Je hebt een firewall. Je hebt antivirussoftware. Je e-mail wordt gefilterd en je website is beveiligd. En toch begint een aanval op jouw bedrijf hoogstwaarschijnlijk niet bij een technisch lek, maar bij een mens. Een medewerker die op een dinsdagochtend, tussen twintig andere mails door, klikt op een bericht dat er volkomen echt uitziet.
Meer dan 90% van alle cyberaanvallen begint met een phishing-mail. Geen enkele firewall houdt dat tegen, want de mail is technisch gezien niet kwaadaardig. Het is een tekst die iemand overtuigt om iets te doen. En tegen overtuiging helpt maar één ding: mensen die het herkennen.
Wat security awareness training is
Security awareness training is het structureel trainen van je medewerkers in het herkennen van digitale oplichting en het veilig handelen als ze iets verdachts tegenkomen. Niet als eenmalige presentatie, maar als doorlopend programma.
Het bestaat uit twee delen die elkaar versterken:
- Testen. Medewerkers ontvangen realistische nep-phishing-mails, en steeds vaker ook nep-telefoontjes en nep-inlogpagina’s, zonder dat ze dat van tevoren weten. Zo zie je hoe je team in de praktijk reageert, niet hoe het zegt te reageren.
- Trainen. Korte modules van een paar minuten, afgestemd op de functie en de eerdere resultaten van elke medewerker. Wie in een simulatie klikt, krijgt direct een korte uitleg over wat hij had kunnen zien.
Het doel is niet om mensen te betrappen. Het doel is dat de volgende echte phishing-mail wordt herkend, gemeld en genegeerd.
Waarom techniek alleen niet genoeg is
Technische beveiliging werkt op basis van regels. Een firewall blokkeert verkeer dat aan bepaalde kenmerken voldoet. Een spamfilter herkent bekende patronen. Dat werkt goed tegen bekende, herhaalbare aanvallen.
Maar de gevaarlijkste aanvallen zien er niet uit als een aanval. Een factuur van een bestaande leverancier met een gewijzigd rekeningnummer. Een mail van “de directeur” met het verzoek om snel een betaling te doen. Een bericht van “Microsoft” dat je wachtwoord vandaag verloopt. Technisch is er niets mis met die mails. De aanval zit in de inhoud, en daar heeft je filter geen mening over.
Daar komt bij dat aanvallers inmiddels kunstmatige intelligentie gebruiken. De taalfouten waar iedereen vroeger op lette, zijn verdwenen. Stemmen worden gekloond uit een kort geluidsfragment, waardoor een telefoontje van “een collega” precies klinkt als die collega. In dit artikel beschrijven we hoe zo’n aanval verloopt.
Je medewerkers zijn de laatste linie. Ze zijn ook de enige linie die kan nadenken.
Wat een goede training anders doet
Veel bedrijven hebben ooit een presentatie over phishing gehad. Meestal weet een maand later niemand meer wat erin stond. Een programma dat wél werkt, verschilt op een paar punten.
Het is realistisch
Simulaties zijn gebaseerd op echte aanvallen: nepfacturen, valse IT-meldingen, wachtwoordresets van bekende diensten, telefoontjes van een “leverancier”. Niet de karikatuur van een prins die geld wil overmaken, maar precies het soort bericht dat een medewerker op een drukke dag echt kan ontvangen.
Het is persoonlijk
Een boekhouder krijgt andere scenario’s dan een receptionist of een IT-beheerder, omdat ze ook andere aanvallen te verwerken krijgen. En wie een simulatie niet doorziet, krijgt een vervolgtraining die daarop aansluit. Wie het goed doet, hoeft niet nog eens door dezelfde stof.
Het is kort en herhaald
Modules van twee tot drie minuten, verspreid over het jaar, blijven beter hangen dan één lange sessie. Het gaat om een gewoonte, niet om een examen.
Het maakt melden makkelijk
Herkennen is de helft. Een goede training zorgt ook dat medewerkers weten wat ze moeten doen: een verdachte mail met één knop melden, in plaats van hem te verwijderen of, erger, aan een collega door te sturen met de vraag “is dit echt?”.
Wat het je oplevert
Het eerste wat je krijgt is inzicht. Hoeveel procent van je team klikt op een gesimuleerde phishing-mail? Welke soorten aanvallen werken het best? Wie heeft extra aandacht nodig? Die cijfers zijn in het begin vaak confronterend, en na een paar maanden training zie je ze dalen.
Het tweede is een kleiner risico. Elke medewerker die een nepfactuur herkent, is een betaling die niet naar criminelen gaat. Elke wachtwoordreset die wordt gemeld in plaats van ingevuld, is een account dat niet wordt overgenomen.
Het derde is bewijs. De rapportages laten zien dat je medewerkers aantoonbaar zijn getraind. Dat is precies wat NIS2, de AVG en ISO 27001 van je vragen: niet alleen techniek, maar ook bewustwording.
Hoe je begint
Begin niet met een straf- of controlecultuur. Het bericht aan je team moet zijn: iedereen kan erin trappen, ook wij, en daarom oefenen we. Wie een simulatie meldt, doet het goed. Wie erin trapt, leert iets. Alleen zo ontstaat een team dat durft te melden, en dat is uiteindelijk wat een aanval stopt.
Bij Orange Warriors regelen wij het programma volledig: de simulaties, de trainingen, de rapportage. Jij hoeft er geen omkijken naar te hebben. Security awareness training zit in het Sentinel-pakket en is voor de andere pakketten op aanvraag beschikbaar.
Bronnen en verder lezen
- NCSC: adviezen over phishing en digitale weerbaarheid.
- Digital Trust Center: bewustwording als basisprincipe voor het MKB.
- Fraudehelpdesk: actuele fraudevormen en meldpunt.
