Interview Fleur van Leusden

Behoefte aan diversiteit binnen de sector

Cybersecurity heeft een bekend imago: overwegend mannelijk, overwegend technisch. Fleur heeft dat als vrouw zelf ook ondervonden. Zelf werkt ze liever in diverse teams, niet alleen om principiële redenen, maar ook vanuit haar vakgebied. Een homogene groep levert simpelweg blinde vlekken op. Het is ook een kwestie van kwaliteit. "Door diversiteit in je groep te brengen, krijg je een kwalitatief beter beeld van relevante risico's en randgevallen. Doordat onze populatie helaas nog steeds uit veel mannen bestaat, missen we soms belangrijke perspectieven en dat brengt op zichzelf beveiligingsrisico's met zich mee."

Ze heeft in haar loopbaan sterk wisselende ervaringen gehad: van teams waar ze zich jarenlang veilig en gehoord voelde, tot situaties waarin ze zich genegeerd of fysiek onveilig voelde. Ze ziet meer vrouwen instromen in de sector, maar ziet hen ook snel weer vertrekken. "Daar zouden we meer aan moeten doen. Maar het is ook een breder maatschappelijk probleem dat we niet zomaar binnen het vakgebied zelf kunnen oplossen."

De grootste misvatting over bewustwording

De grootste fout die organisaties maken? Volgens Fleur is dat bewustwordingscampagnes zien als een echte beveiligingsmaatregel. "Nep-phishingmails sturen kan de schaal waarop mensen klikken wellicht iets verkleinen, maar je behaalt nooit 0% clickrate. En als één klik genoeg is om je volledige netwerk neer te halen, kun je met dit soort campagnes niet stellen dat het risico voldoende naar beneden is gebracht."

Bewustwording heeft voor haar wel een plek, maar uitsluitend als informatief middel. Als beveiligingsmaatregel vertrouwt ze er niet op. De reden sluit aan bij de centrale vraag van het Alert Online-onderzoek dit jaar: waarom weten mensen wat ze moeten doen op het gebied van cyberveiligheid, maar doen ze het toch niet? "Omdat mensen, mensen zijn. Ze halen een deadline, snappen het nut van een regel niet, of denken dat die regel niet voor hen geldt. Daarom is het zo belangrijk om niet te leunen op bewustwording als maatregel, maar voornamelijk in te zetten op techniek."

Een onafhankelijk geluid

Naast haar werk bouwde Fleur haar eigen platform genaamd CISO Praat, een Nederlandstalige podcast die ze onafhankelijk en zonder commerciële belangen maakt. De aanleiding: ze miste een bepaald geluid in het huidige aanbod. "Veel podcasts over het onderwerp zijn Engelstalig, terwijl de hosts en gasten gewoon Nederlands spreken. Dat verhoogt de luisterdrempel onnodig. Ik miste een onafhankelijke podcast die ongefilterd, maar gestructureerd, kennis deelde."

De keuze om geen sponsors te accepteren is bewust. "Er zijn veel partijen die security kennis aanbieden mét drempels: een account aanmaken, betalen om lid te worden. Door mijn kennis gratis en zonder sponsoren te delen, hoop ik een breder publiek te bereiken en mensen aan het denken te zetten over hypes die afleiden van echte problemen", aldus Fleur.

Advies

Op de vraag wat haar advies is voor iemand die digitaal veiliger wil werken antwoord Fleur als volgt: "Volg de gemaakte afspraken, regels en procedures. Die zijn er niet voor niets. Werken ze niet goed voor jou? Kaart het aan. Maar verzin geen geitenpaadjes."

Fleur van Leusden is CISO bij de Rijksoverheid, columnist en maker van de podcast CISO Praat. Luister via cisoproaat.nl of je favoriete podcastapp.