‘Voorkomen is beter dan blussen’. Het is een oude slogan van de brandweer om preventie te stimuleren. In de beveiliging is de werkwijze echter meestal nog repressief. Het ‘protocol’ treedt pas in werking tijdens een incident. Proactief beveiligen moet daar de komende jaren verandering in brengen.

Voorstanders zouden het niet meer dan normaal vinden als proactief beveiligen een standaard onderdeel wordt van de opleiding van beveiligers. Maar de praktijk is weerbarstig. Pas sinds 2017 worden er stappen gezet in die richting, nadat proactief beveiligen onder andere op Schiphol en in grote musea als uiterst effectief is ervaren. Er wordt daarbij niet langer alleen op incidenten gereageerd, maar ook op situaties die doorgaans aan incidenten vooraf gaan.

Officieel examen
Een aantal instituten heeft zich inmiddels toegelegd op cursussen en trainingen in proactieve beveiliging. Sinds vorig jaar is er ook een ‘officieel’ examen, dat bij de SVPB afgelegd kan worden. De SVPB (Stichting Vakexamens voor de Particuliere Beveiligingsorganisaties) is door de overheid aangewezen als instantie voor het afnemen van wettelijk vereiste examens voor beveiligers. Voor Studiecentrum Minerva, een van de grootste aanbieders van beveiligingsopleidingen, was dat een reden om een nieuw cursusprogramma te ontwikkelen en daarover ging afgelopen week het symposium Proactief Beveiligen.
Nepbom
Hoe weinig proactief beveiligen leeft, werd direct aan het begin van het symposium aangetoond. In de ondergrondse congreszaal lag een koffertje op een tafel, dat niemand van de aanwezige beveiligingsexperts leek op te vallen. Dat veranderde toen dagvoorzitter Hans Drescher er de aandacht op vestigde. Hij opende de koffer en liet zien dat er een realistisch ogende nepbom in zat. Daarmee was de toon gezet. We hebben allemaal wel eens van proactief beveiligen gehoord, maar het zit nog bij niemand in de genen. Drescher vertelde hoe Minerva inmiddels zo’n twee jaar bezig is om een leerlijn proactief beveiligen op te zetten en dat er inmiddels geëxamineerd wordt op ‘basic’-niveau. Naast ‘basic’ worden ook opleidingen op de niveaus ‘advanced’ en ‘expert’ ontwikkeld, voor leidinggevende en adviserende proactieve beveiligers.

Geen kunstje
De cursus ‘basic’ is echt bedoeld voor uitvoerend niveau. De leerstof is geschreven op mbo2-niveau en voor vrijwel elke gediplomeerde beveiliger te behappen. Er is een theoriedeel dat door de SVPB wordt geëxamineerd en een praktijkdeel waarvan het examen wordt afgenomen door ESIF (Stichting European Security Intelligence Foundation). Cursusleider Paul Mulder vergeleek het te behalen certificaat met een rijbewijs, dat je nodig hebt om je verder te kunnen ontwikkelen. Wat dat heb je wel met proactief beveiligen. Het is geen kunstje dat je op school kunt leren. Op school krijg je alleen de bagage die nodig is om nuttige ervaring in de praktijk te kunnen opdoen. “Proactief beveiligen is geen exacte wetenschap. Het is een academisch onderbouwde systematiek ter onderkenning van zichtbare dreigingen.”
Normafwijkend gedrag
Proactief beveiligen is ontwikkeld in Israël waar dreiging aan de orde van de dag is, maar wat hier wordt gedoceerd is aangepast aan de Nederlandse omstandigheden. Mulder: “Je kijkt eerst wat de norm is. Vervolgens oriënteer je je op normafwijkend gedrag. Je kan echt niet duizenden mensen in een stationshal in de gaten houden, maar als je getraind bent pik je wel de mensen eruit waarmee je een gesprek moet voeren om erachter te komen of zij een dreiging vormen.” Het gaat er volgens de docent om dat je zo vroeg mogelijk ingrijpt in de criminele planningscyclus. Een crimineel die tijdens de voorbereidingen wordt betrapt, ziet meestal af van voortzetting van zijn plan. Mulder wijst er wel op dat je met ‘security questioning’ een grote verantwoordelijkheid bij de beveiliger neerlegt. Die moet op basis van indicatoren beoordelen of er een concrete dreiging is. Gun je iemand het voordeel van de twijfel of laat je iemand misschien ten onrechte op spectaculaire wijze door de politie overmeesteren?

