KnowBe4 helpt menselijk gedrag blijvend te veranderen

Security awareness training is nog altijd hot, maar evolueert. Wat indertijd begon als (steeds uitgebreidere) compliance checklist, wordt meer en meer dekkend ‘human risk management’ waarbij KnowBe4 gedragswetenschap, realtime coaching en AI in haar HRM-platform integreert.
Het komt voort uit het besef dat technologie alleen bij lange na niet voldoende is, want mensen/medewerkers blijven de zwakste schakel in de verdediging. Zij zijn het belangrijkste target van cyberaanvallen, dus de meeste én snelste winst om de risico’s voor organisaties te verminderen is te behalen als je het gedrag van mensen (blijvend) weet te veranderen.  

Eenmaal per jaar een stukje training heeft veelal hoegenaamd geen effect 

KnowBe4 is een van de belangrijkste trainingsaanbieders van het eerste uur die zich op gedragsverandering, bewustwording én actie richt. “De transformatie van compliance naar human risk management begint met een heroverweging van wat securitytraining moet opleveren,” geeft Joachim Hodes van Axoft aan. Daar waar vrijwel alle traditionele programma’s vooral waren bedoeld om als organisatie te voldoen aan compliance-eisen (zoals HIPAA, PCI DSS en de bekende ISO-normen), gaat KnowBe4 nu een heel stuk verder. “Voorheen was het vaak, als men het al deed, een enkele jaarlijkse trainingssessie met eventueel een follow-uptest in de vorm van een laagdrempelige quiz. Maar één keer per jaar één korte training heeft weinig effect, want het blijkt dat binnen 48 uur zo’n driekwart van het geleerde vaak alweer is vergeten. Daar komt nog eens bij dat ook als ze wel weten wat te doen er op het moment dat het erop aankomt – dus wanneer er echt een verdacht linkje langskomt – ze door drukte vaak alsnog verkeerd handelen.” 

Die nieuwe inzichten hebben geleid tot het nieuwe ‘human risk management platform’ van KnowBe4, een systeem dat traint én actief helpt risico’s te verminderen door gedrag in de loop van de tijd te beïnvloeden. 

Training op basis van live-gedrag en just-in-time

Een van de meest relevante ontwikkelingen in de genoemde verschuiving is de realtime coachings-optie die KnowBe4 biedt. In plaats van de standaard trainingen op vaste tijden te geven, gebruikt het platform incidents & events uit de securitystack van jouw organisatie en geeft dán training wanneer er (door een 3e partij) risicovolle acties zijn geconstateerd. Training op basis van live-gedrag en just-in-time en dat is mogelijk door de koppeling met beveiligingssystemen van andere partijen die door organisaties al zijn geïmplementeerd. “Daardoor kan KnowBe4 reageren op risicovol gedrag en direct ook feedback geven en zo kan voorkomen worden dat kleine fouten uitgroeien tot grote incidenten. Het platform kan nu worden gesynchroniseerd met endpoint-detectietools en die connectiviteit maakt een dynamische feedbackloop mogelijk.” Op het moment dat iemand een technical warning activeert, zoals het (per ongeluk) delen van gevoelige informatie met een extern e-mailadres, reageert het systeem door direct het risicoprofiel aan te passen en persoonlijke coaching te geven.  

Van herstel naar preventie met oog voor het individu, want iedereen is anders 

Door het menselijk gedrag te koppelen aan realtime gebeurtenissen, kan KnowBe4 een goed beeld van het cyberrisico creëren. De integratie helpt securityteams prioriteiten te stellen en zal het aantal alerts doen afnemen. Met deze nieuwe aanpak verschuift de focus van herstel naar preventie, omdat risicovol gedrag voortaan vroegtijdig wordt aangepakt.”
De trainingen worden verder gepersonaliseerd, omdat niet iedereen in een organisatie dezelfde rol, bevoegdheden en verantwoordelijkheden heeft. Gedragsverandering en risicobeperking zijn beide te meten. Natuurlijk is het mooi om te kunnen zien dat iemand correct reageerde op een (gesimuleerde) phishing-mail of handelde in lijn met het securityprotocol, maar uiteindelijk is het veel belangrijker om in de loop van de tijd meetbare verbeteringen in het securitygedrag te zien. “Dit soort datagestuurde inzichten ondersteunen de optimalisatie van programma’s op de lange termijn. Op basis daarvan kunnen organisaties de trainingsinhoud verfijnen, de risicoscores aanpassen en afdelingen of functies identificeren die mogelijk extra ondersteuning nodig hebben.”  

AI-agents die platform consequent verbeteren en leertrajecten verder personaliseren 

Met meer dan 15 jaar aan verzamelde data, waaronder miljarden resultaten van phishing-simulaties, is KnowBe4 als geen ander in staat geïndividualiseerde leertrajecten op te zetten. Die immense hoeveelheid data en ervaring wordt nu gebruikt om een reeks AI-agents uit te brengen die het trainingsplatform verder zullen verbeteren en de training te personaliseren.  

Een andere spraakmakende toevoeging aan het KnowBe4-platform is KnowBe4 Defend. Het is gebaseerd op natural language processing teneinde communicatierelaties en gedragspatronen te analyseren en pogingen tot social engineering te detecteren. Als je wil weten hoe dit werkt, dan praat Joachim Hodes je graag bij.  

Opleiding, simulatie, compliance en realtime ondersteuning 

KnowBe4 is met dit gepolijste programma zoveel meer dan alleen een heel goed trainingsprogramma. “Het is een compleet systeem voor menselijk risicobeheer. Het houdt risicoscores bij voor gebruikers en organisaties op basis van 7 domeinen en meer dan 100 indicatoren. Die scores bieden een helder inzicht in de blootstelling aan menselijke risico’s en geven richting voor adequate herstelmaatregelen. Daarnaast kun je als organisatie ook gebruikmaken van de embedded tools voor governance etc. Zoals gezegd, met investeren in kostbare hardware, slimme tools en een eenmalige training ben je er niet. De integrale aanpak van het KnowBe4 platform omvat opleiding, simulatie, compliance en realtime ondersteuning. Die combinatie stimuleert blijvende gedragsverandering. Dát is belangrijk, want uit onderzoek blijkt dat bijna 70 procent van de datalekken wordt veroorzaakt door menselijk falen. Maak een afspraak met Joachim Hodes om samen te bekijken hoe we dat percentage blijvend omlaag kunnen schroeven.