In general, people are poorly protected against cyberthreats, with the main reason being user behaviour. For the study described in this paper, a ques-tionnaire was developed in order to understand how people’s knowledge of and attitude towards both cyberthreats and cyber security controls affect in-tention to adopt cybersecure behaviour. The study divides attitude into a cog-nitive and an affective component. Although only the cognitive component of attitude is usually studied, the results from a questionnaire of 300 respond-ents show that both the affective and cognitive components of attitude have a clearly positive, albeit varying, influence on behavioural intention, with the affective component having an even greater effect on attitude than the cog-nitive aspect. No correlation was found between knowledge and behavioural intention. The results indicate that attitude is an important factor to include when developing behavioural interventions, but also that different kinds of attitude should be addressed differently in interventions.
Cybersecurity threat and incident managers in large organizations, especially in the financial sector, are confronted more and more with an increase in volume and complexity of threats and incidents. At the same time, these managers have to deal with many internal processes and criteria, in addition to requirements from external parties, such as regulators that pose an additional challenge to handling threats and incidents. Little research has been carried out to understand to what extent decision support can aid these professionals in managing threats and incidents. The purpose of this research was to develop decision support for cybersecurity threat and incident managers in the financial sector. To this end, we carried out a cognitive task analysis and the first two phases of a cognitive work analysis, based on two rounds of in-depth interviews with ten professionals from three financial institutions. Our results show that decision support should address the problem of balancing the bigger picture with details. That is, being able to simultaneously keep the broader operational context in mind as well as adequately investigating, containing and remediating a cyberattack. In close consultation with the three financial institutions involved, we developed a critical-thinking memory aid that follows typical incident response process steps, but adds big picture elements and critical thinking steps. This should make cybersecurity threat and incident managers more aware of the broader operational implications of threats and incidents while keeping a critical mindset. Although a summative evaluation was beyond the scope of the present research, we conducted iterative formative evaluations of the memory aid that show its potential.
Cybercrime – en daarmee cybersecurity – is een groot maatschappelijk probleem. De criminologische bestudering van cybercrime staat nog in de kinderschoenen. Het is echter niet alleen noodzakelijk om fundamenteel wetenschappelijk onderzoek uit te voeren (‘de lange termijn’), maar ook om met de praktijk de acute problemen en uitdagingen van vandaag en morgen te onderzoeken. Het merendeel van het onderzoek op dit gebied – en dan heb ik het over zowel fundamenteel wetenschappelijk als praktijkgericht onderzoek – komt tot nu toe uit de hoek van de technische wetenschappen. Technologie speelt natuurlijk ook een belangrijke rol bij cyberincidenten, maar we hebben het over mensen die cyberaanvallen uitvoeren, mensen die – wetend of onwetend – meewerken aan die aanvallen, mensen die slachtoffer worden en mensen die zich bezighouden met het tegenhouden van cyberaanvallen. Empirisch onderzoek naar de menselijke factor bij cybercrime en cybersecurity is schaars. De onder mijn redactie recent uitgebrachte onderzoeksagenda ‘The human factor in cybercrime en cybersecurity’ maakt dit helder.1 In die onderzoeksagenda zijn tientallen onderwerpen geïdentificeerd waar de komende jaren onderzoek naar moet worden gedaan omdat basale kennis ontbreekt. Tegelijkertijd zit het werkveld te springen om bruikbare kennis over manieren om zich te beschermen tegen cyberaanvallen. Dat laatste is iets wat we zeker gemerkt hebben het afgelopen jaar. Al voor de officiële start van het lectoraat Cybersecurity in het midden- en kleinbedrijf (mkb) stroomden de verzoeken binnen van gemeenten, brancheorganisaties en bedrijven om gezamenlijk onderzoek te doen. Dit is dan ook de reden dat we, ondanks dat het lectoraat nog geen jaar geleden is ingesteld, al flink wat onderzoeken voor en met de praktijk uitvoeren. De constatering dat onderzoek naar de menselijke factor binnen cybercrime en cybersecurity nog in de kinderschoenen staat terwijl er een grote vraag is naar evidence-based praktisch toepasbare kennis, is de reden dat De Haagse Hogeschool (HHs) en het Nederlands Studiecentrum Criminaliteit en Rechtshandhaving (NSCR) de handen ineengeslagen hebben voor de totstandkoming van dit lectoraat. Zowel De HHs als het NSCR hebben cybersecurity en cybercrime al enkele jaren geleden als prioriteit benoemd en hebben elk afzonderlijk onderzoeksprogramma’s op dit gebied. Voor De HHs geldt dat onderzoeken toepassingsgericht moeten zijn en dat de nieuwste onderzoeksmethoden en -technieken moeten worden toegepast om hoogwaardige producten op te leveren. Voor het NSCR geldt dat onderzoeken ook fundamentele kennis moeten opleveren. Het is echter steeds duidelijker dat bij onderzoek naar cybercrime en cybersecurity het beste van beide werelden nodig is. Het lectoraat heeft dan ook de nadrukkelijke opdracht deze twee onderzoeksprogramma’s te verbinden. Ik zal in deze inleiding een beknopte schets geven van de onderzoeksprogramma’s van deze organisaties en van de toekomstige onderzoeken binnen het lectoraat. LinkedIn: https://www.linkedin.com/in/rutgerleukfeldt/
