Om mkb’ers in staat te stellen hun cyberweerbaarheid te verhogen, heeft de Haagse Hogeschool, samen met het Platform Veilig Ondernemen (PVO) en de VeiligheidsAlliantie regio Rotterdam (VAR) een webapplicatie ontwikkeld. Voor de financiering van de webapplicatie heeft het PVO een subsidie ontvangen van het Centrum voor Criminaliteitspreventie en Veiligheid (CCV). Cyberweerbaarheid is hier gedefinieerd als het vermogen om weerstand te bieden tegen bekende en onbekende vormen van cybercriminaliteit en snel te herstellen van een cybercrisis. Naast het ontwikkelen van de app is het doel om mkb’ers in de regio Rotterdam die de app hebben gebruikt: (1) meer bewust te maken van de risico’s van cybercriminaliteit in zijn algemeenheid en ook voor hun bedrijf specifiek; (2) inzicht te geven in weten welke maatregelen ze kunnen treffen om slachtofferschap te voorkomen en schade bij slachtofferschap te beperken; en (3) daadwerkelijk aan de slag te laten gaan met de gegeven tips. De evaluatie van de app vond plaats onder negen mkb’ers in de regio Rotterdam. Zij zijn geworven op cybersecurity congressen in Barendrecht en Dordrecht. De evaluatie bestond uit een nulmeting en een effectmeting op vier relevante kwaliteiten uit de ISO 25010-norm, namelijk de bruikbaarheid, effectiviteit, efficiëntie en het vertrouwen in de uitkomsten. De evaluatie laat zien dat het gebruik van de app door mkb’ers leidt tot meer bewustzijn van cyberrisico’s. Drie van de negen mkb’ers hebben ook daadwerkelijk adviezen die volgen uit het gebruik van de app opgevolgd en daarmee hun cyberweerbaarheid verhoogd. Een verbetermogelijkheid is de vraagstelling die in de app wordt gebruikt om de adviezen te bepalen. Deze was hier en daar verwarrend of sloot niet goed aan bij de organisatie en haar context. En hoewel de deelnemers aan de evaluatie over het algemeen enthousiast waren over de app bleek het in de praktijk lastig om deelnemers te werven. Ook het bewerkstelligen van gedragsverandering is een knelpunt gebleken, zoals blijkt uit het geringe aantal mkb’ers dat daadwerkelijk maatregelen heeft genomen op basis van de adviezen die volgden uit het gebruik van de app. Mogelijke verklaring hiervoor is de lage prioriteit die mkb’ers toekennen aan het nemen van maatregelen om hun cyberweerbaarheid te vergroten. Samenvattend kunnen we concluderen dat de app in de huidige vorm voldoende kwaliteit heeft om mkb’ers te helpen bij het verhogen van de cyberweerbaarheid. Vervolgonderzoek zou zich kunnen richten op de vraag hoe mkb’ers te motiveren in het gebruikmaken van de app en het opvolgen van adviezen.
