Human Vulnerability Assessment in Cybersecurity: A Systematic Literature Review of Methods, Models, and Instruments
Deze systematische literatuurstudie analyseert methoden, modellen en instrumenten voor het beoordelen van menselijke kwetsbaarheden in cybersecurity van 2017 tot 2025, en onthult dat de huidige benaderingen gefragmenteerd en statisch blijven, waardoor de kritieke behoefte aan dynamische, holistische kaders wordt benadrukt die zowel onopzettelijke als opzettelijke menselijke factoren aanpakken.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je cyberbeveiliging voor als een gigantisch, high-tech kasteel. Jarenlang waren de wachters (de beveiligingsexperts) geobsedeerd met het controleren van de muren, de sloten en de grachten. Ze zorgen ervoor dat de digitale poorten sterk zijn en de software onbreekbaar. Maar dit artikel stelt dat het kasteel nog steeds wordt binnengevallen, niet omdat de muren zwak zijn, maar omdat de mensen die erin wonen worden bedrogen, uitgeput of gemanipuleerd.
Dit onderzoek is een "systematische literatuuroverzicht", wat vergelijkbaar is met een super-georganiseerde bibliothecaris die elk boek, artikel en onderzoek gepubliceerd tussen 2017 en 2025 heeft doorgenomen om één grote vraag te beantwoorden: "Hoe meten we momenteel de zwaktes van de menselijke geest in cyberbeveiliging, en is dat voldoende?"
Hier is de uiteenzetting van hun bevindingen, met gebruikmaking van eenvoudige analogieën:
1. Het Probleem: We Controleren Alleen de "Deuren", Niet de "Mensen"
De auteurs vonden dat de meeste huidige beveiligingscontroles zich richten op wat mensen doen (zoals klikken op een kwaadaardige link of een zwak wachtwoord gebruiken). Zij noemen dit "Gedragsfactoren".
- De Analogie: Stel je een arts voor die alleen controleert of een patiënt hoest (het gedrag), maar nooit vraagt waarom ze hoesten. Zijn ze allergisch? Zijn ze gestrest? Zijn ze ziek?
- De Realiteit: Het artikel stelt dat we uitstekend zijn in het opsporen van de "hoest" (de risicovolle actie), maar dat we verschrikkelijk zijn in het begrijpen van de "ziekte" (de vermoeidheid, de stress, de persoonlijkheidstrekken of de sociale druk die de hoest in de eerste plaats veroorzaakte).
2. De Nieuwe Kaart: Een "Taxonomie van Menselijke Factoren"
Om deze verwarring op te lossen, hebben de auteurs een nieuwe "kaart" (een taxonomie) gemaakt om alle verschillende manieren waarop mensen kwetsbaar kunnen zijn, te ordenen. Zij verdeelden deze zwaktes in vier hoofd-wijken:
- De Psychologische Wijk (Het "Wie Je Bent"): Dit omvat je persoonlijkheid, je emoties en je ethiek. Ben je van nature vertrouwend? Ben je gestrest? Heb je een "slechte appel"-persoonlijkheid die dingen opzettelijk wil stelen?
- De Cognitieve Wijk (Het "Hoe Je Denkt"): Dit gaat over de verwerking van je brein. Raak je snel vermoeid? Vertrouw je AI te veel? Heb je mentale kortsluitingen waardoor je op oplichting inloopt?
- De Gedragswijk (Het "Wat Je Doet"): Dit is de daadwerkelijke actie. Heb je op de link geklikt? Heb je je wachtwoord gedeeld? Dit is wat de meeste huidige tools meten.
- De Prestatiestoestand-Wijk (Het "Hoe Je Je Op Dit Moment Voelt"): Dit is tijdelijk. Ben je gehaast? Word je onderbroken? Multitask je? Een vermoeide, gehaaste persoon is kwetsbaarder dan een uitgeruste, zelfs als het dezelfde persoon is.
De Twist: De kaart omvat ook "Weersomstandigheden" (Moderatoren). Dit zijn dingen zoals je leeftijd, je baan, hoeveel training je hebt gehad, of de cultuur van je kantoor. Deze veroorzaken de zwakte niet direct, maar ze veranderen hoe sterk of zwak je bent.
3. De Grote Ontdekking: We Missen het "Gehele Beeld"
De onderzoekers keken naar 54 verschillende studies en vonden enkele grote hiaten:
- We richten ons te veel op de "Hoest": De meeste studies kijken alleen naar Gedrag en Denken. Ze kijken zelden diep in Persoonlijkheid of Tijdelijke Stoestanden (zoals vermoeidheid).
- We behandelen "Ongevallen" en "Misdaden" als verschillend: De meeste tools controleren op onbedoelde fouten (zoals klikken op een phishing-e-mail) OF op opzettelijke misdaden (zoals een medewerker die data steelt). Zeer weinig tools proberen beide tegelijkertijd te begrijpen. Het artikel stelt dat dezelfde menselijke trekken (zoals stress of slechte ethiek) kunnen leiden tot beide, ongevallen en misdaden, maar dat we ze apart bestuderen.
- We zijn "Statisch" terwijl we "Dynamisch" zouden moeten zijn: Stel je voor dat je een foto maakt van een persoon en zegt: "Dit is hun beveiligingsniveau voor altijd." Dat is wat de meeste tools doen. Maar mensen veranderen! Als je vandaag moe bent, ben je kwetsbaar. Als je morgen goed uitgerust bent, ben je misschien veilig. Het artikel stelt dat we video nodig hebben, geen foto's. We hebben tools nodig die kijken hoe kwetsbaarheid in de loop van de tijd verandert.
- We negeren de "AI-val": Het artikel merkt op dat bijna niemand bestudeert hoe mensen worden bedrogen door Kunstmatige Intelligentie. We vertrouwen AI te veel en onze hersenen worden lui (een fenomeen genaamd "cognitieve uitbesteding"), maar onze beveiligingstools hebben dit nieuwe gevaar nog niet opgepikt.
4. De Conclusie: We Hebben een "Slim, Levend Systeem" Nodig
Het artikel concludeert dat we momenteel een "gefragmenteerde" aanpak gebruiken. Het is alsof je een team van specialisten hebt waarbij de ene je ogen controleert, een andere je voeten en een derde je oren, maar dat niemand met elkaar praat om te zien hoe het hele lichaam het doet.
De uiteindelijke boodschap van de auteurs:
Om onze digitale wereld echt veilig te maken, moeten we stoppen met alleen te kijken naar de "slechte klikken" en beginnen met het bouwen van een systeem dat de hele mens begrijpt. We hebben tools nodig die:
- Tegelijkertijd kijken naar persoonlijkheid, denken, acties en tijdelijke toestanden.
- Kijken hoe kwetsbaarheid van dag tot dag verandert (dynamisch).
- Begrijpen hoe de zwakte van de ene persoon zich kan verspreiden naar anderen (propagatie).
- Rekening houden met het feit dat mensen fouten kunnen maken of kwaadaardig kunnen zijn, en dat de onderliggende oorzaken vaak overlappen.
Kortom: We bouwen betere sloten voor het kasteel, maar we moeten beginnen met het veel beter begrijpen van de mensen die erin wonen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.