In gesprek

In gesprek met werknemers gaan, ouderwets?

• 19 Januari 2022
• TrI-C

In een ideale wereld neemt het personeel kennis van het beleid van een organisatie, wordt het opgeleid en begeleid in het doel van de organisatie en wijze van handelen binnen diverse niveaus. Daaruit volgt kennis van de gedragsregels en het respecteren van de gedragscode en de 'mission statement'. Maar is dat beleid en zijn die regels, meestal opgetekend in managementnotities en goed gedocumenteerd, ook bekend bij het personeel. Maar sterker, hoe wordt daar dan in praktijk mee omgegaan. Het hoeft niet moeilijk te zijn, herhaling is de kracht van het statement. Het zou, net als bijvoorbeeld een BHV moment/oefening of een management-dag, ook regelmatig getraind kunnen worden, in ieder geval onder de aandacht gebracht te worden. Ondernemingen zouden zichzelf intern aan moeten moedigen om opleiding en sturing te geven als onderdeel van de bedrijfscultuur, zeg maar een stukje 'opvoeding', waarbij de duiding van integriteit in al zijn facetten wordt getoetst.

Integriteit is 'zwart ‐ wit' er bestaat geen grijs gebied.

Integriteit is 'zwart ‐ wit' er bestaat geen grijs gebied. Het gaat mis als er naar dat grijze gebied wordt gezocht. De wil om die te verkennen kenmerkt de wens om willens en wetens 'buiten de lijntjes te kleuren'. Het is een glijdende schaal, waarbij gebruik wordt gemaakt van morele excuses (“iedereen doet het, Ik doe het alleen uit nieuwsgierigheid, ik ben maar een kleine schakel in het geheel” etc.). Daarentegen worden medewerkers ook niet bevraagd door lijnmanagers of collega’s over handelingen of plotsklaps buitenissige bezittingen. Door gebrek aan toezicht, beter; sociale controle, is het goed gedijen naar onderzoek voor malverserende gelegenheden en zelfs naar een criminele grondslag. Het gebrek aan toezicht wordt op haar beurt weer gevoed door het te gemakkelijk verschuilen achter de Algemene Verordening Gegevensbescherming (AVG), de privacywetgeving. Wellicht door een verkeerde interpretatie betreffende sociale omgangsnormen of het achterwege laten om het gesprek aan te gaan met personeelsleden. Oprecht willen weten wat er speelt, interesse tonen in de gemoedstoestand van de medewerker is. Zit hij/zij goed in zijn vel? Hoe gaat het thuis met de kinderen, etc.. De interactie blijft een vorm van communicatie waar aandacht voor de medemens uit sociale gronden nodig is om erkenning en gehoor in de organisatie te voelen. Andersom is het evenredig, als die sociale contacten en aandacht uitblijven, kan miskenning en eenzaamheid gevoeld worden. Het kan in sommige gevallen leiden naar aversie tegen de organisatie en/of de daar aan verbonden werkzaamheden t.o.v. de beloning die daar voor staat. Voor de goede orde, vroeger leek het heel normaal met het personeel te communiceren, maar nu is dat alles wat krampachtiger. Een mogelijkheid is dat dit voor een groot deel naar digitale communicatie is verplaatst.

Wekt bovenstaand corruptie in de hand? Een groot deel blijft de verantwoordelijkheid van het individu, maar gelegenheid bepaalt de stemming en dus het moment. Als een personeelslid gevoelig is voor corruptie, de gelegenheid zich voordoet en de kans op betrapt te worden nihil, dan kunnen zegeningen heel gauw als positief worden geteld.
Maar wat wordt onder corruptie verstaan en waarom is de social engineer daar zo in geïnteresseerd? Corruptie laat zich, net als het begrip fraude, volgens de FIOD moeilijk definiëren. Beide begrippen zijn verzamelnamen. Corruptie zou omschreven kunnen worden als: “misbruik maken van toegekende bevoegdheden of macht voor persoonlijk gewin”. Het gaat in ieder geval om oneerlijk gedrag waarbij je kunt stellen dat er twee partijen betrokken zijn. Iemand die zijn macht of invloed ten onrechte aanwendt om een derde partij te bevoordelen waar tegenover een beloning staat (aanbieder) en degene die deze beloning voorstelt of verschaft (vraagsteller). Deze twee zijn onlosmakelijk aan elkaar gelieerd. Waar een markt is, zijn aanbieders en vise versa.