Cybercriminaliteit is een serieus en urgent maatschappelijke probleem. De winst in het tegengaan van cybercriminaliteit zal op korte termijn niet liggen in het opsporen van daders of het vergroten van toezicht op internet, maar eerder in het verbeteren van de cyberweerbaarheid van internetgebruikers. Het gedrag van mensen heeft invloed op de kans slachtoffer te worden van cybercriminaliteit zoals phishingen ransomware. Effectieve risicocommunicatie en voorlichting kunnen een belangrijke bijdrage leveren aan het zelfbeschermend en voorbereidend gedrag van eindgebruikers, en daarmee hun capaciteit om zichzelf en/of hun organisatie te beschermen tegen de mogelijke risico’s en effecten. Risicocommunicatie is maatwerk en is idealiter gebaseerd op de beleving en percepties van de doelgroep. Daarom is het van belang voor iedere doelgroep de communicatiestrategie te laten aanpassen aan hun kenmerken, percepties en gedragingen. Aangezien vooral jongeren en mkb’ers relatief vaak slachtoffer zijn van verschillende vormen van cybercriminaliteit, zijn deze twee groepen onderwerp van deze studie. Dit rapport beschrijft een exploratief onderzoek in opdracht van de VeiligheidsAlliantie regio Rotterdam (VAR), en uitgevoerd door Hogeschool Saxion en de Haagse Hogeschool. Het doel is het in kaart brengen van factoren die bijdragen aan zelfbeschermend gedrag door jongeren en mkb’ers ten aanzien van cybercriminaliteit en hoe dit gedrag door middel van effectieve risicocommunicatie kan worden gestimuleerd. Hiertoe is een conceptueel model ontwikkeld (het Cyber Resilience Model), dat inzicht geeft in de mogelijke factoren die de weerbaarheid en zelfbeschermend gedrag kunnen verklaren en voorspellen. Op basis van diepte-interviews en vragenlijstonderzoek onder jongeren en mkb’ers, is onderzocht hoe deze groepen scoren op de verklarende factoren en welke factoren het zelfbeschermend gedrag beïnvloeden. Uit de resultaten blijkt dat bij zowel jongeren als mkb’ers er sprake is van een sterke ‘optimistic bias’. Deze bias houdt in dat men het risico ziet en zich ervan bewust is, maar zichzelf veel minder vatbaar acht om slachtoffer te worden dan anderen. De meeste respondenten beschouwen cybercriminaliteit als een (groot) maatschappelijk risico, maar zien het niet als iets dat hen persoonlijk snel zal overkomen. Verder blijkt dat over het algemeen zowel jongeren als mkb’ers het nuttig vinden om zelfbeschermende of voorbereidende maatregelen te treffen tegen cybercriminaliteit. Zowel jongeren als mkb’ers voeren 8reeds verschillende zelfbeschermende maatregelen uit, maar de meerderheid is ook voornemens om in de toekomst aanvullende maatregelen te treffen. De analyses laten zien dat het zelfbeschermend gedrag van jongeren vooral wordt ingegeven door persoonlijke kenmerken (opleidingsniveau, leeftijd, geslacht en risicogevoeligheid), effectiviteitsverwachtingen, ervaring met slachtofferschap en de perceptie van eigen verantwoordelijkheid om jezelf te beschermen. Daarnaast blijkt dat de intenties om in de toekomst aanvullende zelfbeschermende maatregelen te nemen samenhangen met leeftijd en geslacht, waarbij jongere vrouwen de laagste intenties hebben om zichzelf (beter) te gaan beschermen tegen cybercriminaliteit. Opvallend is, dat de lager opgeleide, jonge vrouwen (jonger dan 18 jaar) het laagst scoren op zelfbeschermend gedrag. Bij mkb’ers wordt zelfbeschermend gedrag vooral bepaald door persoonlijke kenmerken (geslacht, slachtofferschap en risicogevoeligheid), effectiviteitsverwachtingen en subjectieve normen.
