurity-experts van de VU. En wees gerust: er zijn geen goede of foute antwoorden. Ik sta er als CISO dus niet met een rood potlood naast ;)
Want bouwen aan een cultuur waarin we veilig werken betekent niet dat iedereen hetzelfde moet denken. Wel dat we ons uitspreken, naar elkaar luisteren en van elkaar leren. Dus kom stemmen. Spreek je uit. Luister. Leer.
📍 Wall of Vote, 26 t/m 30 oktober, centrale hal hoofdgebouw
Meer informatie en het programma: www.vu.nl/informatiebeveiliging
En die securitypatch voor de mens? Daar blijf ik ondertussen nog even naar zoeken.
