Security Champion initiatieven: 3 redenen waarom ze mislukken

Geschreven door: Keith Batterham

Zoals besproken in een eerdere blog, kunnen initiatieven voor Security Champions een uitstekende manier zijn om bewustzijn over security te verspreiden en best practices te promoten binnen een organisatie. Ze machtigen vrijwilligers die geen security experts zijn om te fungeren als verbindingspersoon tussen hun teams en het security team.

Een goed ontworpen en uitgevoerd initiatief voor Security Champions kan helpen om beveiligingsrisico’s te verminderen, een security cultuur te bevorderen en de kloof tussen security- en ontwikkelingsteams te overbruggen. Echter, niet alle initiatieven voor Security Champions zijn even doeltreffend.

1. Doelen niet duidelijk gedefinieerd

Een van de eerste stappen bij het creëren van een initiatief voor Security Champions is het definiëren van de visie en de doelen van het initiatief. Deze moeten in lijn zijn met de bedrijfsdoelstellingen en de beveiligingsstrategie van de organisatie. Je moet vragen beantwoorden zoals:

• Wat zijn de gewenste resultaten?
• Hoe wordt het succes gemeten?
• Zijn de rollen en verantwoordelijkheden van de Security Champions duidelijk?

Zonder antwoorden op deze vragen kan het initiatief richtingloos, verwarrend en ineffectief worden. Het is vooral belangrijk dat, zodra duidelijke doelen zijn vastgesteld, deze gecommuniceerd worden aan alle belanghebbenden.

Ook moeten de rollen en verantwoordelijkheden van zowel de Security Champions als het security team duidelijk worden gedefinieerd en gedocumenteerd. Verwachtingen voor de Security Champions moeten transparant en eerlijk zijn.

Vergeet ook niet om de voortgang van het programma te volgen en het succes ervan te meten. Een goed startpunt zou het aantal geïdentificeerde beveiligingsrisico’s, gerapporteerde beveiligingsincidenten en het aantal geïmplementeerde beveiligingscontroles kunnen zijn.

IBI Security Awareness

2. Niet bieden van voldoende training en ondersteuning

Security Champions  zijn geen security experts, en ze hebben aanvullende training en begeleiding nodig om hun rol effectief te kunnen vervullen. Ze moeten ook toegang hebben tot het security team en de beveiligingstools en -middelen die nodig zijn om hun taken uit te voeren.

Het niet bieden van voldoende training en ondersteuning aan de Security Champions zal ertoe leiden dat zij zich overweldigd en gedemotiveerd voelen, wat kan resulteren in een lage betrokkenheid.

Om dit te voorkomen, moet je investeren in de training en ontwikkeling van de Security Champions, en hen voorzien van voortdurende ondersteuning en feedback. De training moet worden afgestemd op de behoeften en vaardigheden van de Security Champions, en onderwerpen omvatten zoals:

• Fundamenten van security, beveiligingsbeleid en -normen
• Beveiligingstools en -technieken
• Best practices op het gebied van security.

Ondersteuning kan verschillende vormen aannemen, zoals mentoring en coaching, evenals erkenning van het security team en het leiderschap. Als Security Champions het gevoel hebben dat ze niet worden ondersteund, kunnen ze ontmoedigd raken en minder effectief zijn.

Onthoud dat als Security Champions niet goed getraind of in staat zijn om zorgen te uiten, ze mogelijk niet effectief beveiligingsrisico’s kunnen identificeren en mitigeren. Dit kan leiden tot een verhoogd risico op beveiligingsinbreuken.

IBI Stappenplan

3. Niet effectief geïmplementeerd

Een effectief geïmplementeerd Security Champions initiatief kan de integratie en samenwerking tussen het security team en andere afdelingen versterken, en zorgt ervoor dat beveiligingsgerichte practices op een relevante manier worden geïntegreerd in hun werkprocessen.

Aan de andere kant kan een onvoldoende geïntegreerd Security Champions initiatief leiden tot het ontstaan van silo’s en conflicten. Dit kan resulteren in verstoringen van het ontwikkelingsproces, met als gevolg knelpunten, noodzaak tot herwerk en het niet halen van deadlines. Het kan zelfs zover gaan dat de Security Champions zich afgezonderd voelen van hun eigen teams, waardoor ze zich als buitenstaanders gaan beschouwen.

Om deze situatie te vermijden, raad ik het volgende aan:

• Security Champions moeten in hun teams worden ingebed en fungeren als facilitators en pleitbezorgers voor security, niet als handhavers of auditors.
• Het security team moet nauw samenwerken met de Security Champions en hen tijdig en constructief advies en hulp bieden.
• Het initiatief voor Security Champions moet aansluiten bij bestaande processen en de bestaande tools en workflows benutten om security activiteiten en controles te implementeren.

Door deze aanpak te volgen, kan de effectiviteit van het initiatief voor Security Champions worden gemaximaliseerd, terwijl de integratie binnen teams en processen wordt bevorderd. Dit helpt om een positieve en proactieve beveiligingscultuur binnen de organisatie te creëren.

Continuous Security Testing

Veiligheid waarborgen

Een initiatief voor Security Champions kan een krachtige manier zijn om de security houding en cultuur van een organisatie te verbeteren, maar alleen als het goed wordt uitgevoerd. Een slecht geïmplementeerd initiatief voor Security Champions kan nadelige gevolgen hebben voor alle teams.

In het ergste geval kan de reputatie van de organisatie op het gebied van security schade oplopen als het initiatief voor Security Champions faalt. Dit kan het aantrekken en behouden van klanten en partners moeilijker maken.

Bonustips

Hier zijn enkele extra tips voor een succesvol initiatief voor Security Champions:

• Betrek Security Champions bij het plannings- en implementatieproces: Dit helpt om ervoor te zorgen dat het initiatief is ontworpen om te voldoen aan de behoeften van de organisatie en haar medewerkers.
• Bied Security Champions doorlopende ondersteuning: Dit kan onder meer het bieden van toegang tot middelen zoals security trainingen, tools en expertise omvatten.
• Erken en beloon Security Champions: Dit zal helpen om de Security Champions te motiveren en hen aan te moedigen om te blijven bijdragen aan het initiatief.

Zorg ervoor dat je initiatief voor Security Champions goed wordt uitgevoerd. Meer weten? Neem dan contact met ons op.