Cybercriminaliteit is een veelvoorkomend probleem geworden in Nederland (CBS, 2022). Nederlandse gemeenten hebben cybercrime dan ook breed als beleidsprioriteit opgepakt. Gemeenten geven daarbij aan behoefte te hebben aan handvaten om hun inwoners en ondernemers weerbaarder te maken tegen cybercriminaliteit. In het project “Cyberweerbaarheid: Een gemeentelijk offensief ter preventie van slachtofferschap van cybercrime” werken professionals uit twaalf4 gemeenten en vier5 regionale veiligheidsnetwerken samen met onderzoekers van de Haagse Hogeschool, Hogeschool Saxion en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) aan wetenschappelijk onderbouwde interventies waaromee ambtenaren openbare orde en veiligheid de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente kunnen vergroten. In dit rapport staat slachtofferschap van cybercriminaliteit onder mkb’ers centraal. Het midden‐ en kleinbedrijf (mkb) wordt relatief vaak slachtoffer van cybercriminaliteit en ondervindt hiervan in hoge mate schade (CBS, 2018; Notté et al., 2019). Met name de toename van slachtofferschap van ransomware binnen het mkb is een zorgelijke ontwikkeling. Het is van groot belang dat mkb’ers maatregelen nemen om een ransomware aanval te voorkomen en de schade zo veel mogelijk te beperken. Beschermende maatregelen worden echter door veel mkb’ers slechts in geringe mate ingezet (Bekkers et al., 2021; CBS, 2021; Notté et al., 2019; Veenstra et al., 2015). De cyberweerbaarheid van mkb’ers (het vermogen van een organisatie om cyberincidenten te weerstaan, daarop te kunnen reageren en van te herstellen, zodat de organisatie operationeel blijft) is daardoor te beperkt. In dit rapport presenteren we de ontwikkeling en evaluatie van een interventie genaamd “MKB Cyber Buddy’s”. Het doel van de interventie is om de weerbaarheid van mkb’ers tegen ransomware te vergroten. De interventie is er op gericht om mkb’ers niet alleen te informeren over cybercriminaliteit, maar ze ook door actieve deelname tot een positieve gedragsverandering te brengen. Onder mkb’ers verstaan we in dit onderzoek ondernemers met minimaal één en maximaal 250 werknemers. De hoofdvraag in dit rapport is: Is de interventie “MKB cyber buddy’s” een effectieve interventie voor Nederlandse gemeenten om de cyberweerbaarheid van mkb’ers in hun gemeente met betrekking tot ransomware te bevorderen? Het doel van dit rapport is tweeledig. Enerzijds beschrijft dit rapport de onderbouwing en ontwikkeling van de interventie “MKB Cyber Buddy’s”. Anderzijds beschrijft dit rapport de evaluatie van de pilot die is uitgevoerd in 2022, betreffende de effectiviteit, sterke kanten, valkuilen en onvoorziene gevolgen van de interventie. Hiermee zullen inzichten geboden worden in hoe de interventie verbeterd kan worden en in de toekomst op grotere schaal kan worden ingezet.
Ambtenaren openbare orde en veiligheid spelen een centrale rol in de zorg voor maatschappelijke veiligheid. Hun focus ligt van oudsher op de preventie van slachtofferschap van veelvoorkomende criminaliteit (zoals diefstal, vernielingen en vandalisme) en high impact crime (zoals woninginbraak, overvallen en straatroven) binnen hun verzorgingsgebied. Intussen heeft de digitalisering van de samenleving een ongeëvenaarde gelegenheid voor criminaliteit gecreëerd. De totale maatschappelijke schade van cybercrime werd voor 2018 op 10 miljard euro geschat (1% van BNP). Uit cijfers van het CBS blijkt dat tussen 2012 en 2018 het slachtofferschap van hacken zelfs hoger lag dan dat van fietsendiefstal. Nederlandse gemeenten hebben cybercrime in de afgelopen twee jaar dan ook breed als beleidsprioriteit omarmd. Maar in de vertaling van deze beleidsprioriteit naar concrete acties gaat het mis. Duidelijk is dat de ambtenaren openbare orde en veiligheid een taak voor zichzelf zien in de preventie van cybercrime, maar waar te beginnen? In dit project bundelen professionals uit twaalf gemeenten en vier regionale veiligheidsnetwerken hun slagkracht met onderzoekers van twee hogescholen en het NSCR voor de cyberweerbaarheid van de samenleving. De hoofdvraag van dit project luidt: Met welke interventies kunnen ambtenaren openbare orde en veiligheid de cyberweerbaarheid van burgers en bedrijven binnen hun gemeente vergroten? Middels actieonderzoek werken professionals van gemeenten en regio’s samen met onderzoekers aan het verbeteren van bestaande en het ontwikkelen van nieuwe interventies. Daarbij verscherpen zij hun beeld van de omvang en achtergronden van slachtofferschap van cybercrime. Ook onderzoeken zij achtergronden en verklaringen voor het risicobewustzijn en preventief gedrag onder doelgroepen. Deze inzichten worden in verschillende iteraties aangevuld met effectstudies, om tot een set beproefde interventies te komen waarmee de cyberweerbaarheid van burgers en bedrijven zal toenemen.
