E
Easy
Maak melden eenvoudig en laagdrempelig.
Toetsvraag
Kan iemand binnen 30 seconden melden?
Wat is cyberschaamte?
Van schaamte na online oplichting naar een bredere vraag over cyberweerbaarheid.
Signaleren · Leren · Versterken
In het kort
Wat is het?
Cyberschaamte is het mechanisme waarbij angst, onzekerheid of reputatiezorgen ervoor zorgen dat cyberrelevante informatie niet wordt gemeld of gedeeld.
Het misverstand
De mens is geen firewall die foutloos moet zijn, maar een sensor die moet durven signaleren wanneer techniek faalt.
Het doel
Fouten, twijfel en incidenten omzetten in signaleren, leren en versterken: van medewerker tot bestuurskamer en keten.
1. Wat is cyberschaamte?
Veilig Internetten gebruikt de term voor de schaamte na online oplichting en omschrijft het als:
“We spreken van cyberschaamte als je je schaamt dat je slachtoffer bent geworden van online oplichting.”
In 2022 koos een jury cyberschaamte tot Cybersecuritywoord van het Jaar. In de toelichting ging het al over de medewerker die niet durft te melden. Op Cyberschaamte.nl werkt Tom de Haan het begrip verder uit naar de organisatorische context: van individueel slachtofferschap naar meldgedrag, professionele onzekerheid, besluitvorming en het leervermogen van organisaties.
Cyberschaamte ontstaat wanneer schaamte, onzekerheid, angst voor gezichtsverlies of reputatiezorgen ervoor zorgen dat cyberrelevante informatie niet wordt gemeld, besproken of gedeeld.
Werkdefinitie van Tom de Haan, Cyberschaamte.nl
2. Waarom is cyberschaamte een risico?
Informatie die niet zichtbaar wordt, kan niet worden opgevolgd. Een incident dat te laat wordt gemeld, wordt groter dan nodig. Een aanname die niet wordt bevraagd, blijft de basis van een besluit. Een les die niet wordt gedeeld, moet door de volgende organisatie opnieuw worden geleerd.
Daarom gaat cyberschaamte niet alleen over het gevoel ná een incident, maar over de sociale en organisatorische drempels die voorkomen dat signalen tijdig zichtbaar worden.
3. Bij wie kan cyberschaamte optreden?
1
Slachtoffer
Durf ik te vertellen wat mij is overkomen?
Na online oplichting overheerst vaak de gedachte “hoe heb ik hier in kunnen trappen?”. Die schaamte kan leiden tot stilte: geen melding, geen aangifte, geen hulp. Daarmee verdwijnen ook signalen over nieuwe vormen van fraude.
2
Medewerker
Durf ik te melden dat ik mogelijk een fout heb gemaakt?
Een verkeerde klik is technisch vaak beheersbaar. Het risico ontstaat wanneer angst voor verwijten de melding vertraagt. Een vroege melding kan het verschil zijn tussen een klein incident en een grote verstoring.
3
Professional
Durf ik twijfel of een afwijkend signaal bespreekbaar te maken?
Niet durven vragen is ook een risico. Een vraag die niet wordt gesteld, kan een risico zijn dat niet goed wordt begrepen. Onuitgesproken onzekerheid verandert zo in organisatorische schijnzekerheid.
4
Management en bestuur
Durven we onzekerheid, aannames en restrisico expliciet te maken?
Bestuurders hoeven geen specialisten te zijn, maar moeten wel kunnen aangeven waar hun begrip ophoudt. Zonder dat ontstaat schijnzekerheid: een dashboard suggereert controle terwijl aannames onbesproken blijven.
5
Organisatie en keten
Delen we lessen zodat anderen niet dezelfde fout hoeven te maken?
Reputatie, juridische vragen en commerciële belangen maken organisaties terughoudend. Maar wanneer iedere organisatie haar lessen voor zichzelf houdt, moet iedere volgende organisatie dezelfde les opnieuw leren.
