Het is cruciaal om sterke cybersecurity te hebben bij DTU Biosustain. Ze doen onderzoek dat mogelijk de wereld zal veranderen; daarom zijn ze een groot doelwit voor hacking. Mads is degene die deze last op zijn schouders draagt. Hij moet ervoor zorgen dat ze beschermd zijn als organisatie. We spraken met Mads over cybersecurity, bewustzijn en hoe hij een stop motion video heeft gemaakt met een dansende Donald Trump om bewustzijn over phishing te creëren. Als je vooral geïnteresseerd bent in hoe Mads en DTU biosustain onze awareness training gebruiken, kun je hier klikken om meteen ter zake te komen.
Wie is DTU Biosustain? |
|
Mads is verantwoordelijk voor IT bij DTU Biosustain.
DTU is de Deense technologische universiteit. Ze hebben meer dan 6000 werknemers verdeeld in verschillende onderzoekscentra en instituten. We hebben gesproken met Mads, die verantwoordelijk voor IT is bij DTU Biosustain, één van de onderzoekscentra.
DTU Biosustain heeft een team van 300 werknemers. Ze worden gefinancierd door Novo Nordisk en onderzoeken hoe ze duurzame chemicaliën kunnen maken met genetische modificatie. Ze hebben hun eigen cybersecurity, maar werken ook samen met DTU.
Mads is de belangrijkste IT-persoon bij DTU Biosustain. Hij heeft een diploma in corporate governance en computer science. Hij hield niet zo van coderen, maar het hielp hem IT begrijpen, iets dat hem nu van pas komt en hij combineert met zijn kennis over de menselijke aspecten van bedrijfscultuur. Hij is leidinggevende van een klein team van 4, inclusief hijzelf. Ze zijn 3 fulltime werknemers en een studentenwerker. Hij is ook verantwoordelijk voor de IT in een ander DTU-instituut met dezelfde opstelling, maar in dit artikel zullen we ons concentreren op zijn werk bij DTU Biosustain, waar hij bewustzijn probeert te creëren over het belang van cyberbeveiliging.
Cyberbeveiliging is belangrijk voor alle bedrijven, maar voor een universiteit als DTU Biosustain is het cruciaal. Mads zegt dat ze zonder cybersecurity waarschijnlijk niet zouden bestaan.
"Als we niet met IT-beveiliging zouden werken, zou alles anders zijn. We zouden waarschijnlijk niet bestaan. We zien dat universiteiten en biotech bedrijven altijd worden aangevallen. Onlangs werden we zelf aangevallen en het was alleen vanwege een opmerkzame medewerker dat dingen niet ernstig zijn afgelopen."
Universiteiten hebben veel gegevens die ze moeten beschermen.
“We zijn een onderzoekscentrum dat regelmatig de beste wetenschappers ter wereld inhuurt. Ze werken met baanbrekend onderzoek. Als dat wordt gestolen of als we de tijd van de wetenschappers verspillen omdat onze veiligheid niet goed genoeg is, zou dat echt slecht zijn."
Omdat DTU Biosustain met de nieuwste onderzoek studies werkt, maakt het hen een doelwit voor veel cyberaanvallen. De gegevens en kennis die ze bezitten hebben veel waarde. Daarom is het vanzelfsprekend dat ze zich richten op cybersecurity.
Tegenwoordig wordt elk bedrijf blootgesteld aan aanvallen, omdat veel cyberaanvallen geautomatiseerd zijn en zich niet richten op specifieke bedrijven. We zien echter ook veel gerichte aanvallen als het logisch is voor cybercriminelen. Dit is het geval voor DTU Biosustain. Mads zegt dat ze bang zijn voor regeringen, hackers en nog veel meer.
“De realiteit is dat we bang zijn voor Rusland, Iran, China en veel andere landen. Elke keer dat we thuiskomen van een conferentie moeten we alles versnipperen en de computers in een sandbox formatteren. We weten dat we overal malware kunnen krijgen. Het is vreselijk om hierover na te denken."
Bij DTU Biosustain moeten ze elke computer beschermen.
