Continue waarschuwingen over cyberdreigingen kunnen leiden tot overbelasting en minder bereidheid om te handelen, blijkt uit onderzoek naar security fatigue.
Dagelijkse digitale activiteiten zoals online winkelen, bankieren en communiceren gaan gepaard met een constante stroom aan waarschuwingen over scams, datalekken en kwetsbaarheden. Deze berichten variëren in urgentie en vragen vaak onmiddellijke aandacht, wat kan leiden tot een gevoel van overweldiging en minder bereidheid om passende beveiligingsmaatregelen te nemen.
Hoewel het belangrijk is om het dreigingslandschap te monitoren vanwege de voortdurende evolutie van cybercriminelen en kwetsbaarheden, betekent het bestaan van een bedreiging niet automatisch dat iedereen er evenveel risico door loopt. De impact hangt af van gebruikte systemen, blootstelling en bestaande beveiligingsmaatregelen. Een kritieke kwetsbaarheid in een niet-gebruikt product vereist bijvoorbeeld geen spoedactie, terwijl een minder ernstige kwetsbaarheid in een cruciale, internetgerichte dienst wel directe aandacht verdient. Headlines bieden vaak onvoldoende context, waardoor waarschuwingen kunnen vervagen tot achtergrondruis en echte dreigingen over het hoofd worden gezien.
Onderzoekers van het Amerikaanse National Institute of Standards and Technology (NIST) onderzochten in 2016 het fenomeen security fatigue door 40 gewone computergebruikers te interviewen over beveiliging en privacy. In 25 interviews kwamen tekenen van vermoeidheid naar voren, zoals frustratie over herhaalde beveiligingsvereisten, gevoelens van machteloosheid en het negeren van beschermende adviezen. Deze vermoeidheid leidt tot het vermijden van beslissingen en het kiezen voor de makkelijkste optie, wat niet per se onverschilligheid betekent, maar een gevolg is van het onvermogen om te bepalen wat urgent is en welke actie nodig is. Dit onderzoek helpt verklaren waarom voortdurende waarschuwingen hun effectiviteit verliezen.
Het is daarom essentieel dat beveiligingscommunicatie niet alleen waarschuwt, maar ook duidelijk maakt welke risico’s relevant zijn, welke acties noodzakelijk zijn en waar de verantwoordelijkheid van de gebruiker ophoudt. NIST’s werk op het gebied van mensgerichte cybersecurity benadrukt het belang van begrijpelijke en gerichte beveiligingsinformatie om alertheid te behouden zonder overbelasting te veroorzaken.
