Bijna elke organisatie heeft tegenwoordig een security awareness training. Een e-learning, een keer per jaar, een eindtoets met een paar meerkeuzevragen, en het vinkje staat. En toch klikt diezelfde organisatie een halfjaar later massaal op een phishingmail. Dat is geen toeval. De meeste awareness-trajecten zijn ontworpen om een verplichting af te vinken, niet om gedrag te veranderen. In dit artikel leg ik uit waarom dat misgaat, en wat het verschil maakt tussen een training die werkt en een die alleen tijd kost.
Het probleem: de afvinkcultuur
Awareness is in veel organisaties verworden tot een compliance-handeling. De norm vraagt erom, dus er moet iets staan, dus er wordt een generieke e-learning ingekocht. Het doel verschuift ongemerkt van “mensen veiliger laten werken” naar “kunnen aantonen dat we iets hebben gedaan”. Dat zijn niet dezelfde dingen, en de tweede levert de eerste zelden op.
Een audit kijkt of er awareness is. Een aanvaller kijkt of die awareness werkt. Zolang je alleen het eerste organiseert, ben je formeel compliant en feitelijk kwetsbaar.
Vijf redenen waarom het misgaat
1. Eenmalig in plaats van doorlopend. Gedrag verandert niet van één sessie per jaar. Wat je in maart leert, ben je in september vergeten. Awareness die werkt is een ritme, geen evenement.
2. Generiek in plaats van relevant. Een algemene e-learning over “wachtwoorden en phishing” raakt niemand persoonlijk. Een financieel medewerker loopt andere risico’s dan een zorgverlener of een systeembeheerder. Wie iedereen hetzelfde voorschotelt, raakt niemand echt.
3. Angst in plaats van begrip. Trainingen die vooral waarschuwen voor straf en gevaar leveren angstige medewerkers op die incidenten verzwijgen in plaats van melden. Dat is precies het tegenovergestelde van wat je wilt. Je wilt dat iemand die per ongeluk op een link klikt dat binnen vijf minuten meldt, niet dat hij het verbergt.
4. Geen meting. Veel organisaties weten niet of hun awareness werkt, omdat ze alleen deelname meten en niet gedrag. Hoeveel mensen melden een verdachte mail? Hoe snel? Daalt het klikgedrag over de tijd? Zonder die cijfers stuur je blind.
5. Losgekoppeld van beleid en praktijk. Een training die zegt “gebruik sterke wachtwoorden”, terwijl het systeem zwakke wachtwoorden toestaat en niemand een wachtwoordmanager heeft, ondergraaft zichzelf. Awareness moet aansluiten op wat technisch en organisatorisch mogelijk is, anders leer je mensen iets wat ze niet kunnen waarmaken.
Van beleid naar gedrag
De kern van het probleem is dat veel organisaties awareness behandelen als een losse maatregel, terwijl het de laatste schakel is in een keten. Die keten loopt van risico naar beleid, van beleid naar concrete maatregelen, en pas daarna naar gedrag. Awareness werkt alleen als de schakels ervoor kloppen.
Concreet betekent dat: bepaal eerst welke risico’s je met gedrag wilt afdekken, vertaal dat naar helder beleid dat mensen kunnen begrijpen en uitvoeren, zorg dat de techniek het gewenste gedrag ondersteunt, en richt de training dan op precies die handelingen die het verschil maken. Awareness is geen vervanging voor goede techniek en goed beleid. Het is het sluitstuk.
Wat wel werkt
Effectieve awareness heeft een paar herkenbare kenmerken.
Het is doorlopend en in kleine porties. Korte, regelmatige momenten werken beter dan één lange sessie. Mensen onthouden iets dat terugkomt, niet iets dat ze eenmaal afvinken.
Het is doelgroepgericht. De directie hoort een ander verhaal dan de servicedesk. Geef mensen voorbeelden uit hun eigen werk, niet uit een algemeen lesboek.
Het maakt gebruik van voorbeeldgedrag van leiders. Als de directie zelf zichtbaar de regels volgt en fouten bespreekbaar maakt, volgt de rest. Cultuur wordt van bovenaf gezet, niet via een e-learning afgedwongen.
Het meet en stuurt bij. Phishingsimulaties hebben hun plaats, mits je ze gebruikt om te leren en niet om te straffen. Meet of het meldgedrag toeneemt en het klikgedrag afneemt, en pas de aanpak aan op wat de cijfers laten zien.
En het maakt melden makkelijk en veilig. De belangrijkste gedragsverandering die je kunt bereiken, is dat mensen fouten en verdachte signalen snel melden. Dat lukt alleen in een cultuur waarin melden wordt gewaardeerd, niet bestraft.
Awareness als aantoonbare beheersmaatregel
Vanuit ISO 27001 en NEN 7510 is awareness geen vrijblijvende extra, maar een beheersmaatregel die je aantoonbaar moet beleggen en evalueren. Een auditor wil niet alleen zien dat er een training is geweest, maar dat je stuurt op het effect ervan. Juist daar komen de afvinkbenadering en de norm samen: wie awareness echt laat werken, voldoet vanzelf aan de aantoonbaarheidseis. Wie alleen afvinkt, voldoet op papier en faalt in de praktijk.
Tot slot
Een security awareness training mislukt zelden omdat de inhoud verkeerd is. Hij mislukt omdat hij eenmalig, generiek en losgekoppeld is van beleid, techniek en cultuur. Behandel awareness als het sluitstuk van een keten die je eerst op orde brengt, maak melden veilig, en meet het effect in plaats van de deelname. Dan verandert er wel iets, en dan klopt het vinkje ook echt.
Ronald Everduim is zelfstandig ISO-consultant en CISO-adviseur. Hij begeleidt organisaties bij informatiebeveiliging, awareness en certificering conform onder meer ISO 27001 en NEN 7510.