Niet zwart of wit
Een grote uitdaging is het bepalen van de norm. Dat is volgens cursusleider Marco Oosterveld, die de cursus ‘advanced’ verzorgt, niet iets wat je aan een operationele beveiliger op niveau mbo2 moet overlaten. Om de norm te kunnen bepalen moet je goed weten hoe het proces in elkaar zit en welke methodes criminelen kunnen gebruiken om het proces te verstoren. “Als je niet weet hoe de tegenstander werkt, kan je ook niet op de signalen reageren. Sommige beveiligers zullen dat zelfs nooit leren, want het is geen kwestie van zwart of wit. Je moet aan de hand van de omstandigheden heel goed kunnen beoordelen wat afwijkend gedrag is en hoe je daarop met het stellen van vragen moet reageren. Er is ook een goede incidentenregistratie nodig om het proactief beveiligen voortdurend te kunnen verbeteren en het effect ervan aantoonbaar te maken.
Geavanceerdere methodes
Oosterveld werkt al zo’n 25 jaar in de beveiliging en dan vooral voor de luchtvaart. “Ik draag mijn kennis graag over aan mensen die daar belang bij hebben.” Tijdens het symposium ging hij dieper in op de criminele planningscyclus en hoe je die kunt signaleren. “Het kan heel simpel gaan om iemand die foto’s maakt van de beveiligingsmaatregelen. Waarom doet hij dat? Maar we krijgen ook met geavanceerdere methodes te maken, zoals social engineering. Via bijvoorbeeld LinkedIn onderzoekt de crimineel wie hem zou kunnen helpen om de beveiliging van het doelwit te omzeilen. Voordat het plan wordt uitgevoerd, vinden vaak heel veel activiteiten plaats die met een beetje oplettendheid gesignaleerd kunnen worden. Vervolgens komt het aan op communicatieve vaardigheden. Iemand die zich afwijkend gedraagt kan een crimineel, maar ook een grote klant zijn. Hospitality is dus essentieel. Wat gebeurt er tijdens het vraaggesprek? Wordt iemand zenuwachtig of zelfs boos?”
Expert
Tot slot is er het niveau ‘expert’, dat gedoceerd wordt door de in Israël opgeleide Ron van Daalhof. Hij geeft onder andere trainingen aan de marechaussee en aan beveiligers van ambassades in risicolanden. Ook de politie kreeg belangstelling. Tienduizenden medewerkers zouden opgeleid en getraind moeten worden. Dat konden we nooit allemaal zelf doen. Daarom ontwikkelden we e-learning voor de mensen op de werkvloer. In een uur zie je wat normafwijkend gedrag en verdachte indicatoren zijn. Daarna volgt een toets met dertig vragen. We gebruiken dit programma nu al in 25 landen en zelfs de Verenigde Naties gaat ermee aan de slag.” Van Daalhof benadrukt dat je met e-learning nog geen proactieve beveiliger wordt. “We selecteren de ‘parels’ uit elke organisatie en leiden die op tot praktijktrainer voor de operationele mensen.”
Psychologie
Psychologie vormt een belangrijk aspect van proactief beveiligen, vertelde Elsine van Os van Sign Post Six, die als gastspreker was uitgenodigd. “Mensen plegen niet zomaar een misdrijf. Er gaat vaak een heel traject aan vooraf. Dat is al keer op keer gebleken in de Verenigde Staten, waar ‘active shooters’ als grootste dreiging worden beschouwd. Elke keer blijkt weer dat een schietpartij voorkomen had kunnen worden als er iets was gedaan met het gedrag dat de dader vooraf had vertoond. Dat zie je ook bij ‘insider threat’. Hoe beter de beveiliging, hoe vaker criminelen gebruik gaan maken van social engineering om toe te slaan. De meeste kans maken zij bij ontevreden medewerkers en machiavellistische leiders, die zichzelf zo belangrijk vinden dat zij zich niet aan procedures storen.” Van Os toonde wat voorbeelden van insider threat, zoals een FBI-medewerker die twintig jaar lang informatie naar de Russen kon doorspelen. “Ruim de helft van de grote organisaties wordt getroffen door ‘insider threat’ en de gemiddelde (reputatie)schade per incident is 3 miljoen dollar. Ook Edward Snowden gaf duidelijke signalen af, voordat hij met 1,7 miljoen vertrouwelijke documenten op een usb-stick de deur uitliep bij de NSA. Mede daarom is het in de VS nu verplicht om een functionaris of afdeling Insider Threat te hebben, waar medewerkers verdacht gedrag van collega’s kunnen melden.”

Commercieel interessant
Over dat proactief beveiligen effectief is bestaat weinig discussie. Bekend is het echter nog allerminst, wat ook wel bleek uit het niet reageren op het verdachte koffertje in de congreszaal. Daardoor is er vanuit de markt nog nauwelijks vraag naar proactieve beveiligers en is er al helemaal geen bereidheid om er extra voor te betalen. Dat geldt voor zowel werkgevers als opdrachtgevers in de beveiliging. Enkele vooruitstrevende organisaties vormen een uitzondering. Bij Schiphol, De Nederlandsche Bank en het Rijksmuseum wordt proactief beveiligen standaard als vaardigheid vereist. Voor met name de grotere particuliere beveiligingsorganisaties wordt het commercieel pas interessant als meer bedrijven het voorbeeld van Schiphol en de musea gaan volgen en dat kan nog wel even duren.