De onzichtbare cyberrisico’s van ontevreden medewerkers

wo, 06/08/2025 - 08:55

Door: Redactie WINMAG Pro

Medewerkers moeten zich veilig gedragen in een organisatie. Dat ligt voor de hand en iedereen zal het daar wel mee eens zijn. De definitie van wat ‘veilig’ precies is, ligt bij veel organisaties vastgelegd in een enorm uitgebreid beveiligingsbeleid. De praktijk is echter dat veel mensen zich niet altijd houden aan het beveiligingsbeleid en zeker niet als het gaat om hun digitale veiligheid en de tools die ze gebruiken om hun werk te doen. Volgens analistenbureau Gartner omzeilt 69% van alle medewerkers bewust de richtlijnen voor cyberbeveiliging en gedraagt 93% zich bewust onveilig. Er wordt vaak gezegd dat dit komt door een gebrek aan handhaving. Ander onderzoek laat zien dat mensen die zich minder thuis voelen bij een organisatie, eerder sociaal (kunnen) worden gemanipuleerd.

Door Martin Kraemer, security awareness advocate bij KnowBe4

Is niet-naleving een kwestie van motivatie?

Voldoen aan beveiligingsbeleid wordt vaak gezien als een informele overeenkomst tussen organisaties en hun medewerkers. Daar tegenover staan extraatjes en voordelen. Zolang medewerkers zien dat deze afspraken worden nageleefd (zoals flexibele werktijden, bonussen of de kerstborrel) is er wederzijds respect en begrip. Beide partijen houden zich aan de geschreven en ongeschreven regels van de werkrelatie. Maar naarmate de werkrelatie voortduurt, worden er meer verwachtingen gecreëerd, zoals bijvoorbeeld de mogelijkheid om thuis te werken om bij activiteiten van de school van de kinderen te kunnen zijn. Wanneer niet wordt voldaan aan hun verwachtingen die over tijd evolueren, kunnen medewerkers ongelukkig en ontevreden worden. Het is echter een enorme uitdaging om ongeschreven afspraken die dus nergens zijn vastgelegd, te kunnen respecteren.

Schending van psychologische contract kan leiden tot niet-naleving

Deze zogenaamde Psychological Contract Breach kan leiden tot niet-naleving van het geldende beleid, puur door verwachtingen die niet worden waargemaakt waardoor medewerkers ontevreden zijn geworden. De onderzoekers van de Universiteit van Warwick onderzochten het effect van Psychological Contract Breach (PCB) op de intentie om het beveiligingsbeleid na te leven. Zij keken naar intrinsieke motivatie (houding, zelfredzaamheid en eerlijkheid) en extrinsieke motivatie (subjectieve normen, ernst van de sanctie, zekerheid van de sanctie).

De resultaten van het onderzoek zijn interessant. Hoe hoger de PCB, hoe lager de intentie. PCB heeft een negatief effect op houding en eerlijkheid (intrinsieke motivatie), maar heeft geen effect op ernst of zekerheid van de sanctie (extrinsieke motivatie). Het is lastiger om mensen met een hoge PCB te coachen of trainen, omdat ze geen intrinsieke motivatie hebben. PCB wakkert negatieve overtuigingen tegen de organisatie aan.

Organisaties met goed leiderschap en een gevestigde beveiligingscultuur kunnen PCB's verminderen door de psychologische contracten met hun medewerkers na te komen en de houding van de medewerkers ten opzichte van naleving van beveiligingsbeleid te verbeteren. Dit zijn maatregelen die hierbij kunnen helpen:

Stimuleer open communicatie en vertrouwen: vergroot het vertrouwen in leidinggevenden en verduidelijk specifieke verplichtingen gerelateerd aan de functie-inhoud, loopbaanontwikkeling, bedrijfsbeleid, leiderschap, sociale contracten, werk-privé balans, baanzekerheid en beloningen.
Bied ondersteuning en zorg voor interactie: stimuleer sociale interactie, bied ondersteuning vanuit de organisatie en zorg voor vertrouwen.
Implementeer overtuigend management: gebruik een overtuigende in plaats van een assertieve managementstijl.
Maak oneerlijkheid bespreekbaar: zoek uit waarom medewerkers het beveiligingsbeleid als oneerlijk ervaren.
Cultiveer een robuuste cyberbeveiligingscultuur: zorg voor een sterke cyberbeveiligingscultuur om gedrag afkomstig van hoge PCB te beperken.
Investeer in culturele transformatie: doe investeringen die zorgen voor culturele transformatie.

Een positieve beveiligingscultuur is essentieel

Organisaties kunnen veilig gedrag stimuleren met gebruiksvriendelijke tools, beleidskaders die aangeven wat het gewenste gedrag is en door intrinsieke motivatie te stimuleren om bij te dragen aan de beveiliging van de organisatie. Met andere woorden: goede beveiligingsprogramma’s zijn holistische programma’s die mensen, processen en technologie combineren om een organisatie te beveiligen. Het is belangrijk dat organisaties aan de verwachtingen van medewerkers voldoen en hier open over communiceren. De kans is dan kleiner dat medewerkers ontevreden worden, dit verkleint tegelijkertijd de kans op Psychological Contract Breach.

Verder is menselijk risicomanagement van groot belang om een sterke beveiligingscultuur in een organisatie te creëren. Een beveiligingscultuur is het niet tastbare resultaat van een gezonde cyberbeveiligingsmentaliteit, die helpt jouw organisatie te beschermen. Medewerkers moeten gemotiveerd zijn, bezig zijn met cyberbeveiliging en beveiliging ook zien als hun verantwoordelijkheid. Organisaties met een gezonde beveiligingscultuur zullen minder snel slachtoffer worden van phishingaanvallen, omdat de kans groter is dat medewerkers zich veilig gedragen. Kortom: een sterke beveiligingscultuur stimuleert veilig gedrag.