Een gevonden USB-stick, een achteloos achtergelaten openstaande laptop of een link in een verdachte mail: cyberveiligheid begint vaak niet bij techniek, maar bij gedrag. Daarom introduceert Interpolis de CHV’er: een cyberhulpverlener. Die houdt collega’s scherp voordat het misgaat, en helpt als het toch fout loopt.
De presentatie was bijna afgelopen, maar als uitsmijter kwam de spreker met een laatste vraag: “Wie van jullie heeft mijn USB-stick gevonden?” Geroezemoes in de zaal. En ten slotte stak iemand zijn vinger op. Daar was de stick. “Nee, hij had nog geen tijd gehad om hem in zijn laptop te steken”, zegt Emy de Kock, businessdeveloper bij Interpolis. “Maar wellicht had hij hem mee naar huis genomen en hem daar aangesloten. En best mogelijk dat zijn netwerk verbonden was met dat van zijn werk. Als zo’n USB-stick is besmet met een virus, vormt dat voor een bedrijf natuurlijk een reële bedreiging.”
Dag van de CHV
Bedreigingen door cybercrime. Ze stonden centraal op 13 april tijdens de door Interpolis georganiseerde Dag van de CHV. De belangstelling was groot, en volgens De Kock is dat geen wonder. “Eens in de twee maanden houden we een onderzoek onder 500 tot 750 ondernemers: wat houdt je bezig, wat zijn de grootste zorgen? En we zien dat cybercrime de laatste jaren continu in de top drie staat, maar dat ondernemers weinig actie ondernemen om de cyberweerbaarheid te vergroten. Ze weten dat ze er iets mee moeten, maar ze hebben de neiging om het uit te stellen. Logisch, want het is een ingewikkeld onderwerp.”
Verschil tussen CHV’er en bhv’er
Vandaar dus die Dag van de CHV, de cyberhulpverlener. Inderdaad, de associatie met de bhv’er ligt voor de hand: ook hier gaat het om een medewerker met een nevenfunctie. Die doet gewoon zijn of haar dagelijkse taken, maar wordt daarnaast verantwoordelijk voor één aspect van de veiligheid. Bij de bhv gaat het om reanimatie en ontruimingen, bij de CHV om cyberveiligheid.
Maar wie de twee functionarissen onder een vergrootglas legt, ziet nog meer verschillen. “Ik denk dat CHV’ers iets meer bezig zijn met preventie”, zegt De Kock. “Ze proberen hun collega’s bewust te maken van het risico. Dat is nodig, want veel mensen – medewerkers en management – proberen hun angstige onderbuikgevoel weg te drukken. Die zeggen zoiets als: ‘Ik ben te klein en voor dit soort criminelen niet erg interessant. Mijn deur zullen ze wel voorbijgaan.’ Maar zo werkt het niet. Stel, je hebt een straat vol met huizen en een dief. Die zal de kleine huizen niet per se overslaan. In plaats daarvan kijkt hij: waar kan ik binnenkomen, waar staat een voordeur open, of een raam? Waar hebben ze een alarm? Waar hebben ze een hond? Waar ligt er een sleutel onder de mat? Die pakt wat het gemakkelijkste is.”
Techniek versus medewerkers
Dus is het volgens haar belangrijk om je bewust te zijn van je gedrag. “Veel mensen denken bij cyberveiligheid direct aan techniek. En dat is voor een deel ook terecht: je moet zorgen voor een goede firewall, tweefactorauthenticatie en degelijke compartimentering. Maar de eerste verdedigingslinie wordt gevormd door je eigen medewerkers. Die moeten weten wanneer ze wel of niet op linkjes kunnen klikken. En als ze een kop koffie gaan halen, is het belangrijk dat ze hun laptop afsluiten. Gewoon even Windows-L: dan is die dicht. En nog te vaak zie je dat mensen een wachtwoord hebben in de trant van welkom123, of de naam van hun kat of kinderen. Als diezelfde namen dan ook op Facebook staan, is het voor een hacker gemakkelijk scoren. Maak dus een sterk wachtwoord van minstens 12 tekens. En oh ja: als je ergens een USB-stick vindt, steek die dan niet in je computer, maar geef hem af aan de balie.”
Rol van de CHV’er: vooral preventie
Een CHV’er kan helpen om dit tussen de oren te krijgen. En nee, daarvoor hoeft iemand volgens De Kock geen technische achtergrond te hebben. “Dat is een vraag die je regelmatig krijgt: waarom neem je hiervoor geen IT’er? Maar het is juist belangrijk dat een CHV’er contact heeft met de werkvloer, dat er geen grote afstand is met de andere medewerkers. Zo iemand kan op een laagdrempelige manier laten zien dat je als medewerker al heel veel dingen kunt doen waardoor je je organisatie veiliger maakt.”
“De CHV’ers kunnen bijvoorbeeld helpen met het instellen van tweefactorauthenticatie en het bedenken van een goed wachtwoord. Maar ze zijn primair gericht op de mens, de collega’s. Ze zullen je aanspreken als je je laptop onbeheerd open hebt laten staan, en kunnen cursussen organiseren over cyberveiligheid. Je zou ze kunnen zien als de verbindende schakel tussen de ICT-afdeling enerzijds en de directie en de medewerkers anderzijds.”
Wat doet de CHV’er na een incident?
De nadruk ligt dus op preventie, maar de CHV’er speelt ook een belangrijke rol als het misgaat. “Wat moet je bijvoorbeeld doen als je per ongeluk toch op zo’n link hebt geklikt?” vraagt De Kock. “Ook daar kan een CHV’er bij helpen. Die kan je vertellen wat te doen om de schade te beperken. En als het nodig is legt die contact met ICT, zodat ze daar kunnen werken aan vervolgstappen. Zo voorkom je dat een eventueel virus zich verspreidt door de hele organisatie.”
En wat als bedrijven worden geconfronteerd met het zwaarste scenario? Bijvoorbeeld een geslaagde ransomware-aanval? “Ook dan speelt de CHV’er een rol”, zegt De Kock. “Niet als strategisch adviseur van de directie, niet als het gaat over betalen of niet betalen, maar wel in de communicatie met medewerkers. Wat is er gebeurd? Wat zijn de volgende stappen die we gaan zetten? Ook hier ben je een soort tolk die de informatie van de ICT-afdeling vertaalt naar de werkvloer.”
Ransomware-aanval oefenen
Maar alweer bewijst de CHV’er zijn grootste waarde vóór zo’n incident. “Neem zo’n ransomware-aanval”, zegt De Kock. “Hoe reageer je daarop? Wat is de taak van iedereen als zo’n aanval plaatsvindt? Zo’n scenario kun je natuurlijk oefenen. Nee, zo’n oefening hoeft niet heel ingewikkeld te zijn. Je gaat gewoon met alle stakeholders om tafel zitten en stelt vragen. Als dit gebeurt, wat zouden we dan doen? Wat is de taakverdeling? Wie gaan we informeren? Hoe zorgen we ervoor dat we de primaire processen doorlopen? Inderdaad, dit lijkt erg op een brandoefening van de bhv. Maar bedenk wel: een écht ontwrichtende bedrijfsbrand komt niet vaak voor. Organisaties krijgen veel vaker te maken met cyberincidenten die schade, uitval of herstelwerk veroorzaken.”
