Een beveiliger die aan het einde van zijn nachtdienst zonder extra controle een nieuwe toegangspas uitgeeft aan iemand die zich voordoet als schoonmaker. Een medewerker die uit behulpzaamheid een onbekende bouwvakker zonder toegangscontrole binnenlaat. Collega’s die opvallend gedrag van een magazijnmedewerker opmerken, maar niets melden omdat ze hem niet in problemen willen brengen. Het zijn herkenbare situaties waarin niet technologie, maar menselijk gedrag bepalend is voor de veiligheid van een organisatie.

Auteur: Rachel Briggs

Volgens een nieuw rapport van de ASIS Foundation is juist dat gedrag de sleutel tot een effectieve beveiligingsstrategie. In het rapport Security Culture – A Strategic Capability That Builds Resilience in a Volatile World staat dat organisaties hun beveiliging niet langer uitsluitend moeten baseren op procedures, technologie en toegangscontroles. Een sterke securitycultuur is volgens haar een strategisch vermogen dat organisaties weerbaarder maakt in een wereld waarin dreigingen steeds complexer worden.

Beveiliging begint bij menselijk gedrag

Organisaties worden tegenwoordig geconfronteerd met een breed scala aan risico’s, variërend van criminaliteit, terrorisme en spionage tot cyberaanvallen, sabotage, activisme, geweld op de werkvloer en verstoringen in de toeleveringsketen. Securityafdelingen spelen een cruciale rol bij het voorkomen, beperken en afhandelen van dergelijke incidenten, maar zij kunnen dat volgens het rapport niet alleen.
Hoe goed beveiligingsmaatregelen, governance, camera’s, toegangscontroles of cybersecurity ook zijn ingericht, uiteindelijk worden beveiligingsdoelstellingen gerealiseerd door het dagelijkse gedrag van medewerkers, contractors en externe partners. Wanneer mensen onder tijdsdruk staan, vermoeid zijn, bang zijn om fouten te melden of beveiligingsprocedures als lastig ervaren, kunnen zelfs de best ontworpen beveiligingssystemen worden ondermijnd.

Wat is securitycultuur?

De ASIS Foundation sluit aan bij de definitie van de International Civil Aviation Organization (ICAO). Securitycultuur wordt omschreven als het geheel van normen, waarden, overtuigingen en gedragingen rondom beveiliging die zijn verankerd in de dagelijkse werkzaamheden van een organisatie. Daarbij gaat het niet alleen om het gedrag van medewerkers op de werkvloer, maar ook om leiderschap en voorbeeldgedrag vanuit de top van de organisatie.
Uit gedragswetenschappelijk onderzoek blijkt dat naleving van beveiligingsmaatregelen niet vanzelfsprekend volgt uit het bestaan van regels. Medewerkers wegen beveiliging voortdurend af tegen andere belangen, zoals commerciële doelstellingen, werkdruk, deadlines, gebruiksgemak en verwachtingen van leidinggevenden. Ook vermoeidheid, afleiding en stress spelen een belangrijke rol bij het nemen van beslissingen.
Daarnaast denken de meeste medewerkers niet vanzelf vanuit een beveiligingsperspectief. Volgens het rapport is het daarom de verantwoordelijkheid van securityprofessionals om beveiligingsmaatregelen begrijpelijk, logisch en eenvoudig uitvoerbaar te maken. Positieve stimulansen blijken daarbij effectiever dan sancties.

Een gezonde securitycultuur

Een organisatie beschikt volgens de onderzoekers over een gezonde securitycultuur wanneer medewerkers zich verantwoordelijk voelen voor veiligheid, begrijpen waarom hun bijdrage belangrijk is en weten welke handelingen van hen worden verwacht. Daarnaast moeten zij ervaren dat veilig werken niet onnodig veel tijd of moeite kost, dat goed beveiligingsgedrag wordt gewaardeerd en dat collega’s eveneens hun verantwoordelijkheid nemen.
Minstens zo belangrijk is een open organisatiecultuur waarin medewerkers zich veilig voelen om fouten te melden of verdachte situaties bespreekbaar te maken, zonder angst voor negatieve consequenties.

Van bewustwording naar strategisch programma

Waar securitycultuur jarenlang vooral werd gezien als een kwestie van trainingen en bewustwordingscampagnes, is dat inzicht volgens de ASIS Foundation inmiddels achterhaald. Kennis alleen leidt zelden tot blijvende gedragsverandering. Een effectieve securitycultuur vraagt ook aandacht voor leiderschap, duidelijke verantwoordelijkheden, passende beloningen, werkprocessen en psychologische veiligheid.
Securitycultuur ontwikkelt zich daarmee tot een integraal onderdeel van de organisatiebrede weerbaarheid. Volgens het rapport staat zij inmiddels net zo centraal als crisismanagement, bedrijfscontinuïteit en risicobeheer.

