Als veilig werken voelt als extra werk, wint de omweg

Het is 16.55 uur. Een medewerker krijgt een melding dat de toegang tot een belangrijk systeem opnieuw moet worden bevestigd. De officiële route voert langs een wachtwoord, een authenticator-app, een extra apparaat en een helpdesk die na vijf uur minder bereikbaar is dan de gemiddelde ransomwaregroep. De alternatieve route is een bekende collega die vraagt om het document even via een privéaccount te delen.

De medewerker kiest de snelle route. Niet omdat die geen security awareness heeft, maar omdat de organisatie de veilige route als een hindernisbaan heeft ingericht. Daarna volgt meestal een verplichte training over phishing, wachtwoordbeleid en verantwoordelijkheid. De boodschap is helder: gedraag je veiliger. De omgeving zegt iets anders: werk vooral niet te langzaam.

Dat is de ongemakkelijke hoofdstelling: security awareness faalt zodra veilig gedrag structureel meer moeite kost dan onveilig gedrag. Je kunt mensen blijven trainen, waarschuwen en aanspreken, maar zolang de dagelijkse werkelijkheid onveilig gedrag beloont, verandert awareness in een jaarlijks toneelstuk met een verplichte eindtoets.

De medewerker is vaak niet het zwakste punt

In securitygesprekken wordt de mens graag als kwetsbaarheid beschreven. Dat is technisch begrijpelijk en organisatorisch lui. Mensen maken fouten, zeker onder tijdsdruk, met onduidelijke processen en systemen die elkaar tegenspreken. Maar de vraag is niet alleen waarom iemand op een verdachte link klikt. De betere vraag is waarom klikken op die link op dat moment de meest logische handeling leek.

Een medewerker die snel een klant moet helpen, denkt niet in termen van aanvalsvectoren en identity governance. Die wil toegang tot het systeem dat nodig is om het werk af te maken. Wanneer de veilige procedure vijf schermen, twee goedkeuringen en een onbereikbare beheerder vereist, wordt de procedure vanzelf een uitzondering. De medewerker zoekt een omweg, en die omweg wordt later als non-compliance geregistreerd.

Daarmee ontstaat een merkwaardige verdeling van verantwoordelijkheid. De organisatie ontwerpt een proces dat niet werkt in de praktijk en verwijt vervolgens de gebruiker dat die zich niet aan het proces houdt. Dat is geen security by design. Dat is procesfalen met een e-learningmodule eroverheen.

Friction is een securitymaatregel, maar ook een risico

Beveiliging zonder enige wrijving bestaat niet. Een extra controle, beperking of bevestiging kan noodzakelijk zijn. Een systeem dat iedere handeling zonder nadenken toestaat, is niet gebruiksvriendelijk maar weerloos. De fout zit dus niet in friction zelf. De fout zit in friction die willekeurig, voortdurend of slecht geplaatst is.

Een extra verificatie bij een uitzonderlijke handeling kan verstandig zijn. Een extra verificatie bij iedere handeling, ook wanneer context, apparaat en risico hetzelfde blijven, wordt ruis. Een bestand delen met een externe partij kan controle vereisen. Een verbod op iedere externe samenwerking leidt waarschijnlijk tot kopieën in privéopslag, alternatieve chatdiensten of persoonlijke mail. De controle verdwijnt dan niet. Zij verhuist naar een plek waar niemand haar nog kan zien.

Ook wachtwoordbeleid laat dit mechanisme zien. Wanneer regels te ingewikkeld worden en herstelprocedures te omslachtig zijn, ontstaan voorspelbare reacties: wachtwoorden worden hergebruikt, opgeslagen op onveilige plekken of gedeeld via kanalen die toevallig wel werken. De organisatie denkt een streng beleid te hebben ingevoerd. In werkelijkheid heeft zij het veilige pad verlaten.

Security moet daarom niet alleen vragen of een controle bestaat, maar ook hoeveel energie die controle vraagt. Iedere extra stap concurreert met werkdruk, deadlines en de verwachting dat medewerkers productief blijven. Wie die concurrentie negeert, ontwerpt beleid voor een wereld die niet bestaat.

Awarenesstraining maakt gedrag niet automatisch beter

Een training kan kennis overdragen. Zij kan medewerkers leren waar zij op moeten letten en hoe zij een incident melden. Dat is nuttig. Maar kennis is geen automatische vertaling naar gedrag. Iedereen weet inmiddels dat verdachte links riskant zijn. Toch blijft het gedrag kwetsbaar wanneer een bericht geloofwaardig oogt, het werk stilvalt en de meldprocedure onduidelijk is.

Een jaarlijkse phishingtraining behandelt security vaak als een individueel examen. De medewerker moet slagen, de organisatie kan een percentage deelnemers rapporteren en de audit heeft een vinkje. Ondertussen blijft de omgeving hetzelfde. De mailbox blijft vol, de processen blijven ingewikkeld en meldingen verdwijnen in een kanaal waarvan niemand weet wie het bewaakt.