“We moeten ons uiterst bewust zijn van wie waar naartoe gaat. Het is belangrijk dat onze werknemers weten dat dit de realiteit is waar ze deel van uitmaken."
Vanwege dit soort bedreigingen is het duidelijk dat cyberbeveiliging niet alleen een technisch probleem is bij DTU Biosustain, maar ook een vraag is over werknemers en hun gedrag.
Een andere uitdaging voor Mads is dat ze een universiteit zijn. Dit betekent dat veel mensen elke dag in en uit de gebouwen lopen.
"Novo Nordisk kan bijvoorbeeld volledig gesloten worden. Werknemers hebben geen toegang tot alles dat ze niet nodig hebben, ze zien alleen wat ze nodig hebben. Hier zijn we een universiteit met gratis toegang. Je hebt overdag geen keycard nodig. En het werkt hetzelfde met een groot deel van onze IT-infrastructuur."
De universiteit heeft veel gebruikers die toegang hebben tot veel dingen. Dit maakt het moeilijk om te beschermen, en nog belangrijker dat alle gebruikers en werknemers op de hoogte zijn.
Cybersecurity wordt historisch gezien als een taak voor de IT-afdeling. Vroeger was cyberbeveiliging een kwestie van een goede IT-infrastructuur, sterke firewalls, antivirussystemen en alle technische schilden die je kon vinden. Dit is in veel opzichten nog steeds zo, maar het is niet meer het enige. Sinds we in ons dagelijks leven steeds meer digitale apparaten zijn gaan gebruiken, zijn we allemaal een groot deel van cyberbeveiliging geworden. Dit is ook iets dat Mads erkent.
“We kopen de beste systemen. Dit betekent dat er niet veel phishing-e-mails en hackeraanvallen door onze systemen komen. Maar... wanneer iets door deze verdediging glijdt, is er maar één persoon voor nodig die op een zip-file klikt en dan verspreidt de malware zich, of misschien geeft iemand zijn gebruikersnaam en wachtwoord aan een kwaadwillig persoon."
DTU Biosustain geeft veel geld uit aan technische oplossingen, maar het is niet genoeg. Ze moeten werknemers opleiden.
"We kunnen alle goede systemen hebben die er bestaan, maar als we niet allemaal hetzelfde basisniveau hebben en het goede van het slechte kunnen scheiden, dan helpen ze niet."
Laten we nu ingaan op het bewustzijn bij DTU Biosustain.
DTU Biosustain heeft verschillende initiatieven om bewustzijn in het bedrijf te creëren. Ze gebruiken de awareness training van Cyberpilot, ze hebben enig fysiek bewustzijn en Mads heeft een bewustmakingsvideo over phishing gecreëerd. We zullen alle 3 initiatieven bespreken.
Het eerste deel van de awareness training in DTU Biosustain is onze awareness training. De medewerkers van DTU Biosustain ontvangen onze modules over de AVG en cybersecurity om de maand om het bewustzijn te vergroten over onderwerpen als phishing, wachtwoorden, persoonlijke gegevens en nog veel meer. Nieuwe werknemers ontvangen ook een aantal modules in de onboarding -fase zodat ze op de hoogte zijn.
Mads denkt dat de awareness training goed werkt.
“Over het algemeen denk ik dat het concept van awareness training geniaal is. Ik geloof dat van een groot percentage mensen het IT-kennis niveau lager is dan we verwachten. Lager dan de normale basislijn van kennis zou moeten zijn. Ik vind het leuk om te zien dat we het kennisniveau kunnen verhogen."
Mads gelooft dat het concept werkt, maar er zijn veel leveranciers die bewustwording trainen. Dus waarom koos hij voor Cyberpilot?
“Ik denk dat wat jullie doen echt goed is. Allereerst vertelt het een verhaal. Het is niet neerbuigend. Het ergste is wanneer mensen zich betuttelt voelen nadat ze gesproken hebben met de IT-afdeling. Wanneer ze zeggen: ’Ik voel me dom als ik naar je kantoor kom en vragen stel, en je zit daar gewoon met je World of Warcraft-haar.’ Ik wil dat iedereen zich welkom voelt."
