Technische Samenvatting: MORPHEUS – Een Multidimensionaal Raamwerk voor het Modelleren, Meten en Mitigeren van Menselijke Factoren in Cybersecurity

1. Probleemstelling

Ondanks significante technische vooruitgang in cybersecurity-controles blijft de menselijke factor de meest geëxploiteerde kwetsbaarheid, waarbij empirisch bewijs aangeeft dat bijna 88% van de datalekken voortkomt uit menselijke fouten. Bestaande onderzoeken en raamwerken die zich richten op menselijke factoren lijden aan drie primaire beperkingen:

• Fragmentatie: Bestaande modellen behandelen kwetsbaarheden vaak als geïsoleerde, statische eigenschappen in plaats van dynamische, onderling verbonden systemen.
• Beperkte reikwijdte: Veel raamwerken zijn ofwel te specifiek (bijv. uitsluitend gericht op wachtwoordbeheer of insider threats) of te breed (bijv. hoogwaardige organisatorische checklists zoals NIST) om de fluïde, situatiespecifieke aard van menselijk gedrag te vangen.
• Gebrek aan gestandaardiseerde meting: Er is een tekort aan gestandaardiseerde methodologieën voor het meten en integreren van menselijke factoren over diverse cyberdreigingen heen, wat de ontwikkeling van actiegerichte, gerichte interventies belemmert.

De auteurs stellen dat een verenigd paradigma vereist is om menselijke zwakheden uitgebreid te categoriseren, hun complexe interacties in kaart te brengen en gevalideerde instrumenten voor empirische beoordeling te bieden om veerkrachtige, mensgerichte verdedigingen te construeren.

2. Methodologie

Om het MORPHEUS-raamwerk te ontwikkelen, hanteerden de auteurs een rigoureuze, tweefasige multi-methodologische aanpak:

Fase 1: Systematische Scoping Review

• Doel: Om de fundamentele taxonomie van menselijke factoren te identificeren die de vatbaarheid voor belangrijke cyberdreigingen beïnvloeden.
• Reikwijdte: Zes primaire dreigingen werden geselecteerd op basis van sectorrapporten (Verizon DBIR, Clusit, ENISA): Phishing, SMishing, Spear-phishing, Malware downloads, Wachtwoordbeheer en Systeemconfiguratiefouten.
• Proces: Er werd een zoekopdracht uitgevoerd op Google Scholar met een specifieke zoekstring die "human factors", "psychological traits" of "human aspects" combineerde met specifieke dreigingsvectoren.
• Selectie: Uit een initiële pool van 6.000 kandidaten werden 88 unieke peer-reviewed publicaties behouden na toepassing van strikte inclusiecriteria (peer-reviewed, volledige artikelen, Q3+ journals/C+ conferenties, Engelse taal) en kruisverwijzing met eerdere systematische reviews om redundantie te vermijden.
• Resultaat: Deze fase identificeerde 50 afzonderlijke menselijke factoren.

Fase 2: AI-gestuurde Systematische Screening

• Doel: Om de paarwijze interacties tussen de 50 factoren in kaart te brengen en gevalideerde meetinstrumenten te identificeren, taken die als te combinatorisch werden beschouwd voor handmatige review alleen.
• Proces: De auteurs maakten gebruik van Large Language Models (Perplexity.ai en OpenAI Deep Research) voor semantische retrieval, gevolgd door een strikt Human-in-the-Loop (HITL) validatieprotocol.
  • Retrieval: Prompts werden iteratief verfijnd om directe citaten en methodologische context te extraheren.
  • Validatie: Een dubbelblind, onafhankelijk review door twee onderzoekers filterde op hallucinaties (9,2% ratio), bibliografische kwaliteit en semantische relevantie.
  • Augmentatie: Backward en forward snowballing werd toegepast op de door AI opgehaalde corpus om algoritmische bias te mitigeren.
• Resultaat: Deze fase leverde 302 unieke empirische interacties tussen factoren op en 99 gevalideerde psychometrische meetinstrumenten.

3. Het MORPHEUS-raamwerk

MORPHEUS is gestructureerd als een holistisch, multidimensionaal raamwerk, gevisualiseerd als een concentrische architectuur. Het integreert twee fundamentele psychologische modellen: het Cognitie–Affect–Gedrag (CAB) model en de Attributietheorie.

3.1 De Causale Padarchitectuur

Het raamwerk organiseert de 50 menselijke factoren in een hiërarchisch causaal systeem bestaande uit drie lagen:

1. Laag 1: Modulatoren (Distale Antecedenten): Deze stellen de basiscondities voor de gebruiker vast.
   • Interne Modulatoren: Persoonlijkheidskenmerken (bijv. Neuroticisme, Conscientiousness) en Demografie (Leeftijd, Geslacht, Opleiding).
   • Externe Modulatoren: Sociale en Organisatorische contexten (bijv. Normen, Gebrek aan middelen, Security posture).
2. Laag 2: Directe Factoren (Proximale Verwerkingsmotor): In lijn met het CAB-model vangt deze laag de tijdelijke staat van de gebruiker op op het moment van besluitvorming.
   • Cognitief: Perceptie, Aandacht, Elaboratie (bijv. Bias, Cognitieve vermoeidheid, Security self-efficacy).
   • Affectief: Emotionele staten (bijv. Angst, Stress, Onrust).
   • Gedrag: Neigingen en gewoonten (bijv. Impulsiviteit, Complacency, Recurrentie).
3. Laag 3: Uitkomst: De uiteindelijke vatbaarheid voor specifieke cyberdreigingen, geprecipiteerd door de wisselwerking tussen modulatoren en directe factoren, vaak getriggerd door Adversariële Triggers (bijv. tijdsdruk, misleidende UI's).

