Security awareness training

De meeste beveiligingsincidenten beginnen bij een mens die iets doet wat op dat moment logisch leek. Daarom staat opleiding als aparte eis in de Cyberbeveiligingswet. De vraag is niet of u het doet, maar hoe u het doet zodat het effect heeft.

Waarom de jaarlijkse sessie niet werkt

Het gangbare model is een presentatie van een uur, één keer per jaar, met een aanwezigheidslijst als bewijs. Dat vinkt de verplichting af en verandert vrijwel niets. Na twee weken is het grootste deel vergeten, en de mensen die er die dag niet waren hebben het nooit gehad.

Wat aantoonbaar beter werkt is kort en vaak: tien minuten per kwartaal over één concreet onderwerp, aangesloten op iets wat net gebeurd is. Dat kost minder tijd in totaal en blijft beter hangen.

Wat wel werkt

• Eén onderwerp per keer. Deze maand herkennen van verdachte betaalverzoeken, volgende keer omgaan met gegevensdragers.
• Voorbeelden uit uw eigen organisatie. Een nagemaakte factuur van uw eigen leverancier raakt harder dan een algemeen voorbeeld.
• Oefenen in plaats van uitleggen. Een gesimuleerde phishingmail leert meer dan een dia over phishing. Zie phishingsimulaties.
• Rolgericht. De financiële administratie krijgt andere risico's voorgeschoteld dan de buitendienst.
• Meldgedrag belonen. Wie iets meldt moet daar iets positiefs aan overhouden, anders meldt niemand meer.

Wat weggegooid geld is

• Een lange e-learning die medewerkers wegklikken tot de knop verschijnt.
• Resultaten van phishingtests herleidbaar delen met leidinggevenden. Dat levert angst op en daarmee minder meldingen.
• Materiaal dat over een ander soort bedrijf gaat en waar niemand zich in herkent.
• Een jaarlijkse sessie zonder herhaling, puur om de aanwezigheidslijst.

De bestuurstraining is een aparte verplichting

Dit wordt het vaakst gemist. De wet verplicht dat het bestuur zelf scholing volgt over risicobeheer en cyberbeveiliging, zodat het de aanpak kan beoordelen en goedkeuren. Dat is iets anders dan de bewustwording voor medewerkers en moet apart aantoonbaar zijn.

Leg vast: datum, onderwerp, deelnemers en de duur. Zonder die vastlegging kunt u bij een controle niet aantonen dat u eraan voldoet, ook al is het gebeurd. Zie maatregel 7.

Wat u moet vastleggen

• wie wanneer welke training heeft gevolgd, per persoon
• het gebruikte materiaal of de dienst
• de resultaten van oefeningen, op groepsniveau
• welke verbeteringen u naar aanleiding daarvan heeft doorgevoerd
• de bestuurstraining, apart en met datum

Wat het kost

Voor de meeste mkb-organisaties is de combinatie het beste: één keer klassikaal bij de start om het onderwerp neer te zetten, daarna kwartaalonderwerpen die u zelf verzorgt.

Meten of het werkt

Twee getallen volstaan om te zien of het effect heeft. Het aandeel medewerkers dat een gesimuleerde phishingmail meldt in plaats van erop klikt, en het aantal echte meldingen dat binnenkomt. Dat tweede getal hoort te stijgen als uw programma werkt; meer meldingen betekent dat mensen alerter zijn, niet dat het slechter gaat.

Wie het programma trekt

Een trainingsprogramma zonder eigenaar verwatert binnen een jaar. In een kleine organisatie is dat vaak de directeur zelf, die de kwartaalonderwerpen zelf voorbereidt. Vanaf een grotere omvang werkt het beter om dit bij een vaste persoon te beleggen, met vaste momenten in de agenda om het materiaal voor te bereiden. Zonder die vaste rol schuift het programma steeds op naar de achtergrond zodra er iets dringenders speelt. Leg het eigenaarschap vast, net als bij de andere onderdelen van de zorgplicht, zodat het niet bij de persoon maar bij de rol hoort.

De eerste werkweek

Nieuwe medewerkers zijn in hun eerste weken het meest kwetsbaar: ze kennen de collega's nog niet en zijn geneigd verzoeken snel op te volgen om een goede indruk te maken. Neem daarom in de introductie standaard een kort onderdeel op over waar te melden bij twijfel en dat niemand ooit via een spoedverzoek om een betaling of wachtwoord vraagt. Dat kost een kwartier en voorkomt een groot deel van de meest voorkomende fouten.

Een jaarplanning die werkt

Zet vooraf een kalender neer met een onderwerp per kwartaal, afgestemd op wat er in uw organisatie speelt: na een phishingsimulatie het onderwerp dat daaruit naar voren kwam, en één keer per jaar de bestuurstraining apart ingepland. Een jaarplanning voorkomt dat het onderwerp steeds ad hoc wordt gekozen op het laatste moment, wat meestal betekent dat het er helemaal niet van komt.

Wat er in de praktijk misgaat

• Geen eigenaar, dus geen herhaling. De eerste sessie is er wel, de kwartaalopvolging niet.
• Nieuwe medewerkers pas bij de jaarlijkse sessie meenemen. Iemand die drie maanden zonder enige uitleg heeft gewerkt, mist precies de kwetsbare periode.
• Het bestuur overslaan omdat het "vanzelfsprekend" al genoeg weet. De bestuurstraining is een aparte, expliciete verplichting en geen kwestie van aannames.

Klein team, wel een programma

Met een handvol medewerkers is een uitgebreid programma niet nodig, maar de structuur blijft hetzelfde: een vast kwartaalmoment en vastlegging van wie erbij was. Tien minuten in een regulier werkoverleg is voor een klein team vaak genoeg, mits het echt elk kwartaal gebeurt.

Veelgestelde vragen

Hoe vaak moet ik training geven?

De wet noemt geen frequentie. Bij indiensttreding en daarna terugkerend is de norm die in de praktijk wordt gehanteerd; per kwartaal iets kleins werkt beter dan één keer per jaar iets groots.

Moet iedereen dezelfde training krijgen?

Nee, en dat is juist niet verstandig. Stem de inhoud af op de risico's van de functie.

Telt een certificaat van een e-learning als bewijs?

Het is bruikbaar bewijs van deelname. Een toezichthouder kijkt daarnaast of het programma aansluit op uw eigen risico's.

Wat als medewerkers blijven klikken?

Kijk dan eerst naar het proces, niet naar de persoon. Als een medewerker een betaalverzoek zonder tweede controle kan uitvoeren, is dat een procesfout die u niet met training oplost.

Wie moet het programma in onze organisatie trekken?

Eén vaste persoon met tijd ervoor in de agenda. Zonder eigenaar verwatert het programma binnen een jaar.

Hoe pakken we dit aan met een klein team?

Dezelfde structuur, kleiner in omvang: een vast kwartaalmoment van tien minuten binnen een bestaand overleg werkt goed.

Wat nemen we mee in de eerste werkweek van een nieuwe medewerker?

Waar te melden bij twijfel, welke verzoeken nooit via een spoedmail komen, en wie de contactpersoon is voor beveiligingsvragen.

Hoe houden we het bestuur betrokken?

Plan de bestuurstraining als vast, apart agendapunt, los van de reguliere medewerkerstraining, en leg deelname expliciet vast.