Mads vermeldt echter ook dat het niveau van de modules natuurlijk voor sommige mensen te laag is, maar dit is geen probleem:
“Natuurlijk kennen sommige mensen de antwoorden al en voor hen zijn de cursussen een beetje te makkelijk. Je kunt ze verliezen, maar ze hebben al voldoende cybersecurity kennis. Voor degenen die niet dat kennisniveau hebben, denk ik dat je Awareness training perfect is. Ik heb nooit negatieve feedback van hen gekregen."
Onze Awareness training gaat over het creëren van bewustzijn en het verbeteren van het basisniveau van cybersecurity in bedrijven.
Eén van de moeilijke dingen van awareness training is om het effect ervan te meten. We houden van data om het effect te bewijzen, maar het is moeilijk om data te verkrijgen over iets als cybersecuritycultuur en kennis. Mads is echter zeker dat de training helpt.
“Bewustzijn werkt! Ik weet dat het werkt maar heb geen getallen om het te ondersteunen en geen enige basis om het te zeggen, behalve mijn gevoel."
Later in ons gesprek blijkt dat Mads wel degelijk een aantal metingen heeft om het te ondersteunen, ze zijn alleen eerder kwalitatief dan kwantitatief.
"Vroeger kreeg ik een e-mail van misschien één persoon die zei: ‘Ik heb deze e-mail ontvangen, en mijn collega's hebben het ook gekregen. Is het echt of is het een phishing-e-mail?’ Nu ontvang ik meerdere e-mails elke keer dat er iets gebeurt, of als er een verdachte e-mail ten ronde gaat. Zelfs als het een e-mail is die er echt uitziet en van een DTU-persoon komt, schrijven mensen 'Wat deze persoon schrijft, is een beetje vreemd. Is het één van die e -mails waarvoor we worden gewaarschuwd door Cyberpilot?"
Dit soort ervaringen tonen het effect van de Awareness training. Mads had ook een ander voorbeeld van hoe zijn werkleven gemakkelijker is geworden, omdat hij niet met iedereen hoeft te communiceren wanneer er een phishing-e-mail is.
"Vroeger schreef ik, ‘Deze e -mail circuleert.’ "Ik hoef dat nu niet meer te doen. Mensen zijn op de hoogte."
Het lijkt erop dat Awareness Training werkt.
DTU Biosustain volgde ook een phishing-trainingscampagne nadat ze met de Awareness training waren begonnen. Het was nuttig, maar Mads had het achteraf liever gedaan voordat ze met de Awareness training waren begonnen.
“Ik ontving al gauw e-mails dat de eigenaar van het afzenderdomein Cyberpilot was. Ze zagen er dus gauw doorheen. Ik had de phishing-trainingscampagne achteraf gezien liever vóór de Awareness training gedaan. Maar het is een goed teken dat ze er doorheen zagen. Ik denk dat het komt door de Awareness training."
Dit laat zien dat de phishing-training kan worden gebruikt om de awareness training aan te vullen en ook kan werken als basislijn van het effect van de awareness training. Door de phishing-training te volgen, kan je zien hoe je bedrijf verbeterd in het spotten van phishing-e-mails.
Mads had eigenlijk geen negatieve feedback over de awareness training, behalve dat hij op persoonlijk vlak dacht dat het wel wat pit kon gebruiken, maar tegelijkertijd begrijpt hij dat de training voor de massa is.
“Het is een persoonlijke voorkeur. Misschien wil 98% procent van de mensen niet dat het edgy is, maar ik denk dat je het een beetje op kunt fleuren. Maar nogmaals, ik heb niets te verliezen. Ik kan alleen ontslagen worden of een beetje uitgescholden worden. Jij moet een bedrijf runnen waar je ervoor moet zorgen dat je niet iedereen beledigt.”