Zes bouwstenen

De onderzoekers onderscheiden zes factoren die gezamenlijk bepalen hoe sterk de securitycultuur binnen een organisatie is ontwikkeld. Het gaat om houding, kennis, daadwerkelijk gedrag, communicatie vanuit bestuur en securitymanagement, werkbare en begrijpelijke regels en de mate waarin medewerkers zich bevoegd en gesteund voelen om zelf verantwoordelijkheid te nemen voor veiligheid.
Daarbij moet volgens de onderzoekers rekening worden gehouden met nationale cultuurverschillen, wet- en regelgeving, externe leveranciers en voortdurende organisatorische veranderingen.

Een strategie voor securitycultuur

De ASIS Foundation pleit ervoor securitycultuur niet als los project te behandelen, maar als een structureel strategisch programma. Dat begint met het verbinden van beveiliging aan de organisatiedoelstellingen. Security moet niet uitsluitend worden gepresenteerd als kostenpost of verplichting, maar als een middel om operationele continuïteit, crisisbestendigheid, reputatie en concurrentiekracht te versterken.
Vervolgens moeten organisaties hun eigen risicoprofiel analyseren, prioritaire doelgroepen bepalen en de volledige securitycultuur opnemen in hun beveiligingsstrategie. Metingen, evaluaties en continue verbetering vormen daarbij een vast onderdeel van het programma. Ook moet de aanpak duurzaam zijn, zodat deze bestand is tegen personeelswisselingen en op meerdere locaties kan worden toegepast.

Meten blijft lastig

Het meten van securitycultuur blijkt volgens het rapport een van de grootste uitdagingen. Er bestaat geen enkele indicator die een compleet beeld geeft van de veiligheidscultuur binnen een organisatie. Daarom adviseren de onderzoekers om verschillende databronnen met elkaar te combineren.
Incidentmeldingen, gegevens uit het Security Operations Center, toegangscontrolesystemen en aanvragen voor reisbeveiliging kunnen waardevolle inzichten opleveren. Daarnaast kunnen aanvullende enquêtes, interviews en gedragsmetingen helpen om ontwikkelingen zichtbaar te maken.
Wel waarschuwen de onderzoekers voor valkuilen. Een stijgend aantal incidentmeldingen hoeft bijvoorbeeld niet te betekenen dat de beveiliging verslechtert; het kan juist wijzen op een grotere meldingsbereidheid onder medewerkers. Ook verkeerd gekozen prestatie-indicatoren kunnen ongewenst gedrag stimuleren of leiden tot een afrekencultuur waarin medewerkers minder snel incidenten melden.

Strategische waarde neemt toe

Volgens de ASIS Foundation groeit het belang van securitycultuur snel. De vervaging tussen fysieke beveiliging en cybersecurity, strengere wet- en regelgeving en de snelle opkomst van kunstmatige intelligentie vergroten de noodzaak om menselijk gedrag nadrukkelijk onderdeel te maken van beveiligingsbeleid.
Onderzoek laat zien dat organisaties met een volwassen securitycultuur beter reageren tijdens crises, minder beveiligingsincidenten kennen en de financiële impact van incidenten kunnen beperken. Daarmee ontwikkelt securitycultuur zich volgens de onderzoekers van een ondersteunend onderwerp tot een strategische capaciteit die direct bijdraagt aan de weerbaarheid van organisaties.

Meer samenwerking tussen fysieke beveiliging en cybersecurity

Hoewel het rapport primair is geschreven voor fysieke beveiligingsprofessionals, benadrukt de ASIS Foundation dat nauwere samenwerking met cybersecurityteams noodzakelijk is. Beide disciplines hebben steeds vaker te maken met dezelfde gedragsvraagstukken en kunnen veel van elkaar leren. Vooral cybersecurityorganisaties hebben de afgelopen jaren veel ervaring opgedaan met gedragsverandering, security awareness en het meten van menselijk risico.
Volgens de onderzoekers kunnen fysieke beveiliging en cybersecurity gezamenlijk optrekken in communicatie, opleidingen en gedragsprogramma’s. Daarmee wordt niet alleen efficiënter gewerkt, maar ontvangen medewerkers ook een consistente boodschap over veilig gedrag.
De auteurs sluiten af met een oproep tot verder onderzoek. Er is nog relatief weinig kennis beschikbaar over securitycultuur binnen de fysieke beveiliging, de houding van bestuurders ten opzichte van het onderwerp en de invloed van kunstmatige intelligentie op menselijk gedrag. Toch is de conclusie duidelijk: organisaties die investeren in een sterke securitycultuur vergroten hun weerbaarheid tegen zowel fysieke als digitale dreigingen en leggen daarmee een stevig fundament voor de veiligheid van morgen.

Rachel Briggs is expert in beveiliging en adviseert bedrijven en andere beveiligingsspecialisten binnen ’s werelds grootste bedrijven en andere organisaties.