De vraag rijst; hoe die twee (vraagsteller en aanbieder) elkaar vinden en waar bevindt zich die markt. Openlijk adverteren met valse persoonsbewijzen zal ogenblikkelijk leiden tot een bezoek van de autoriteiten als de politie. Vaak vindt men elkaar op het Dark Web, maar de mogelijkheid dat het onder onze ogen gebeurt is zeker zo aannemelijk. Daarnaast geldt dat eenieder die corrupte handelingen faciliteert medeplichtig is aan die handelingen. De afnemer, dus degene die door deze handelingen een voordeel haalt is een heler en dus persoonlijk aansprakelijk.

Afwijkend gedrag

Oneigenlijk handelen (corruptie) gaat vaak gepaard met afwijkend gedrag. Misleiden, beïnvloeding, verspreiden van des/misinformatie, het zonder valide redenen beschikken over geld en goederen, afpersing ongepast gebruik maken van middelen van de organisatie (wie appelen vaart, appelen eet) etc.. Ondanks de risico's, zoals reputatieschade, ontslag, boetes en gevangenisstraffen, weegt dat ogenschijnlijk niet op tegen het verwachte voordeel. Het vreemde is dat iedereen dat wellicht op zijn niveau bewust of onbewust dat doet waardoor compromittatie op de loer ligt. De social engineer ervaart dat “iedereen zijn prijs heeft” en juist daarom zijn human hacking (social engineer) aanvallen zo lucratief. Vaak weet de ander niet dat er een poging tot hacken plaatsvindt. Doodeenvoudig omdat de modus operandi niet wordt herkend. Daarnaast is afwijkend gedrag lastig te bepalen. Om maar een beladen woord weer eens te gebruiken zou 'sociale controle' een enorme drempel op kunnen werpen voor diegene die willens en wetens voordeel uit oneigenlijk handelen wil halen. Hiermee wordt meer het luisterend oor aanbieden en open staan voor problemen van de ander bedoeld, weet wat er speelt.

Uiteindelijk dient het credo; 'leid op', te zijn!

Uiteindelijk dient het credo; 'leid op', te zijn! Zorg dat personeel, lijnmanagers, poortwachters, etc. in ieder geval gewapend zijn met de kennis hoe human hacking i.c. social engineering (o.a. misleiding en beïnvloeding) in zijn werk gaat. Nu dat alle aandacht naar het fenomeen fishingmail, vishing, smishing (o.a. ook whats-app fraude) gaat, is het tijd om de kwetsbaarheid van mensen en hun kennis van de organisatie onder de loep te nemen. Het personeel aan de hand nemen, in aanschouwend onderwijs met de nodige praktisch invulling voor de studenten zelf en deze kennis te laten maken wat het betekent, gehackt te worden als persoon in combinatie met bovenstaande technieken. Vaak worden zinsneden gebruikt als; “ik heb niets te verbergen, ik zou nooit mijn password vertellen, het gaat niemand iets aan wat ik op een bankrekening heb staan, etc.”. Het is verbazend hoe makkelijk diezelfde mensen toch antwoord geven op deze vragen. Er is dus werk aan de winkel en te stoppen met losjes aan te nemen dat eenieder wel assertief genoeg is om geen bedrijfsinformatie te delen. Voor meer informatie met betrekking tot het onderwerp human hacken (social engineering) en opleidingen, zie; www.tri-c.nl

Naar overzicht