3.2 Belangrijke Onderscheidende Kenmerken

• Menselijke Factoren vs. Adversariële Triggers: Het raamwerk maakt expliciet onderscheid tussen interne menselijke variabelen en externe kwaadaardige stimuli (bijv. overtuigingsprincipes, emotionele drivers gebruikt door aanvallers).
• Motivatie: Wordt geconceptualiseerd niet als een enkele factor, maar als een emergente eigenschap die voortvloeit uit de dynamische interactie van cognitieve overtuigingen, affectieve staten en sociale modulatoren.

4. Belangrijkste Resultaten en Bevindingen

4.1 Kwantitatieve Validatie van de Architectuur

De auteurs analyseerden de directionele stroom van de 321 gemapte interacties om de theoretische top-down structuur te valideren:

• 82,8% (250 interacties) waren "Architectuur-conform", vloeiend van Modulatoren naar Directe Factoren (32,1%), circulerend binnen de CAB-kern (28,5%), of voorkomend binnen Modulatoren (22,2%).
• 17,2% (52 interacties) vertegenwoordigden "Recursieve Feedback" (bijv. gedragsgewoonten die organisatorische normen veranderen), wat de dynamische aard van het systeem bevestigt.

4.2 De Twaalf Belangrijke Interactiemechanismen

Het complexe netwerk van interacties werd gedestilleerd tot 12 terugkerende mechanismen die kwetsbaarheidsroutes verklaren:

• Groep A (Architecturale Cascades): Mechanismen waarbij distale modulatoren proximale staten aansturen. Voorbeelden zijn:
  • Distale Modulatie van Cognitieve Hulpbronnen: Persoonlijkheidskenmerken (bijv. Neuroticisme) putten cognitieve hulpbronnen uit, wat leidt tot vermoeidheid.
  • Het "Tweesnijdend Zwaard" van Gewenste Eigenschappen: Eigenschappen zoals Conscientiousness kunnen leiden tot cognitieve tunnelvisie, wat de vatbaarheid voor social engineering verhoogt.
  • De Resource-Constraint Cascade: Gebrek aan organisatorische middelen triggert stress en vermindert de self-efficacy.
• Groep B (Interne Feedbackloops): Zelfversterkende spiralen binnen de CAB-kern. Voorbeelden zijn:
  • De Cognitieve-Affectieve Bottleneck: Stress put de executieve functies uit, wat op zijn beurt de affectieve regulatie belemmert.
  • De Habituele Autopilot Loop: Recurrentie onderdrukt cognitieve reflectiviteit, wat leidt tot automatische, bevooroordeelde reacties.

4.3 Inventarisatie van Metingen

Het raamwerk biedt een uitgebreide catalogus van 99 gevalideerde instrumenten gecategoriseerd per datadimensie:

• Eerste persoon: Zelfrapportage-schalen (bijv. Big Five Inventory, Perceived Stress Scale).
• Tweede persoon: Gedragsobservaties en simulaties (bijv. Phishing simulaties, Cognitive Reflection Test).
• Derde persoon: Biometrische en fysiologische indicatoren (bijv. EEG, Eye-tracking, GSR).

5. Operationele Toepassing

Het artikel demonstreert het nut van het raamwerk via Analytische Walkthroughs en Operationele Scenario's:

• Risicodiagnose: In een klinische setting hielp het raamwerk bij het diagnosticeren van herhaalde spear-phishing, niet als "gebruikersonwetendheid" maar als een systemisch falen waarbij hoge stress en schaamte (Modulatoren/Directe Factoren) de waakzaamheid aantastten. De interventie verschoof van training naar UI-wijzigingen en blamoleer-vrije rapportagekanalen.
• Gerichte Interventies: Voor universitair personeel identificeerde het raamwerk een hoog risicocluster gekenmerkt door hoge impulsiviteit en lage reflectiviteit. In plaats van generieke training, zette de organisatie "cognitieve frictie" (micro-vertragingen) in, specifiek voor deze groep, om het automatische heuristische proces te verstoren.

6. Betekenis en Claims

De auteurs positioneren MORPHEUS als een significante vooruitgang ten opzichte van de bestaande literatuur door:

1. Een Holistische Synthese te Bieden: Het beweegt verder dan gefragmenteerde, dreigingsspecifieke modellen om een universeel architecturaal geraamte te bieden dat cognitieve, affectieve, gedragsmatige en sociale dimensies integreert.
2. Causale Dynamiek te Vestigen: Door 302 empirische interacties in kaart te brengen, verschuift het paradigma van statische taxonomieën naar een dynamisch systeem dat modelleert hoe omgevingsrestricties interne psychologische staten degraderen.
3. Theorie en Praktijk te Overbruggen: De inclusie van 99 gevalideerde meetinstrumenten adresseert de kritieke kloof tussen conceptuele raamwerken en actiegerichte, evidence-based interventies.
4. Operationele Bruikbaarheid te Tonen: Het raamwerk stelt praktijkbeoefenaars in staat om van generieke "bewustzijnscampagnes" over te stappen naar gerichte, systemische interventies die de dieperliggende oorzaken van menselijke risico's aanpakken.

Erkende Beperkingen:
De auteurs merken op dat het raamwerk een theoretische synthese is gebaseerd op geaggregeerde studies en nog niet onderhevend is aan longitudinale ecologische validatie in een echte enterprise-omgeving. Ze benadrukken ook de heterogeniteit van de interactiedata (probabilistische associaties in plaats van deterministische wetten) en de ethische overwegingen met betrekking tot psychometrische profilering. Toekomstig werk wordt voorgesteld om het raamwerk uit te breiden met externe adversariële triggers en om de geïdentificeerde feedbackloops empirisch te valideren.