Gelukkig kun je altijd het heft in eigen handen nemen en dat is precies wat Mads deed. Hij maakte zijn eigen bewustwordingsvideo over phishing, waar hij alle pit kon toevoegen die hij maar wilde. Maar voordat we daarop ingaan, wil ik het even hebben over hoe Mads fysiek bewustzijn creëerde om de awareness training te ondersteunen.
Naast de CyberPilot Awareness Training is Mads ook andere initiatieven gestart om bewustwording te creëren. Zo hing hij posters aan de muur.
“Ik begon met een paar grote posters. Ze hadden een of andere vorm van half provocerende tekst, niets kwaads, maar opvallend en een aantal mooie afbeeldingen.”
Mads creëert ook enig bewustzijn wanneer mensen de modules vergeten te volgen. Als hij ziet dat de opkomst wat terugloopt, komt hij in actie.
“Als ik zie dat de opkomst wat aan de lage kant is, dan vraag ik een collega om met wat flyers op pad te gaan over het feit dat ze eraan moeten denken om de modules te volgen. Omdat ze niet veel mails van mij willen lezen, moet ik iets anders doen. Ik maakte bijvoorbeeld een flyer over het feit dat Mærsk 2 biljoen (Deense Kroon) verloor toen ze down waren omdat iemand op een link in een e-mail had geklikt. Dit soort voorbeelden zijn goed om mensen aan het belang te herinneren. Ze kunnen hun onderzoek en hun patenten verliezen. Ik maak ze er alleen bewust van, en het werkt. Ik zie een boost in mensen die de modules een tijdje volgen, en vervolgens is het tijd voor nieuwe flyers.”
Niemand wil vrijwillig cursussen over cybersecurity volgen, ze willen gewoon werken aan hun dagelijkse werktaken. Soms moet je mensen eraan herinneren waarom ze de modules moeten volgen.
Het laatste deel van het fysieke bewustzijn is aanwezig zijn en praten met medewerkers. Mensen moeten weten dat ze altijd vragen kunnen stellen.
"Het was voor ons heel belangrijk om mensen te vertellen: 'Je moet niet bang zijn als je ergens op klikt. Kom gewoon naar beneden en praat met ons, dan kijken we wat we moeten doen.' Ze voelen zich op hun gemak omdat het nu een deel van hun leven is. Het is geen onbekend iets, waar ze denken dat ze ontslagen of berispt kunnen worden door hun baas. Cybersecurity is nu een onderdeel van hun dagelijks leven.”
Het punt dat Mads maakt, is cruciaal voor het creëren van goede cyberbeveiliging. Als je medewerkers naar je toe durven te komen als er iets is gebeurd, heb je een grotere kans om snel en efficiënt te reageren. En natuurlijk is het ook beter om een werkomgeving te hebben waar iedereen zich veilig voelt. Dat is waar het bij een goede cybersecuritycultuur om draait.
Zoals eerder vermeldt dacht Mads dat het cyberbeveiligingsbewustzijn wat pit kon gebruiken, dus wat deed hij? Hij maakte zijn eigen video samen met een ervaren stop-motion animator genaamd Rolf. Maar waarom deed hij het? Wat is er nodig om je eigen video's te maken, en werkt het?
Laten we eerst de video bekijken voordat we deze vragen beantwoorden:
Phishing-aanvallen vormen een reële bedreiging voor DTU Biosustain. Zeker een paar jaar geleden, toen de spamfilters niet zo goed waren als nu. Dit was de belangrijkste reden om de video te maken:
“We werden getroffen door HEEL VEEL phishing-e-mails. Het was een grote uitdaging en niet alle medewerkers wisten hoe ze moesten reageren op het grote internet en de bedreigingen die het met zich meebrengt.”
De video moest een snelle herinnering, oplossing en adrenalinestoot zijn om mensen de gevaren van phishing-e-mails te laten onthouden.
“Het is net als wanneer je je vriendin rozen geeft. Na een paar dagen beginnen ze een beetje te hangen. Dan geef je ze wat heet water en heffen ze hun nek nog één keer op. Dit project was bedoeld om mensen wakker te maken en te zeggen 'HEY!'”