Je bent niet dom als je in phishing trapt
Phishing werkt niet omdat mensen dom zijn. Aanvallers proberen normale menselijke eigenschappen zoals vertrouwen, routine, tijdsdruk en autoriteit in hun voordeel te gebruiken.
Iedereen kan daardoor op het verkeerde moment een verkeerde inschatting maken.
De belangrijkste vraag is vervolgens: durft iemand het direct te melden?
4. Van bewustzijn naar gedrag
Weten dat je een mogelijk incident moet melden, betekent nog niet dat je het ook doet. Twijfel, schaamte, onduidelijkheid of de verwachte reactie van anderen kunnen gedrag in de weg staan.
Het EAST-model helpt om gewenst gedrag makkelijker, aantrekkelijker, socialer en op het juiste moment uitvoerbaar te maken. Hieronder is ieder principe vertaald naar een concrete toetsvraag voor uw eigen meldcultuur.
A
Attractive
Maak duidelijk dat vroeg melden helpt en gewaardeerd wordt.
Toetsvraag
Ervaart de medewerker dat vroeg melden wordt gewaardeerd, in plaats van afgestraft?
S
Social
Laat zien dat vragen, twijfelen en melden normaal zijn.
Toetsvraag
Ziet de medewerker dat collega's en leidinggevenden hetzelfde gedrag vertonen?
T
Timely
Geef handelingsperspectief precies wanneer twijfel ontstaat.
Toetsvraag
Wordt iemand juist op het risicomoment herinnerd aan wat hij moet doen?
Gebaseerd op het EAST-framework van The Behavioural Insights Team.
5. Wat betekent dit voor organisaties?
De mens is niet het probleem dat opgelost moet worden.
Mensen zullen twijfelen. Mensen zullen fouten maken. En soms zullen ze te laat doorhebben dat iets niet klopt. Digitale weerbaarheid ontstaat daarom niet door van mensen foutloos gedrag te verwachten, maar door de organisatie zo in te richten dat fouten worden voorkomen, signalen snel boven tafel komen en er professioneel op wordt gereageerd.
Dat vraagt om meer dan security awareness of een open meldcultuur alleen.
Net als in andere veiligheidskritische omgevingen ontstaat veiligheid door de samenhang tussen techniek, werkwijzen, cultuur, leiderschap en leren.
Voor mij bestaat digitale weerbaarheid uit vijf elementen.
01 — BESCHERMEN
Techniek
Maakt fouten minder waarschijnlijk en beperkt de gevolgen wanneer er toch iets misgaat.
02 — HANDELEN
Processen
Zorgen dat mensen weten wat ze moeten doen wanneer ze twijfelen, iets afwijkends zien of een fout maken.
03 — SPREKEN
Cultuur
Maakt het normaal om vragen te stellen, twijfel uit te spreken en signalen vroeg te delen.
04 — REAGEREN
Leiderschap
Bepaalt wat er gebeurt zodra iemand zich uitspreekt. Wordt er geluisterd en gehandeld, of ontstaat juist terughoudendheid?
05 — LEREN
Leervermogen
Zorgt dat signalen, fouten en incidenten leiden tot betere techniek, betere werkwijzen en beter gedrag.
Digitale weerbaarheid begint niet bij foutloze mensen, maar bij organisaties die fouten kunnen opvangen, signalen serieus nemen en blijven leren.
Gerelateerd fenomeen
Datalekmoeheid
Waar cyberschaamte klinkt als “ik durf het niet te zeggen”, klinkt datalekmoeheid als “het maakt toch niets meer uit”. Wanneer mensen denken dat hun gegevens toch al op straat liggen, neemt de bereidheid om te handelen en te melden af. Andere oorzaak, hetzelfde risico: te laat handelen.
Lees meer over datalekmoeheid en breach fatigue →