Wat is cyberschaamte?

Niveau 1

Bij slachtoffers van online criminaliteit

De meest bekende betekenis van cyberschaamte ontstaat na online slachtofferschap. Iemand wordt opgelicht, geeft gegevens door, klikt op een frauduleuze link of maakt geld over en denkt daarna: “Hoe heb ik hier in kunnen trappen?” Die gedachte kan leiden tot schaamte. En schaamte kan leiden tot stilte.

Een slachtoffer vertelt het niet aan familie, meldt het incident niet bij de organisatie, zoekt geen hulp of doet geen aangifte omdat het gevoel overheerst dat hij of zij zelf verantwoordelijk is. Dat is problematisch. Niet alleen omdat slachtoffers daardoor met de gevolgen kunnen blijven rondlopen, maar ook omdat waardevolle signalen over nieuwe vormen van fraude verloren kunnen gaan.

Cybercriminelen investeren juist in overtuigende manipulatie, tijdsdruk, geloofwaardigheid en misleiding. De relevante vraag is daarom niet alleen: “Waarom trapte iemand erin?” Maar ook: “Hoe maken we het zo eenvoudig mogelijk om te melden wat er is gebeurd?”

Niveau 2

Bij medewerkers

Dezelfde dynamiek kan binnen organisaties ontstaan. Een medewerker maakt een fout of ziet iets verdachts, maar durft dit niet direct te melden. Niet uit onwil, maar bijvoorbeeld uit angst voor schuld of verwijten, reputatieschade, consequenties voor de eigen functie, de reactie van een leidinggevende, of simpelweg de gedachte: “Dit had ik toch moeten weten.”

Een technisch beheersbaar incident kan daardoor onnodig groot worden. De belangrijkste vraag na een verkeerde klik is niet “Wie heeft dit gedaan?”, maar “Hoe zorgen we ervoor dat we dit zo snel mogelijk weten?” Een vroege melding kan het verschil maken tussen een klein incident en een grote verstoring. Melden is daarom niet alleen het rapporteren van een fout. Het is een veiligheidssignaal.

Niveau 3

Wanneer professionals geen vragen durven stellen

Cyberschaamte gaat niet alleen over fouten. Ook niet durven vragen kan een cyberrisico worden. Cybersecurity is een vakgebied vol complexe begrippen, technische nuances en afkortingen. Niet iedereen kan of hoeft alles daarvan te begrijpen. Toch kan binnen organisaties de verwachting ontstaan dat bepaalde kennis vanzelfsprekend zou moeten zijn.

Daardoor worden vragen soms niet gesteld. Een manager knikt terwijl niet volledig duidelijk is wat een risico werkelijk betekent. Een projectleider begrijpt niet precies waarom een securitymaatregel noodzakelijk is, maar wil het gesprek niet vertragen. Een senior professional vraagt geen verduidelijking omdat hij of zij niet onkundig wil overkomen. Een vraag die niet wordt gesteld, kan uiteindelijk een risico zijn dat niet goed wordt begrepen. Onuitgesproken onzekerheid kan zo veranderen in organisatorische schijnzekerheid.

Niveau 4

Cyberschaamte in de bestuurskamer

Bestuurders hoeven geen cybersecurityspecialisten te zijn. Hun verantwoordelijkheid ligt ergens anders: risico's begrijpen, aannames bevragen, verschillende belangen afwegen en uiteindelijk besluiten nemen over welke risico's de organisatie wel en niet accepteert. Daarvoor hoeven zij niet ieder technisch detail te kennen. Maar zij moeten wel kunnen aangeven waar hun begrip ophoudt.

Juist daar ontstaat een kwetsbaar spanningsveld. Want in een omgeving waarin leiderschap, deskundigheid en besluitvaardigheid worden verwacht, kan het lastig zijn om te zeggen: “Ik begrijp dit nog niet.” “Kun je dit nog eens uitleggen?” “Waar baseren we deze aanname eigenlijk op?” “Wat weten we op dit moment nog niet?” Of: “Ik weet niet of ik op basis van deze informatie al een verantwoord besluit kan nemen.”

Het probleem is niet dat een bestuurder niet ieder technisch detail kent. Het risico ontstaat wanneer kennis, twijfel of onzekerheid niet zichtbaar wordt gemaakt. Dan kan schijnzekerheid ontstaan. Een complex cyberrisico wordt teruggebracht tot een rode, oranje of groene indicator. Een dashboard suggereert controle, terwijl belangrijke aannames niet worden besproken. Een investering wordt goedgekeurd zonder dat duidelijk is welk risico daadwerkelijk wordt verminderd. Of een besluit wordt uitgesteld omdat niemand expliciet maakt welke onzekerheden nog bestaan.

Binnen het bredere Cyberschaamte-concept kunt u dit zien als bestuurlijke cyberschaamte. Niet omdat een bestuurder zich letterlijk hoeft te schamen, maar omdat status, sociale druk of angst om incompetent over te komen ertoe kunnen leiden dat relevante twijfel onuitgesproken blijft. Een cyberweerbare bestuurskamer vraagt daarom niet om bestuurders die alles weten. Zij vraagt om bestuurders die de juiste vragen durven stellen.

• Welke aannames zitten achter deze risico-inschatting?
• Wat gebeurt er als deze maatregel faalt?
• Welk restrisico accepteren we?
• Welke afhankelijkheden hebben we van leveranciers?
• Wat weten we nog niet?
• Hoe snel ontdekken we het als onze verdediging wordt doorbroken?
• Kunnen we herstellen als dit scenario morgen werkelijkheid wordt?

Juist die vragen maken cybersecurity bestuurbaar. Cyberrisico wordt immers vrijwel nooit beheerst vanuit volledige zekerheid. Goed bestuur betekent daarom niet onzekerheid elimineren. Het betekent: onzekerheid zichtbaar maken, expliciet bespreken en er bewust over besluiten.

Niveau 5

Cyberschaamte tussen organisaties

Cyberschaamte stopt niet bij de voordeur van een organisatie. Ook organisaties kunnen terughoudend zijn om over cyberincidenten, kwetsbaarheden en geleerde lessen te praten. Dat is begrijpelijk. Een incident kan leiden tot reputatieschade, juridische vraagstukken, media-aandacht, commerciële belangen en onzekerheid over aansprakelijkheid. De reflex kan daardoor ontstaan om vooral naar binnen gericht te handelen: incident oplossen, communicatie beheersen en daarna zo snel mogelijk verder.

Maar wanneer iedere organisatie haar lessen uitsluitend voor zichzelf houdt, moet iedere volgende organisatie dezelfde les opnieuw leren. Daarmee wordt cyberschaamte een ketenrisico. Cybercriminelen beperken zich immers niet tot één organisatie. Dezelfde kwetsbaarheid, aanvalstechniek of werkwijze kan achtereenvolgens meerdere organisaties treffen. Wanneer waardevolle kennis niet verder komt dan de eigen organisatiegrens, blijft de rest van de keten kwetsbaar.

Dat betekent nadrukkelijk niet dat ieder incident volledig openbaar moet worden gemaakt. Vertrouwelijkheid, privacy, onderzoek en juridische verplichtingen kunnen goede redenen zijn om informatie beperkt te delen. De relevante vraag is daarom niet “Moeten we alles openbaar maken?”, maar “Welke lessen kunnen we verantwoord delen zodat anderen niet dezelfde fout hoeven te maken?”