Het was niet de enige reden om de video te maken, want Mads geeft toe dat het ook voor de lol was.
“Misschien was het ook een beetje een egoïstisch project omdat ik het leuk vond om te doen. Maar het was vooral om een wake-up call te creëren en een kans te hebben om in te spelen op alle stereotypen die er zijn. Het moest op een leuk manier bewustzijn creëren.”
En waarom geen plezier hebben bij het creëren van bewustzijn?
Mads begon met het vragen van een stel reclamebureaus, maar ze wilden allemaal 500.000 Deense Kroon voor een video plus 250.000 voor het onderzoek om het effect achteraf te meten. Dat was niet binnen de reikwijdte van wat Mads aan het doen was. Hij had 300 medewerkers waarvan hij hoopte dat ze op zijn deur zouden kloppen om te zeggen: "dat was een grappige video" en dat ze daarna over de video zouden praten bij de waterkoeler. Niets groots.
Dus, wat doe je als je geen half miljoen wilt uitgeven? Mads dacht aan een jongen die hij eerder had ontmoet, Rolf.
"Ik heb iemand gevonden die video's maakt. Ik denk dat hij helemaal gek en extreem creatief is. Hij gebruikt veel gadgets en kleine dingen die hij overal vindt. Hij maakte bewustmakingsvideo's voor DTU over bouwplaatsen en de gevaren hiervan, dus ik belde hem.”
Mads dacht aan hem en wist wat er moest gebeuren en Rolf zou de video over phishing maken.
Mads maakte een storyboard en stuurde het naar Rolf op, die het vervolgens aanpaste en uitvoerde. Het idee was om het grappig, provocerend en over onderwerpen te maken die DTU Biosustain veel ziet in hun dagelijkse cybersecurity-leven.
“We hebben een storyboard gemaakt met alle dingen die we het meest zien. Toen maakte Rolf het eenvoudiger omdat niemand 15 minuten pratende hoofden wil zien. We wilden het hebben over alle dingen waar we het meest aan worden blootgesteld en een paar mensen aan het lachen maken.”
Maar het was een lange weg. Rolf werkte in zijn vrije tijd aan de film, aangezien hij een fulltime baan had. Het kostte een heel jaar om de video te maken en kostte uiteindelijk ongeveer 80.000 Deense Kroon.
“Wat hij doet is stop-motion. Hij zit in een garage vlakbij de Duitse grens en doet zijn ding. Het kost veel tijd en ik kreeg een uitbrander van mijn baas omdat ik Rolf niet pushte, maar ik ben er vrij zeker van dat mensen Michelangelo ook niet hebben gepusht toen hij de Sixtijnse kapel schilderde. Creativiteit kost tijd.”
Ook als je reclamebureaus geen half miljoen betaalt, kost het geld en veel tijd om je eigen video's te maken.
Na een jaar was de video klaar. Het werd gepubliceerd op het intranet van DTU Biosustain en wanneer ze een golf van phishing-aanvallen zien, krijgt het opnieuw een opleving in de wekelijkse nieuwsbrief. Het wordt echter niet zo vaak gebruikt als Mads wil. Misschien omdat het zo provocerend werd. Hierdoor is hij een beetje bang voor de reactie van het hogere management.
"Ze denken misschien: 'Mads, you dumbass... Heb je daar geld aan uitgegeven?'"
Mads vreest niet voor zijn baan, maar hij weet dat de video wellicht voor opschudding kan zorgen.
Hoewel Mads een beetje nerveus is om de video overal te laten zien (wat op zich een paradox is bij het maken van een bewustwordingsvideo), is de feedback volledig positief. Ik vroeg of iemand boos of beledigd was door de video en of er negatieve feedback was:
“Nee, het was alleen maar positieve feedback.”
Mads voegt eraan toe dat mensen misschien een paar opmerkingen hadden, maar dat het alleen op een positieve manier gesprekken begint.