Zoals ook bij phishingtraining geldt: herhaling helpt alleen wanneer de organisatie het geleerde gedrag daadwerkelijk ondersteunt. Een medewerker die een verdachte mail meldt, moet snel feedback krijgen. Niet pas weken later, wanneer de aanleiding al uit het geheugen verdwenen is. En een foutmelding moet leiden tot hulp en verbetering, niet automatisch tot publieke beschaming.

Awareness werkt dus beter als onderdeel van de werkomgeving dan als losstaand programma. De beste training is soms een duidelijke knop, een begrijpelijke melding of een systeem dat een risicovolle handeling op het juiste moment onderbreekt.

De snelste route bepaalt de feitelijke standaard

Organisaties hebben zelden één securitybeleid. Ze hebben het beleid op papier, de procedure in een intranet en de praktijk die ontstaat zodra iemand haast heeft. Die praktijk wordt bepaald door de snelste route. Als goedgekeurde software traag besteld wordt en een gratis alternatief direct beschikbaar is, wordt dat alternatief gebruikt. Dat is geen theoretisch risico, maar een logisch gevolg van het ontwerp.

De prijs van gratis is daarom niet alleen een licentie die ontbreekt. Het is ook de prijs van wachten, formulieren invullen en uitleggen waarom een oplossing nodig is. IT-afdelingen die ongeautoriseerde middelen vooral verbieden, maar geen bruikbaar alternatief bieden, creëren hun eigen schaduwprocessen. Daarna noemen ze die schaduwprocessen een gedragsprobleem.

Hetzelfde geldt voor toegangsrechten. Wanneer tijdelijke toegang dagen duurt, blijven rechten structureel staan. Wanneer het melden van een incident ingewikkelder is dan het negeren ervan, worden incidenten niet gemeld. Wanneer een leverancier sneller uitzonderingen kan regelen dan interne IT, wint de leverancier. Niet omdat hij veiliger is, maar omdat hij minder frictie veroorzaakt.

De organisatie hoeft daarvoor niet iedere wens te honoreren. Wel moet zij eerlijk zijn over de consequenties van haar keuzes. Een verbod zonder werkbaar alternatief is geen beheersmaatregel. Het is een uitnodiging tot omzeiling.

Maak veilig gedrag de meest voor de hand liggende keuze

De praktische opdracht begint niet met een nieuwe campagne, maar met kijken naar echte handelingen. Waar wijken medewerkers af? Welke beveiligingsstap wordt overgeslagen? Welke helpdeskvraag komt steeds terug? Waar ontstaan gedeelde accounts, lokale bestanden of privéoplossingen? Dat zijn geen bewijzen van slechte intenties. Het zijn signalen dat het ontworpen proces niet past bij het werk.

Meet daarom niet alleen hoeveel medewerkers een training hebben afgerond. Kijk ook naar de tijd die nodig is om toegang te krijgen, een incident te melden of veilig met een externe partij samen te werken. Onderzoek hoeveel uitzonderingen worden aangevraagd en hoeveel daarvan structureel terugkomen. Een terugkerende uitzondering is vaak geen uitzondering meer, maar een slecht ontworpen standaard.

Daar hoort eigenaarschap bij. Security kan niet iedere bedrijfsactiviteit blokkeren en vervolgens beweren dat de organisatie veilig is. De business kan evenmin iedere controle als hinderlijke IT-regel behandelen. Procesverantwoordelijken, architecten, beheerders en security moeten samen bepalen waar controle nodig is, waar automatisering kan helpen en waar risico bewust wordt geaccepteerd.

Techniek kan veel van de juiste keuze de standaard maken. Denk aan toegangsrechten die automatisch verlopen, duidelijke meldknoppen, contextafhankelijke controles en goedgekeurde diensten die daadwerkelijk beschikbaar en bruikbaar zijn. Maar techniek lost geen conflicterende doelen op. Als management snelheid beloont en security achteraf schuldigen zoekt, wint snelheid bijna altijd.

Wat is dan de echte IT-realiteit?

Veilig gedrag is geen morele eigenschap die je met voldoende presentaties in iedere medewerker kunt installeren. Het is gedrag dat ontstaat uit de combinatie van ontwerp, tijdsdruk, toegang, ondersteuning en de gevolgen van een keuze. Mensen doen meestal wat binnen hun omstandigheden het meest haalbaar lijkt. Soms is dat veilig. Soms heeft de organisatie het veilige alternatief simpelweg te duur, te traag of te ingewikkeld gemaakt.

Er zullen altijd medewerkers zijn die waarschuwingen negeren en regels overtreden. Daar moeten organisaties op kunnen reageren. Maar uitzonderlijk slecht gedrag mag geen excuus worden om structurele procesfrictie niet te onderzoeken. Wie ieder incident reduceert tot menselijke onoplettendheid, beschermt vooral zijn eigen ontwerpbeslissingen.

De volwassen securityvraag luidt daarom niet: waarom houden mensen zich niet aan het beleid? De vraag is: welk gedrag maakt onze organisatie vandaag het gemakkelijkst, en welke risico’s belonen we daarmee onbedoeld?

Als veilig werken voelt als extra werk, wint onveiligheid niet door sluwheid, maar door gemak.