Het NCSC heeft de Universiteit Leiden gevraagd om een rapid review uit te voeren naar best practices en mogelijkheden voor vervolgonderzoek over de integratie van gedragswetenschappen in security by design-methodologieën en -projecten. Doel is om systemen zo te ontwerpen dat gebruikers zich vrijwel automatisch veiliger gaan gedragen.

De rapid review is een literatuurstudie, aangevuld met een sense check waarbij de globale bevindingen zijn voorgelegd aan experts om te onderzoeken in hoeverre zij potentie zien in security by behavioural design-oplossing voor cybersecurity-problemen. Het onderzoek richt zich vooral op nudging, ook wel choice architecture genoemd, en techno regulation. Dit is een rechtsgebied dat suggereert dat beveiliging geforceerd kan worden door de vrijheid om daar niet voor te kiezen, weg te nemen.

Verbeteren van gedrag
Bij nudging wordt nagegaan hoe keuzes zo kunnen worden aangeboden dat ze gestuurd kunnen worden in een voorbedachte richting, zoals het verbeteren van cybersecuritygedrag. Uit de resultaten van het onderzoek blijkt dat security by behavioural design een goede methode is om cybersecurity-gedrag te verbeteren. Voor een langdurige verbetering is het nodig om meermaals een nudge toe te passen wanneer gebruikers een keuze moeten maken tussen security en bruikbaarheid.

Ethische aspecten
Bij het gebruik van nudging moeten wel ethische aspecten meegewogen worden. Daarnaast moeten nudges uitvoerig getest worden op effectiviteit. Hierbij kunnen ontwikkelaars en gedragswetenschappers goed samenwerken, zeker in het geval van complex(e) beslissingen en gedrag van gebruikers.
De geraadpleegde experts zien de toegevoegde waarde van het meenemen van veilig cybersecuritygedrag in ontwerpprocessen. Hierbij is vooral de combinatie van techno-regulation en nudging relevant. Techno-regulation kan gebruikt worden voor hoog risicogedrag en nudging voor casussen waarbij er weinig tot geen risico is.

Meer informatie is hier te downloaden. Op 26 en 27 oktober vindt een symposium plaats over het onderwerp. Dr. Tommy van Steen en dr. Els De Busser vertellen dan meer tijdens het NCSC onderzoekssymposium Let’s do Cybersecurity Research Together.