Generieke security awareness leidt niet vanzelf tot veiliger gedrag

Waarom security awareness plaats moet maken voor Human Risk Management

We trainen medewerkers al jaren om phishingmails te herkennen. Toch blijven menselijke fouten één van de belangrijkste oorzaken van beveiligingsincidenten. Misschien is het tijd om niet langer awareness te meten, maar risico.

Vrijwel iedere organisatie biedt medewerkers security-awareness­trainingen aan. Vaak zijn die echter voor iedereen hetzelfde en vooral gericht op kennisoverdracht: medewerkers leren hoe phishing eruitziet, wat goed wachtwoordbeheer is en welke regels zij moeten volgen. Dat vergroot het bewustzijn, maar leidt niet automatisch tot blijvend veiliger gedrag.

Cybercriminelen kiezen juist steeds vaker voor een persoonlijke benadering. Al dan niet meer met behulp van AI kunnen zij snel overtuigende berichten, stemmen en scenario’s creëren die zijn afgestemd op iemands functie, collega’s en dagelijkse werkzaamheden. Een verzoek dat afkomstig lijkt van een bekende collega of leidinggevende is daardoor veel moeilijker te herkennen dan een algemene phishingmail. De cyberaanval op Odido, waarbij de aanvaller zich in een telefoongesprek geloofwaardig als collega presenteerde, laat zien hoe effectief zo’n gerichte aanpak kan zijn.

Risico- en rolgestuurde aanpak

Een jaarlijkse security awareness training of phishing tests bieden hier onvoldoende bescherming tegen. Wie het menselijke cyberrisico aantoonbaar wil verkleinen, moet rekening houden met de specifieke functies, risico’s, verantwoordelijkheden en het gedrag van verschillende medewerkers. Dat vraagt om een continue, risico- en rolgestuurde aanpak. Training, simulaties en coaching moeten aansluiten op de risico’s die medewerkers daadwerkelijk in hun werk tegenkomen. Human Risk Management speelt hierop in. 

Human Risk Management is een strategische aanpak om beveiligingsrisico’s die voortkomen uit menselijk gedrag te herkennen, meten en gericht te verkleinen. In plaats van alleen algemene securitytrainingen aan te bieden wordt gebruikgemaakt van gedragsinzichten en data om medewerkers op het juiste moment persoonlijk te ondersteunen. Hierbij draait het om vragen als: Wie loopt welk risico? Waar bevinden zich kennis- en gedragsproblemen? Welke interventie is op dit moment het meest relevant en leidt die interventie aantoonbaar tot veiliger gedrag?

Niet alleen iemands functie wordt meegenomen, maar ook toegangsrechten, blootstelling aan dreigingen, eerdere incidenten en de mogelijke impact van een aanval. Daarmee verschuift de aandacht van het aanbieden en afvinken van trainingen naar het continu meten en gericht verkleinen van menselijk cyberrisico.

Zo kun je bijvoorbeeld een financieel medewerker laten oefenen met frauduleuze betaalverzoeken, terwijl een servicedeskmedewerker leert omgaan met aanvallers die via social engineering een wachtwoordreset proberen af te dwingen. Bestuurders en senior managers worden juist voorbereid op gerichte aanvallen, zoals overtuigende verzoeken van vermeende directieleden, deepfake-telefoongesprekken of phishingberichten rond vertrouwelijke overnames en strategische besluiten.

AI helpt ook bij slimmere verdediging

Hierbij kan AI juist helpen om de verdediging slimmer te organiseren. Technologie kan signalen combineren, zoals functie, kennisniveau, eerdere trainingen, phishinggedrag en risicoprofiel. Op basis daarvan kunnen medewerkers automatisch passende simulaties, microlearnings of coaching ontvangen. Niet omdat iemand toevallig in een campagnebestand staat, maar omdat daar op dat moment het grootste risico zit.

Verder kunnen interne beleidsdocumenten, procedures en nieuwe regelgeving met generatieve AI worden omgezet in herkenbare leercontent en assessments. Hierdoor sluit training beter aan op de dagelijkse praktijk, interne processen en specifieke risico’s van de organisatie. In plaats van tientallen handmatige campagnes ontstaat een continue, datagedreven verbetercyclus.

Human Risk Management sluit aan bij NIS2 eisen

Deze Human Risk Management benadering sluit ook veel beter aan bij de vereisten uit NIS2 en de Cyberbeveiligingswet. Deze eisen zowel passende maatregelen eisen om cyberrisico’s te beheersen en bevatten verplichtingen onder andere rond het risicobeheersing en het trainen van bestuurders. Van hen wordt namelijk niet alleen verwacht dat ze maatregelen goedkeuren, maar ook voldoende kennis hebben om toezicht te houden op de uitvoering.

Een rapportage waarin staat dat 97 procent van de medewerkers een training heeft afgerond, zegt weinig over de werkelijke weerbaarheid van de organisatie. Voor effectieve sturing en aantoonbaarheid moet meetbaar worden gemaakt of medewerkers actuele aanvalstechnieken herkennen en moet de organisatie ook inzicht hebben in welke functies of afdelingen een verhoogd risico lopen en of de gemeten risico’s na interventies daadwerkelijk afnemen.

Van compliance naar strategisch cyberrisicomanagement

Daarmee wordt awareness niet alleen een complianceactiviteit, maar een aantoonbaar onderdeel van strategisch cyberrisicomanagement. Om die stap daadwerkelijk te kunnen maken, moet een Human Risk Management-programma aan vijf voorwaarden voldoen:

1. Continu Niet één verplicht trainingsmoment per jaar, maar het hele jaar door korte interventies. Regelmatige herhaling houdt veilig gedrag onder de aandacht en maakt het mogelijk snel in te spelen op nieuwe dreigingen.
2. Risico- en rolgestuurd Niet iedere medewerker krijgt dezelfde training. De inhoud en frequentie worden afgestemd op iemands functie, toegangsrechten, gedrag en blootstelling aan specifieke dreigingen.
3. Breed en actueel Niet alleen aandacht voor phishing, maar ook voor ransomware, privacy, veilig gebruik van AI, QR-phishing, vishing, Teams-aanvallen, toegangsbeheer en social engineering trends.
4. Aantrekkelijk en herkenbaar Geen lange reeks verplichte slides, maar microlearnings, interactieve scenario’s, games en korte video’s die aansluiten op de eigen organisatie en dagelijkse werkzaamheden.
5. Meetbaar Niet alleen vastleggen hoeveel medewerkers een training hebben afgerond, maar meten of zij dreigingen beter herkennen, verdachte situaties vaker melden en na interventies aantoonbaar veiliger handelen.

Het is essentieel inzicht te hebben in hoeveel menselijk cyberrisico er ondanks alle maatregelen nog overblijft. Organisaties die dat inzicht hebben, zijn beter voorbereid op NIS2 én op de volgende generatie cyberaanvallen.

Benieuwd hoe volwassen jouw organisatie is op het gebied van Human Risk Management? Conscia helpt organisaties met een nulmeting en een roadmap naar aantoonbaar lagere menselijke risico's.

Door Fernand Warmerdam Healthcare lead bij Conscia