Security awareness, van onbewust-onbekwaam naar onbewust-bekwaam.

Wat is jouw favoriete leerstijl?

Als je mensen er op wijst dat ze niet alles op sociale media moeten blootgeven kijken ze je vaak onbegrijpend aan. Ze weten toch zelf wel wat goed voor ze is!

Als security officer bij een financiële dienstverlener heb ik enkele jaren geleden met rode en groene smilies door het gebouw gelopen. Dat is twee keer leuk en dan gaan ze je toch echt irritant vinden. Mensen willen niet dat je ze op hun verantwoordelijkheden wijst.

Een mooi beeld van een tijd waarin de middelen, waar werknemers mee werkten, nog van de organisatie zelf waren. Nu gaan alle gegevens vanaf de eigen tablet linea recta Dropbox in en worden ze uitgewisseld met WeTransfer. Je hebt er geen grip meer op. Het wordt alleen maar moeilijker.

Het sneue aan die smilies is het geloof in de werking ervan. Korte termijn effecten die later eigenlijk alleen maar tegen je gebruikt kunnen worden.

Wat je bereikt is dat mensen van onbewust-onbekwaam plotseling bewust-onbekwaam worden. Dat is ongemakkelijk. Maar als je niet op de juiste manier doorpakt help je ze niet door de barrière naar bewust-bekwaam heen.

Vaak zie je dat de cyclus van onbewust-onbekwaam naar onbewust-bekwaam wordt uitgelegd als de leercyclus van Kolb. Het was echter Maslow (die van die piramide van behoeften) die vier leerstadia onderscheidde. Kijk even in de volgende figuur naar de vier leerstadia van Maslow.

Veelal zie je publicaties waarin beiden genoemd worden. Maar Kolb onderscheidt leerstijlen die anders in elkaar steken dan de vier leerstadia van Maslow! Kolb onderscheidt vier leerstijlen die ingedeeld zijn volgens een matrix. De matrix zie je in de onderstaande figuur. Ook zie je dat de leerstijlen cyclisch doorlopen worden. Daar spreken we dan ook weer van de leercyclus van Kolb! 

Om medewerkers nu door de cyclus van onbewust-onbekwaam naar onbewust-bekwaam heen te helpen moet je ze allemaal op hun eigen manier leren hoe ze veilig omgaan met vertrouwelijke gegevens. Als je ze dus op de risico’s hebt gewezen (ze zijn dan bewust-onbekwaam) moet je ze volgens hun eigen leerstijl door de barrière naar bewust-bekwaam helpen.

Dat is dus al een hele uitdaging. Want hoe weet je welke leerstijl bij welke medewerker past? Het is beslist een uitdaging waarbij het goed is om een security awareness programma af te stemmen met HR.

Er komt namelijk nog een andere aspect bij kijken. Iedereen zal volgens Kolb door de cyclus van de vier leerstijlen heen moeten om alles te laten beklijven. Iedereen start echter bij zijn voorkeursstijl. Daar ontstaat dus de mix van de twee cycli: de leerstadia van Maslow en de leerstijlen van Kolb.

Is er dus een goede match tussen leerstijlen en de leerstadia? Waarschijnlijk is dat in iedere organisatie anders.

Laten we even kijken naar de verschillende leerstijlen.

Een Waarnemer vraagt zich af waarom? Ze leggen verbanden en proberen alles te begrijpen. Ze hebben geen belangstelling als ze het niet begrijpen.

Een Nadenker vraagt zich af wat? Ze willen een analytische aanpak. Ze bekijken het grote geheel en de details. Ze spitten alles door: feiten, extra materiaal en meningen van deskundigen.

Een Toepasser vraagt zich af hoe? Hoe bereiken ze verandering? Praktisch ingesteld als ze zijn richten ze zich op het ontwikkelen, creëren en begrijpen van vaardigheden die ze nodig hebben om de verandering te bereiken.

Een Doener vraagt zich af wat als? Ze zien zichzelf als vernieuwers. Ze vinden de mogelijkheden en dito problemen interessant ze leren als eerste door vallen en opstaan.

