Je collega klikt op een link in een e-mail van ‘de IT-afdeling’, voert haar wachtwoord in en pas daarna valt het kwartje: dit was geen echte mail. Te laat. Dit soort momenten gebeurt elke dag, in bedrijven van alle groottes. Niet omdat mensen dom zijn, maar omdat cybercriminelen steeds beter worden in het nadoen van vertrouwde situaties. Cybersecurity awareness gaat over precies dit: het trainen van je instinct om die momenten te herkennen, voordat je klikt.
De zwakste schakel zit niet in je software
Firewalls, antivirussoftware, tweefactorauthenticatie: technische beveiliging is goed en nodig. Maar de meeste succesvolle aanvallen beginnen niet bij een technisch lek. Ze beginnen bij een medewerker die onder tijdsdruk een beslissing neemt. Een accountmanager die een ‘factuur’ opent net voor het weekend. Een receptioniste die een ‘IT-er’ binnenlaat zonder badge. Een HR-medewerker die een bijlage downloadt van een sollicitant.
Menselijk gedrag blijft de grootste beveiligingsrisico in vrijwel iedere organisatie. Niet omdat mensen nalatig zijn, maar omdat aanvallers zich richten op precies die momenten waarop we minder opletten: haast, stress, gewoontes.
Wat cybersecurity awareness wél en niet betekent
Eén keer per jaar een phishingtest versturen en daarna de spreadsheet opbergen: dat is geen awareness. Dat is een administratieve vinkjes-oefening. Echte cybersecurity awareness is gedragsverandering die beklijft. Het verschil zit in herhaling, context en psychologische veiligheid.
Het gaat er niet om dat mensen zich schamen als ze iets fout doen. Het gaat erom dat ze de volgende keer beter herkennen wat er speelt, en weten wat ze moeten doen.
Herken je eigen blinde vlekken: een snelle zelfscan
Voordat je je team traint, is het eerlijk om bij jezelf te beginnen. Beantwoord deze acht vragen eerlijk:
- Gebruik je hetzelfde wachtwoord op meer dan één site of app?
- Klik je op links in e-mails zonder het afzenderadres te controleren?
- Gebruik je openbare wifi zonder VPN voor werkzaken?
- Deel je wachtwoorden mondeling of via WhatsApp met collega’s?
- Heb je ooit een USB-stick van onbekende herkomst in je laptop gestoken?
- Weet je wat je moet doen als je een verdachte e-mail ontvangt?
- Controleer je of een website echt is (niet alleen op het slotje letten)?
- Weet je of jouw e-mailadres in een datalek is opgedoken?
Drie of meer keer ‘nee’ of ‘weet ik niet’? Dan is er werk aan de winkel, en dat geldt voor de meeste mensen.
Stap 1: Breng de dreigingen in kaart die voor jouw situatie relevant zijn
Een advocatenkantoor met vijf medewerkers heeft andere risico’s dan een webshop met dertig fulfilment-medewerkers. Breng eerst in kaart welke dreigingen voor jullie het meest reëel zijn:
- Phishing via e-mail: verreweg het meest voorkomend, voor vrijwel elke sector.
- Smishing (sms-phishing): groeit sterk, vooral gericht op medewerkers die veel met hun telefoon werken.
- CEO-fraude: relevant voor bedrijven waar betalingsopdrachten per e-mail worden geregeld.
- Credential stuffing: aanvallers proberen gelekte wachtwoorden uit op andere diensten, gevaarlijk als medewerkers wachtwoorden hergebruiken.
Praat hier een uurtje over met je team. Je hoeft geen beveiligingsexpert te zijn om dit gesprek te voeren.
Stap 2: Stel een nulmeting vast
Je wilt weten waar je nu staat. Gelukkig zijn er gratis tools die direct bruikbaar zijn:
- Have I Been Pwned (haveibeenpwned.com): controleer of zakelijke of privé-e-mailadressen in bekende datalekken voorkomen.
- Google Phishing Quiz: een korte, interactieve test die laat zien hoe goed je phishingmails herkent.
- DTC Basisscan (digitaltrustcenter.nl): de Nederlandse overheid biedt een gratis scan voor mkb-bedrijven om basisrisico’s in kaart te brengen.
Laat je team deze tools individueel gebruiken. Sla de resultaten op als startpunt, niet als beoordelingsmoment.
Stap 3: Kies het trainingsformaat dat bij je team past
Er is geen one-size-fits-all aanpak. Wij van Tech1.nl zien dat kleine teams (onder de tien personen) het meest hebben aan korte, informele sessies van 20 tot 30 minuten, ook wel microlearning genoemd. Grotere teams profiteren van tabletop-oefeningen: je bespreekt samen een nepscenario (‘stel dat onze boekhouder een valse factuur ontvangt’) en denkt hardop na over hoe je reageert.
