Hoe maak je een security awareness-programma succesvol?

Belonen en straffen leidt niet tot de juiste motivatie
Je ziet vaak dat organisaties hun medewerkers aan het begin van het jaar verplichten een x aantal online trainingen te volgen. Het type activiteit dat niet altijd wordt gezien als een prioriteit. Sommige medewerkers stellen trainingen uit. En aan het einde van het jaar zorgen ze er nog gauw even voor dat er een groen vinkje achter hun naam komt te staan. Om zo toch nog aanspraak te maken op een eindejaarsbonus die het bedrijf biedt. Hoewel een beloning in geld wel een trigger kan zijn om een training te volgen, ontbreekt de échte motivatie. En dat heeft niet altijd het gewenste effect. Want geef toe: hoe snel raffel je een training af als je niet gemotiveerd bent om echt kennis te nemen van de inhoud?

Sommige organisaties maken van trainingen zelfs een ware competitie. De medewerker die in een jaar tijd de meeste trainingen tot een goed einde heeft gebracht, wordt op een podium gezet en krijgt een bokaal mee naar huis of wordt tot medewerker van de maand verkozen. Ook in dit geval is niet de wens om meer kennis op te doen de belangrijkste trigger, maar de motivatie om uit te blinken ten opzichte van collega’s. Tenminste, als je in Amerika werkt. In Europa heeft zo’n competitie juist het tegenovergestelde effect. Medewerkers steken over het algemeen niet graag met hun kop boven het maaiveld uit.

Leg uit wat het doel is van trainingen en kom met bewijs
Beloningen in de vorm van geld of een prijs kunnen misschien aanzetten tot het volgen van een training. Maar het gewenste effect - gedragsverandering - ga je er op de lange termijn niet mee bereiken. Onderzoek van MIT wijst uit dat wanneer mensen in eerste instantie goed hebben gepresteerd en hiervoor hoog worden beloond, ze op de lange termijn slechter presteren als het gaat om taken die meer zijn dan simpele handelingen.

Een security awareness-programma kan alleen succesvol worden als je je medewerkers echt inspireert en daarmee intrinsiek motiveert om een training te volgen. Waar dient zo’n training voor? Wat is het hogere doel? Daar gaat het vaak mis: veel organisaties verplichten medewerkers een training te volgen zonder duidelijk uit te leggen waarom. Leg medewerkers daarom uit waarom hun organisatie aantoonbaar veiliger wordt als ze security awareness-trainingen volbrengen. En dat niet alleen: laat hen ook zien dat dat daadwerkelijk zo is. Dat kan bijvoorbeeld door het versturen van op realiteit gebaseerde phishing-aanvallen in je security awareness-programma op te nemen. Zo kun je aantoonbaar maken dat het aantal medewerkers dat op een link klikt in zo’n e-mail afneemt naarmate ze langer trainingen volgen.

Geef je medewerkers autonomie
Als het grotere doel waar een training aan bijdraagt duidelijk is voor je medewerkers, verhoog je de kans dat medewerkers met de juiste motivatie trainingen volgen. Gedragsverandering is daarmee een stap dichterbij. Maar daarmee ben je er niet niet helemaal. Want om die motivatie om te zetten in daden, is een zekere autonomie wel belangrijk. Geef je medewerkers de mogelijkheid om op eigen gekozen momenten en via eigen gekozen middelen een training te volgen. Of dat nou op het werk, thuis of onderweg is. En of het nou door het kijken van een video is, het doorscrollen van een PowerPoint-presentatie of het spelen van een game.

Leg de focus op progressie
Voor alle opties moet gelden dat het geen trainingen hoeven te zijn die uren van hun tijd vragen. Door je medewerkers elke week een training van tien minuten te laten volgen op een door hen zelf gekozen moment, maak je het behapbaar en ook een stuk leuker. Want zeg nou zelf: elke week een prestatie neerzetten is toch veel leuker dan maar een paar keer per jaar?

Conclusie
Beloningen in de vorm van geld of een prijs kunnen misschien aansporen tot het volgen van een training, mits ze juist worden ingezet. Maar wil je op de lange termijn écht gedragsverandering bewerkstelligen, dan is het belangrijk om medewerkers te inspireren, zodat ze met de juiste motivatie aan een training beginnen. En waarbij ze genoeg vrijheid hebben om dit op een voor hen passende manier en tijdstip te doen.

Door Jelle Wieringa, Security Awareness Advocate bij KnowBe4

Meer weten over de belangrijkste componenten van een security awareness-programma? Download het whitepaper hier.