Onderzoeksbureau Hoffmann fysieke en digitale veiligheidspartner

Het stereotype beeld van een hacker is veelal een man in een donker kamertje met de capuchon van zijn hoodie over zijn hoofd die digitaal bedrijven aanvalt. En bij verborgen camera’s zullen velen waarschijnlijk denken aan crime scene investigation series op televisie. Maar niets is minder waar, bovengenoemde zijn slechts enkele van de middelen die onderzoeksbureau Hoffmann op dagelijkse basis inzet voor het opsporen en tegengaan van fraude, afpersing en schending van integriteit.

“Wij zijn de veiligheidspartner van ondernemend Nederland. Met behulp van een integrale aanpak die verder gaat dan alleen de techniek, maar ook kijkt naar mens en organisatie, helpen wij organisaties om zowel fysiek als digitaal veiliger te worden,” aldus Mo Ballari, senior consultant Cybersecurity & Risk management bij Hoffmann. Met ruim zestig jaar ervaring en een heel divers team van onder andere onderzoekers, adviseurs, hackers en psychologen helpt Hoffmann organisaties niet alleen met het onderzoeken hoe zaken hebben kunnen gebeuren, maar ook om de risico’s op ongewenst gedrag en incidenten zoveel mogelijk te beperken.

De mens achter de knoppen

“Door verder te kijken dan alleen een incident, maar ons ook af te vragen wie zoiets doet, kunnen we echt een verschil maken. Ook bij digitale aanvallen zit er toch altijd een mens aan de knoppen,” aldus Ballari.

Preventieve maatregelen

Naast onderzoek en ondersteuning bij incidenten biedt Hoffmann ook preventieve diensten aan. “Bedrijven weten niet altijd waar hun kwetsbaarheden liggen. Door dat in kaart te brengen kunnen we daarna heel gericht met een aspect aan de slag gaan om dit te verbeteren.” Ook daarin kijkt het team van Hoffmann verder dan alleen de pijnpunten. “Vaak kunnen er organisatorische of technische maatregelen genomen worden om risico’s te verkleinen. Echter geldt ook hier; de mens ‘bedient de knoppen’. Hoe zorgen we ervoor dat medewerkers ‘de sterkste schakel’ zijn als het gaat om veiligheid? Er zijn nog teveel organisaties die blind inzetten op awareness, maar alleen awareness is niet voldoende om gedragsverandering teweeg te brengen” aldus Ballari. Dat een werknemer weet wat hij zou moeten doen, betekent nog niet dat het daadwerkelijk gebeurt. “Dat zie je heel veel, we weten bijvoorbeeld allemaal dat het belangrijk is om een lang, ingewikkeld wachtwoord te verzinnen en dat regelmatig te wijzigen. Maar toch zien we dat dit in de praktijk vaak niet gebeurd.”

Zwakke plekken

Hoffmann constateert dat ook digitale incidenten binnen een organisatie veelal naar gedrag van medewerkers te herleiden valt. Bijvoorbeeld omdat een medewerker op een link in een phishing-e-mail klikt en bijvoorbeeld inloggegevens via deze weg afgeeft. Of omdat iemand een persoon die niet bij een bedrijf thuishoort zomaar binnenlaat en vrij door het pand laat bewegen zonder te weten wat diegene nou echt komt doen. Veelal realiseert men zich niet dat ze daarmee mogelijk, hoewel goedbedoeld, mensen met kwaad in de zin niet alleen het pand, maar ook het netwerk van de organisatie binnenlaten. “Wij voeren ook tests uit om kwetsbaarheden en verbeterpunten te signaleren. In opdracht van onze klanten testen we medewerkers door het versturen van een phishing e-mail naar alle medewerkers van een organisatie waarin we met een realistisch scenario hen proberen te overtuigen om wachtwoorden of andere bedrijfsgegevens af te geven. Om te voorkomen dat het een blaming and shaming-campagne wordt, vertellen we daarna niet aan de werkgever welke medewerkers er in onze ‘val’ zijn getrapt, maar koppelen we de resultaten in hoofdlijnen terug. We wijzen niet met de vinger maar tonen aan dat er nog winst te behalen is. Door de test te combineren met handvatten en tips voor de medewerkers wordt het leereffect vergroot.

Gedragsverandering faciliteren

Maar is het dan reëel om medewerkers zomaar de schuld te geven? Volgens Ballari wordt gewenst gedrag pas vertoond als er aan meer voorwaarden dan alleen awareness voldaan wordt. “Iedereen weet dat je niet zomaar buitenstaanders binnen moet laten, maar als ze een net pak aanhebben en een laptop onder hun arm hebben, of een PostNL jas dragen, dan verandert dat de zaak ineens.” Behalve kennis over het gewenste gedrag is het essentieel dat medewerkers zich ook gemotiveerd voelen om gewenst gedrag te vertonen en dat zij de tijd en middelen hebben om dit gewenste gedrag te kunnen vertonen. Pas wanneer in voldoende mate aan deze drie voorwaarden voldaan wordt zal het gewenste gedrag optreden. Verschillende psychologen zetten zich dagelijks in voor Hoffmann en doen onderzoek naar de oorzaken van gedrag, maar kijken ook hoe deze kennis omgezet kan worden naar praktische en effectieve oplossingen voor veiligheidsvraagstukken van klanten.

Hoffmann 
Luidsprekerstraat 10
1322 AX Almere

088 298 6600
m.ballari@hoffmann.nl