Een bewust-onbekwame Doener moet je duidelijk maken wat de uitdagingen zijn. Wat is het onbekende dat moet worden onderzocht. Ga lekker aan de gang, stoot je neus en leer hiervan. Zo’n Doener zal bij al dat ervaren vanzelf een keer naar een deskundige luisteren, er iets over willen lezen en willen begrijpen hoe ze beter kunnen omgaan met vertrouwelijke gegevens. 

Het onderstaande overzicht geeft per leerstijl aan hoe goed geleerd kan worden.

Doeners leren het beste van: ·        De directe ervaring ·        Dingen doen ·        In het diepe gegooid worden met een uitdagende opdracht ·        Het opdoen van nieuwe ervaringen ·        Het oplossen van problemen

Waarnemers leren het beste van: ·        Activiteiten waar ze de tijd voor krijgen ·        Activiteiten waar ze (achteraf) gestimuleerd worden na te denken over hun acties ·        Het krijgen van een kans om eerst te denken en dan pas te doen ·        Het nemen van beslissingen waar geen tijdslimiet of tijdsduur aan verbonden zijn

Toepassers leren het beste van: ·        Duidelijke verbanden tussen leren en werken ·        Het richten op praktische zaken ·        De kans te krijgen dingen uit te proberen en te oefenen onder begeleiding van een expert ·        Technieken die getoond worden met duidelijke praktische voorbeelden

Denkers leren het beste van: ·        Gestructureerde situaties met duidelijke doelstellingen (congressen, boeken, hoorcolleges) ·        Situaties waar ze intellectueel uitgedaagd worden ·        De mogelijkheid te krijgen de tijd te nemen om relaties uit te leggen met kennis die ze al hebben ·        De kans krijgen om vragen te stellen en de basismethodologie of logica te achterhalen ·        Theoretische modellen en systemen

OK, nu weet je iets meer van de manier waarop medewerkers leren. Blijft de uitdaging om ze op hun meest aansprekende wijze door de barrière van bewust-onbekwaam naar bewust-bekwaam te brengen.  Ik vrees dat één keer een workshop en een jaarlijkse online enquête tekort schiet om een langdurig effect te hebben.

Maar denk even na over de effectiviteit van een stuk technologie als je geen infrastructuur, opslagmedium, uitwisselmogelijkheid en endpoint meer in bezit hebt als organisatie. De medewerkers werken toch overal en nergens met eigen spulletjes. Waar grijpt technologie nog in als je het nergens meer aan vast kunt knopen?

Mij lijkt het investeren in een serieus leerprogramma Veilig werken met vertrouwelijke informatie een goede keuze. Die individuele medewerker kan alleen zijn verantwoordelijkheid nemen als er goede ondersteuning is (lees goede ‘lesmaterialen’). 

Biedt technologie dan helemaal geen soelaas meer?

Natuurlijk wel, want niet iedere organisatie zal alle IT uithanden geven. Maar de rol van infrastructurele beveiliging neemt sterk af ten opzichte van de databeveiliging. Neem Data Loss Prevention, daar heb je de mogelijkheid om security awareness met technologie te ondersteunen. Iedere keer als een gebruiker het beleid naast zich neer legt (patiëntendossier naar Gmail stuurt) krijgt hij uitleg over het geldende beleid of de risico’s.

Realiteit is dat zoiets ook weer kan doorslaan in het wegklikken van pop-ups. Een goed uitgebalanceerde aanpak met communicatie, beleid, lesmateriaal, ondersteuning van teamleiders en security officers is wel een randvoorwaarde voor succesvolle inzet van dit soort technologie.

Ben jij als securityprofessional verantwoordelijk voor alle risico’s? Heb je geen budget en geen bevoegdheden? Dan wens ik je veel succes. Wees gerust, want het bewerken van beslissers, die moeten investeren in security, vraagt ook weer nieuwe vaardigheden van jou. Kun je mooi jouw favoriete leerstijl aanspreken.

Wat is jouw persoonlijke leerstijl? Doe hier de test.