Ruim vier op tien werknemers omzeilt security-systemen

42 procent van de Nederlandse werknemers omzeilt wel eens cybersecurity-systemen. Dat blijkt uit onderzoek van Cisco naar de kennis van en visie op cybersecurity van werknemers in zes landen: België, Denemarken, Nederland, Noorwegen, Zweden en Zwitserland. 1.500 hybride werkenden (flexibel thuis- en kantoorwerkend) deden mee.

Uit het onderzoek blijkt verder onder meer dat meer dan de helft (63%) van de ondervraagden sinds de start van de pandemie een cybersecuritytraining heeft gekregen, waarvan 25 procent in de afgelopen zes maanden. 22 procent stelt echter nog nooit een dergelijke training aangeboden te hebben gekregen van hun huidige werkgever. Het thuiswerken als gevolg van de pandemie heeft meer kwetsbaarheden blootgelegd, wat dit soort trainingen des te belangrijker maakt volgens Michel Schaalje, Cybersecurity Lead voor Cisco Nederland.

"Cyberveiligheid is net zo afhankelijk van menselijk gedrag als van technologie. Als een van deze pijlers wegvalt worden bedrijven simpelweg kwetsbaarder voor aanvallen. Mensen zijn hierin de zwakste schakel en hier zijn cybercriminelen maar al te goed van op de hoogte. Omdat de beveiliging van netwerken en apparaten zelf steeds beter wordt, richten cybercriminelen hun aandacht steeds vaker op mensen en de fouten die zij maken om ongemerkt systemen binnen te dringen."

Verontrustend

Volgens Schaalje is het verontrustend dat 42 procent van de respondenten uit Nederland hun securitysysteem omzeilt om hun werk te kunnen doen. In begin 2020, voor de pandemie, was dit overigens 66 procent. Hoewel er dus sprake is van verbetering zou dit, zeker nu hybride werk voor velen de standaard is, helemaal niet meer moeten gebeuren. Cisco roept daarom werkgevers in alle sectoren op om hun werknemers van de juiste training te voorzien, om zo de hybride werkplek van de toekomst (cyber)veiliger te maken.

De Nederlandse bevindingen komen overeen met de gemiddelde bevindingen van het onderzoek.

• 48 procent van de Nederlandse ondervraagden geeft aan dat cybersecurity een belangrijke prioriteit moet zijn. Daarentegen zegt 33% dat hun bedrijf cybersecurity niet serieus genoeg neemt.
• 45 procent wil dat zijn organisatie meer aandacht besteedt aan cybersecurity en het beveiligen van de online omgeving.
• 42 procent van de ondervraagden werkt om de securitymaatregelen heen, begin 2020 was dit 66 procent.
• 20 procent van de Nederlanders heeft de afgelopen zes maanden een cybersecuritytraining gevolgd.

Respondenten kregen ook de vraag aan te wijzen wie er verantwoordelijk zou moeten zijn voor cybersecurity binnen een organisatie. 43 procent van de Nederlandse respondenten geeft aan dat dit de gezamenlijke verantwoordelijkheid zou moeten zijn van alle werknemers, maar dat de IT-afdeling en het management hierin de leiding moeten nemen. 19 procent wijst op de IT-afdeling en 18 procent vindt dat het de gezamenlijke verantwoordelijkheid is van alle werknemers, en dat IT en management hierin niet per se de leiding zouden moeten nemen.

Veilig thuiswerken

Veel bedrijven hebben wel bepaalde cybersecuritymaatregelen ingesteld om het werken vanuit huis zo veilig mogelijk te maken. In Nederland gebruikt:

• 55 procent een VPN;
• 53 procent verplichte software-updates;
• 40 procent multi-factor authenticatie;
• 25 procent single sign-on.

Begin 2020, vlak voor de pandemie, vroeg Cisco hybride werknemers hoe vaak zij om de securitysystemen heen werkten, toen gaf 66% van de Nederlandse respondenten aan dat zij securitysystemen omzeilden om hun werk te kunnen doen. Nu zegt 17 procent dat zij dit ‘vaak’ of ‘heel vaak’ moeten doen, een verbetering ten opzichte van de 25 procent die dit in januari 2020 aangaf. 26 procent geeft aan dat ze dit ‘soms’ doen en 30 procent antwoordt dat zij dit nooit hoeven te doen, waar dit eerst 34 procent was. Dit kan echter ook betekenen dat er sindsdien meer veiligheidssystemen ingesteld zijn.

Cybersecuritytrainingen

Naast het toevoegen van additionele beveiligingsstappen als een VPN en multi-factor authenticatie is volgens Cisco het verzorgen van cybersecuritytrainingen voor medewerkers een van de belangrijkste stappen die een organisatie kan zetten om het risico of cybersecurityincidenten te verminderen, juist nu het werken vanuit huis meer risico’s met zich meebrengt.

• 62 procent van de ondervraagden heeft sinds het uitbreken van de pandemie een securitytraining gevolgd die leert hoe om te gaan met de risico’s die online zijn met zich meebrengen.
• 20 procent hiervan heeft in de afgelopen 6 maanden een training gevolgd.
• 27,6 procent van de Nederlandse respondenten heeft nog nooit een cybersecuritytraining ontvangen van de huidige werkgever. Dit is een significant slechtere uitkomst dan in bijvoorbeeld Noorwegen en Denemarken (respectievelijk 12,4% en 15,14%).

Status van cybersecurity

Het onderzoek schetst ook de status van cybersecurity in verschillende sectoren. Hoewel de respondenten per industrie ver uiteenliepen, viel een aantal resultaten op:

• Vooral in de zorg (38%) en in de sales, media en marketingsector (75%) gaven respondenten aan dat ze sterk van mening zijn dat hun organisatie cybersecurity niet serieus genoeg neemt.
• In de IT- & telecomsector geven respondenten niet verrassend aan dat hun organisatie cybersecurity wel serieus neemt (51%), maar zij geven ook vaak aan dat de werkgever cybersecurity serieuzer kan nemen (46%). Dit is ook in andere sectoren terug te zien.
• Het meeste verschil tussen de sectoren komt naar voren in de resultaten over cybersecuritytrainingen. Werknemers in de kunst- en cultuursector (50% nog nooit), de reissector (53% nog nooit) en het onderwijs (58% nog nooit), sectoren waar traditioneel minder met computers wordt gewerkt, ontvingen de minste cybersecuritytrainingen.
• In elke sector wordt ‘soms’ of ‘af en toe’ om cybersecuritymaatregelen heen gewerkt om het werk te kunnen doen. Vooral in de IT-sector (52%), in de juridische sector (57%), in HR (60%) en in de reissector (73%) geven veel ondervraagden aan dat zij dit ‘zeer zelden’ tot ‘nooit’ doen.

"Het is belangrijk dat elke werknemer in Nederland goed op de hoogte is van de noodzaak van cybersecurity", stelt Schaalje, tot slot. "Cybercriminelen worden steeds sluwer en zeker in het onderwijs hebben we de afgelopen jaren verschillende grote cyberaanvallen gezien, denk maar aan ROC Mondriaan. De kennis over cybersecurity in Nederland kan en moet beter zijn, als wij ons willen wapenen tegen de criminelen van de toekomst."