Gecontroleerde phishingsimulaties zijn een derde optie, maar die vereisen wat meer voorbereiding. Tools als Gophish (open source) of de gratis laag van KnowBe4 helpen daarbij. Kies de aanpak die past bij je budget en de cultuur van je team.
Stap 4: Voer een gesimuleerde phishingaanval uit
Dit is het gedeelte waar mensen zenuwachtig van worden, maar het hoeft niet confronterend te zijn. Een paar spelregels:
- Communiceer van tevoren dat er op enig moment een test aankomt, maar niet wanneer.
- Gebruik de resultaten om te leren, niet om te straffen.
- Stel de nep-phishingmail in op een realistisch, maar niet gemeen scenario.
Na de test: stuur iedereen die klikte direct een korte uitleg over de herkenningspunten die ze misten. Geen aanklacht, wel een les. Degenen die het goed deden, mogen dat weten ook.
Stap 5: Maak veilig melden de norm
De grootste fout die organisaties maken: medewerkers durven een incident niet te melden omdat ze bang zijn voor de reactie. Het gevolg? Een aanval loopt langer door dan nodig.
Maak duidelijk dat melden altijd beter is dan stilhouden. Geef medewerkers een eenvoudige manier om verdachte e-mails door te sturen (een apart meldadres zoals security@bedrijfsnaam.nl werkt prima) en bedank mensen die iets melden. Letterlijk. Een positieve reactie werkt aanstekelijk.
Stap 6: Van eenmalig naar doorlopend
Een jaarlijkse training is beter dan niets, maar vergeten mensen snel. Borging werkt beter via kleine, regelmatige prikkels:
- Een maandelijkse ‘security-minuut’ in het teamoverleg: één recente phishingmail of nieuw type aanval bespreken.
- Een interne nieuwsbrief of Slack-bericht met een recente hack in het nieuws en wat jullie ervan kunnen leren.
- Signaalwoorden afspreken: als iemand ‘rode vlag’ roept in een gesprek, weet iedereen dat er iets verdachts speelt.
Social engineering in de praktijk: drie scenario’s
Scenario 1: Telefoontje van ‘de helpdesk’. Iemand belt en zegt dat er een probleem is met je account. Hij heeft je naam al, klinkt professioneel en vraagt om je wachtwoord om het te ‘resetten’. Herkenningspunt: een echte helpdesk vraagt nooit om je wachtwoord via telefoon. Zeg dat je terugbelt via het officiële nummer.
Scenario 2: Nep-factuur via e-mail. Een e-mail van ‘een vaste leverancier’ met een gewijzigd rekeningnummer en het vriendelijke verzoek de factuur snel te voldoen. Herkenningspunt: afzenderadres wijkt iets af (leverancier-NL.com in plaats van leverancier.nl), en de urgentie is ongewoon hoog. Bel de leverancier direct op het bekende nummer.
Scenario 3: WhatsApp-verzoek van de ‘directeur’. Je ontvangt een appje van een onbekend nummer dat claimt de directeur te zijn. Er is een noodsituatie en hij vraagt je dringend cadeaubonnen te kopen of een overboeking te doen. Herkenningspunt: het nummer is onbekend, de situatie is ongeloofwaardig urgent. Verificeer altijd via een ander kanaal voordat je iets doet.
Wat te doen als het toch misgaat: de eerste 60 minuten
Snel en doelgericht handelen beperkt de schade. Doorloop deze stappen:
Stap 1: Koppel het apparaat direct los van het netwerk (wifi uit, netwerkkabel eruit). Niet uitzetten, want dat kan forensisch bewijs wissen.
Stap 2: Meld het direct bij de verantwoordelijke binnen je organisatie (IT-beheerder, leidinggevende of de persoon die jullie security regelt).
Stap 3: Wijzig wachtwoorden van alle accounts die mogelijk geraakt zijn, vanaf een ander, schoon apparaat.
Stap 4: Documenteer wat er is gebeurd: welke mail, welke link, welk tijdstip. Dit helpt bij het onderzoek.
Stap 5: Bij financiële schade of diefstal van persoonsgegevens: meld het bij de Autoriteit Persoonsgegevens (verplicht binnen 72 uur bij een datalek) en eventueel bij de politie.
Stap 6: Evalueer na afloop wat er is misgegaan en pas je procedures aan. Niet om iemand te beschuldigen, maar om het de volgende keer te voorkomen.
Cybersecurity awareness is geen project dat je afrondt, het is een gewoonte die je opbouwt. Begin klein: doe de zelfscan, check Have I Been Pwned, plan een half uur met je team. De grootste winst zit niet in dure software, maar in mensen die weten wat ze zien en durven te melden wat ze vermoeden. Wij van Tech1.nl zien dat de organisaties die dit het best aanpakken, niet de meeste tools hebben, maar de meeste gesprekken voeren over wat er bijna mis ging.