"Ze zeggen misschien: 'Jeetje, dat is dom', maar tegelijkertijd hebben ze het over phishing. Een ander zou kunnen zeggen: 'Ik ben Russisch, waarom schilder je me zo af?', maar dan kan ik zeggen: 'Sorry daarvoor', maar uiteindelijk was niemand beledigd omdat ze weten dat de dreiging een realiteit is. De realiteit is dat we bang zijn voor Rusland, Iran, China en India.”
Als de video mensen ertoe aanzet om over phishing te praten, is het een succes. Dit creëert bewustzijn over de dreiging en maakt het waarschijnlijker dat werknemers de volgende phishing-e-mail in hun inbox zien.
Misschien moet jouw bedrijf ook je eigen phishing-video maken.
Ik vroeg Mads of hij 3 goede tips had voor andere bedrijven. Hij had in plaats daarvan één groot advies is en zei:
"Als je daar drie adviezen uit kunt halen, dan is dat het."
Ik zal het proberen.
Het eerste advies is dat je technische oplossingen nodig hebt die je cybersecurity helpen.
"Je kunt ver komen met de juiste systemen en er misschien voor zorgen dat slechts 2-3% van de kwaadaardige dingen erdoor komt."
Het technische gedeelte is belangrijk, maar Mads zegt ook dat het niet genoeg is, want als 2-3% er doorheen komt kan dit nog steeds schadelijk zijn. Dit leidt ons naar het volgende advies.
Je technische oplossingen kunnen niet zonder bewuste medewerkers.
"Je beveiliging is niet sterker dan je zwakste gebruiker. Iemand die een drukke dag gehad heeft en daarom op een link heeft geklikt of op de verkeerde site is ingelogd."
De boodschap van Mads is duidelijk. Je moet je medewerkers bewust maken van bedreigingen, zodat ze geen fouten zullen maken.
Het derde advies van Mads is om een ruimte te creëren waar mensen niet bang zijn om mogelijke fouten toe te geven. Het is één ding om bewuste medewerkers te hebben, maar iets anders als deze medewerkers erop kunnen vertrouwen dat ze naar de IT-afdeling kunnen komen als er iets misgaat, zonder dat ze bang hoeven te zijn om gestraft te worden.
"Je hebt een omarmende cultuur nodig voor het IT-kennisniveau van alle mensen, want het ergste is wanneer iemand bang is om naar je toe te komen, en in plaats daarvan probeert te verbergen dat ze bepaalde informatie hebben gedeeld omdat ze zich schamen."
Al deze 3 adviezen zijn dingen die we bij CyberPilot kunnen beamen, aangezien we het 100% eens zijn met elk onderdeel ervan.
Waar ziet Mads zijn beveiligingswerk over 5 jaar? Of waar hoopt hij dat het zal zijn? Dat was mijn laatste vraag, en Mads beschouwt gebruikers als een cruciaal onderdeel van cybersecurity. Zijn wens voor de toekomst is om meer gebruikersbetrokkenheid te krijgen bij het cyberbeveiligingswerk, net zoals we ontwerpers zien doen in ontwerpprocessen. Hij wil bij de gebruikers zitten en zien hoe ze verschillende programma's en systemen gebruiken, zodat hij kan communiceren en cyberbeveiligingsstrategieën kan creëren die passen bij het dagelijkse gebruik van IT, in plaats van werknemers die zich moeten aanpassen aan beleid dat niet past bij hun dagelijkse werkzaamheden.
“We moeten bij alles wat we doen rekening houden met de behoeften van de mens. Ik hoop dat we dit over 5 jaar nog veel meer doen, zodat we de behoeften echt begrijpen en onze cybersecurity en bewustzijn daarop kunnen afstemmen.”
En wij hebben dezelfde hoop. Cybersecurity moet mensen niet harder laten werken, maar moet eenvoudig te implementeren zijn in het dagelijkse werk.
Een goede cybersecuritycultuur is belangrijk. Zoals DTU Biosustain en Mads ons hebben laten zien, zijn er veel manieren om dit te doen. Je kunt bijvoorbeeld video's of posters maken, met mensen praten of een trainingsprogramma voor bewustwording creëren. Wil je onze awareness training gratis uitproberen, dan kan dat hier.