Lotta Croiset van Uchelen Feberwee over waarom stilte de zwakste schakel is in je securitycultuur

Jaren geleden, bij Schuberg Philis, had Lotta Croiset van Uchelen Feberwee een ‘niet-pluisgevoel’ bij een collega. Iets in het gedrag klopte niet, maar ze zei er niets over. “Ik dacht: ik weet vast niet alles, misschien zie ik het verkeerd.” Achteraf bleek dat veel meer mensen datzelfde gevoel hadden gehad en dat als ze het eerder hadden gedeeld, de organisatie er veel eerder zicht op had gekregen.

Het is een herkenbaar moment en precies dáárom een belangrijk moment. Het legt bloot over hoe organisaties met twijfel omgaan. “Een niet-pluisgevoel niet delen heeft geen functie”, zegt Lotta. In de praktijk is dat wel wat er vaak gebeurt: mensen zien iets, twijfelen aan hun eigen waarneming en houden het voor zich.

Vertrouwen werkt alleen als ook onterechte twijfel ruimte krijgt

Lotta trekt de vergelijking door naar cybersecurity: een organisatie heeft, net als een IT-omgeving, een operating system nodig, een manier waarop signalen worden opgemerkt, gedeeld en opgevolgd. Bij techniek noemen we dat monitoring en detectie, bij mensen noemen we het cultuur.

Voelen collega’s zich vrij om te zeggen “deze change vertrouw ik niet” of “ik maak me zorgen over dit gedrag”, zonder dat ze daarop worden afgerekend? Zelfs als ze het uiteindelijk mis blijken te hebben? Dat laatste is volgens haar ontzettend belangrijk. Wie alleen ruimte geeft aan twijfel die achteraf terecht blijkt, leert mensen impliciet dat twijfelen een risico is. Dan stopt het melden op het moment dat het er het meest toe doet: vroeg, voordat er iets is misgegaan.

Als leider is dat volgens Lotta niet iets wat je kunt opleggen, maar je kunt het wel voordoen.

“Die cultuur besefte ik toen heel bewust: hoe belangrijk het is dat ik daar zelf voorbeeldgedrag in vertoon, óók als mensen het mis hebben.”

Welk gedrag wordt beloont, en welk gedrag wordt daarmee onbedoeld ontmoedigt

Datzelfde mechanisme, wat je wel en niet beloont, komt terug in een heel ander deel van haar leven. Lotta is al twintig jaar pleegouder en ze vertelt hoe pleegkinderen die zich “niet oké” gedroegen sneller in aanmerking kwamen voor bijvoorbeeld een voetbalabonnement, terwijl een kind dat hard werkte bij de Albert Heijn én zijn studie deed, nauwelijks op de radar kwam voor ondersteuning.

Het is een persoonlijk voorbeeld, maar de vertaalslag naar organisaties ligt voor de hand. In teams en bij cybersecurity geldt: welk gedrag beloon je en welk gedrag beloon je juist niet? Wie na een incident vooral hard ingrijpt en straft, leert mensen niet om voortaan alerter te melden, die leert mensen om zich stiller te houden. Wie de collega die voortdurend kritische vragen stelt als lastig behandelt, ontmoedigt precies de tegenmacht die een organisatie nodig heeft.

Concrete vragen om het gesprek in jouw organisatie te toetsen

Voor CISO’s en CIO’s is dit meer dan een mooie observatie, het is een concreet aanknopingspunt om het gesprek in hun eigen organisatie te toetsen. Wordt een niet-pluisgevoel bij jullie serieus genomen, zelfs zonder bewijs? Wordt er ruimte gegeven aan mensen die twijfelen of alleen achteraf gelijk krijgen? Welk gedrag wordt er, bewust of onbewust, beloond op het moment dat het erop aankomt?

Het zijn geen vragen die je met een tool of een protocol beantwoordt. Ze vragen om voorbeeldgedrag, om kwetsbaarheid tonen als leider, en om bereid zijn om zelf ook eens fout te zitten, zonder dat de volgende die twijfelt daardoor stiller wordt.