Normity

Security awareness is de mate waarin medewerkers bewust zijn van informatiebeveiligingsrisico's en gepast handelen om incidenten te voorkomen. Het omvat kennis (wat is phishing?), houding (veiligheid is belangrijk) en gedrag (niet klikken op verdachte links). Awareness is de menselijke firewall — vaak de zwakste schakel in beveiliging.

ISO 27001 eist expliciet awareness-training voor alle medewerkers die informatie verwerken. Meer dan 80% van incidenten begint bij menselijk gedrag: phishing, verkeerde e-mails, zwakke wachtwoorden. Zonder awareness zijn technische maatregelen half werk. Awareness is zowel een control als een cultuur.

Effectieve methoden combineren meerdere vormen: e-learning modules, korte video's, phishing-simulaties, nieuwsbrieven, tijdige waarschuwingen bij actuele dreigingen en contextuele reminders (bijvoorbeeld bij USB-poortgebruik). Eenmalige sessies werken niet; herhaling en relevantie wel. Maximaal een paar minuten per bericht, gespreid over het jaar.

Minimaal jaarlijks (ISO-eis), maar effectief is continu: maandelijkse korte berichten, kwartaaloefeningen, nieuwe medewerkers direct onboarden. Bij incidenten of nieuwe dreigingen extra aandacht. Eenmalige training vergeten mensen binnen weken — micro-learning werkt beter dan eens per jaar een hele dag.

Een phishing-simulatie is een gecontroleerd, getest phishing-bericht dat je zelf naar medewerkers stuurt om te zien wie erin trapt. Resultaten worden anoniem gerapporteerd; trainingen worden gericht op zwakkere groepen. Simulaties werken alleen als ze worden gevolgd door korte uitleg — niet als shame-mechanisme.

Meet via: klikpercentages in phishing-simulaties, aantal gemelde verdachte mails, voltooiingspercentage van trainingen, quizresultaten en aantal incidenten gerelateerd aan menselijk gedrag. Trendanalyse is belangrijker dan absolute cijfers: gaat de organisatie vooruit? Rapporteer KPI's in de managementreview.

Security culture is de heersende houding en het gedrag rondom beveiliging binnen een organisatie. Positieve security culture: medewerkers durven incidenten te melden zonder angst, managers leven het voorbeeld, veiligheid is geen 'rem' maar een gezamenlijk belang. Cultuurverandering duurt jaren, maar is uiteindelijk de belangrijkste beveiligingsmaatregel.

NIS2 stelt expliciete eisen aan awareness-training voor bestuurders en medewerkers in kritieke sectoren. Bestuurders moeten aantoonbare cybersecurity-kennis hebben en kunnen persoonlijk aansprakelijk zijn bij nalatigheid. Organisaties onder NIS2 moeten awareness-programma's documenteren en periodiek evalueren.