Veiligheidsbewustzijn versus technische maatregelen: wanneer welke investering loont

Wat technische maatregelen niet voor je oplossen

Een firewall is geen mensenmanager. Systemen beschermen de infrastructuur; ze sturen geen gedrag aan. Die kloof wordt snel onderschat, zeker in organisaties waar informatiebeveiliging als een puur technisch vraagstuk wordt gezien en niet als een organisatievraagstuk.

Concreet: een medewerker die een bijlage opent van een "collega" omzeilt virusscanners zodra het bericht net genoeg vertrouwen wekt. De aanval slaagt niet omdat de techniek faalde. De aanval slaagt omdat niemand de medewerker heeft geleerd te twijfelen aan dat ene afwijkende e-mailadres. Techniek beschermt de omgeving; mensen beschermen de toegang tot die omgeving.

Wat security awareness (beveiligingsbewustzijn) precies is

Security awareness, of beveiligingsbewustzijn, is de mate waarin medewerkers digitale risico's herkennen, begrijpen en er veilig naar handelen. Het draait om kennis, houding en gedrag. Niet om het afvinken van een verplichte e-learning eens per jaar.

Een goed awarenessprogramma bevat vijf kerncomponenten: kennisopbouw over concrete dreigingen, gedragsverandering door herhaling en oefening, praktische simulaties zoals phishingproeven, directe feedback na elke oefening, en duidelijke meldprocedures zodat medewerkers weten wat ze moeten doen bij twijfel. Security awareness en technische maatregelen zijn geen concurrenten. Ze zijn aanvullend. De vraag is niet welke van de twee je kiest, maar in welke volgorde en met welke nadruk.

De dreigingen waar medewerkers dagelijks mee te maken krijgen

Abstracte dreigingen overtuigen niemand. Concrete voorbeelden wel. Uit NCSC-onderzoek blijkt dat 22% van de mkb-medewerkers klikt op een link in een generieke phishingmail. Bij phishingsimulaties die van een interne afzender lijken te komen, kan dat percentage bij een eerste test oplopen tot meer dan 40%. En in 2025 werd 31% van de gemelde datalekken veroorzaakt door menselijke fouten: verkeerd geadresseerde e-mails, foutieve bijlagen, inloggegevens ingetikt op een nagemaakte pagina.

Dit zijn geen incidenten die alleen grote bedrijven treffen. De sectoren met de hoogste risicoblootstelling zijn precies de organisaties die zichzelf vaak als te klein of te onbekend beschouwen om een doelwit te zijn: zorginstellingen met gevoelige patiëntdata, kinderopvangorganisaties met beperkte IT-capaciteit, en logistieke bedrijven die werken met tientallen externe leveranciers en transportpartners.

Drie scenario's die de dreiging herkenbaar maken

Bij een kinderopvangorganisatie ontvangt een medewerker een nep-factuur van een "bekende leverancier" met een gewijzigd rekeningnummer. Ze betaalt. Veel gangbare technische maatregelen hadden dit waarschijnlijk niet volledig voorkomen zonder aanvullende procescontroles, de factuur zag er precies zo uit als altijd. Extra waarborgen zoals een dubbele handtekening bij betalingen of leveranciersvalidatie kunnen in dit soort gevallen wél het verschil maken.

Bij een zorginstelling tikt een verpleegkundige haar inloggegevens in op een nagemaakte portaalpagina die ze via e-mail ontving. De aanvaller krijgt toegang tot patiëntdossiers. Bij een transportbedrijf klikt een planner op een link in een "spoedopdracht" van een onbekende opdrachtgever. Ransomware legt de hele planning plat. In alle drie de gevallen was menselijk gedrag de doorslaggevende factor, onderstreept door het eerdergenoemde gegeven dat 74% van de succesvolle aanvallen een menselijke component heeft.

Van nulmeting naar een security awareness-programma dat daadwerkelijk werkt

Eenmalige trainingen zonder opvolging zijn doorgaans weinig effectief. Studies tonen aan dat doorlopende aanpakken aantoonbaar betere resultaten geven. Een verplichte module in januari, een quiz in december, en daartussen niets: dat verandert geen gedrag. Een awarenessprogramma dat werkt, volgt een ander ritme.

Fase 1: begin met meten wat er al is

Zonder startpunt weet je niet of je verbetert. Een ongekondigde phishingsimulatie of een gerichte kennistoets geeft direct inzicht in het huidige risicogedrag van medewerkers. Kynexis Informatiebeveiliging start elk traject met een nulmeting of Cyber RI&E die precies dat in kaart brengt: waar zitten de blinde vlekken, welke doelgroepen lopen het meeste risico, en wat zijn de prioriteiten. Geen theoretisch rapport, maar een uitvoerbare roadmap.

Fase 2: training, simulatie en herhaling in een werkend ritme

Eerst het management en bestuur trainen. Niet omdat zij de grootste klikkers zijn, maar omdat draagvlak van bovenaf bepalend is voor de slagingskans van het hele programma. Daarna volgt een basistraining voor alle medewerkers, gevolgd door maandelijkse phishingsimulaties en korte microlearning-modules voor herhaling. Herhaling is het sleutelwoord: één training per jaar verandert geen gedrag. Rolspecifieke verdieping voor finance, HR en IT maakt het programma relevanter en effectiever dan een generieke aanpak voor iedereen.

Fase 3: verankering in processen en beleid

Beveiligingsbewustzijn dat niet verankerd is in processen verdampt. Neem het op in de onboarding van nieuwe medewerkers, koppel bevindingen aan auditresultaten, en bespreek voortgang periodiek in bestuurlijke rapportage. Voor organisaties zonder interne securitycapaciteit biedt CISO as a Service van Kynexis Informatiebeveiliging een doorlopende sparringpartner op strategisch en operationeel niveau, zodat directie en toezicht altijd stuurinformatie hebben zonder dat een fulltime functionaris noodzakelijk is.

Hoe je meet of het programma effect heeft

Meten zonder doel levert cijfers op, geen inzicht. De KPI's die er werkelijk toe doen, zijn het phishingklikpercentage voor en na simulaties, het afrondingspercentage van trainingen, het kennisniveau gemeten met gerichte quizzes, en het aantal meldingen van verdachte situaties door medewerkers zelf. Dat laatste is het meest waardevolle signaal: een medewerker die iets verdachts meldt, is een medewerker die handelt.

Een bruikbaar raamwerk is het Kirkpatrick-model. Meet niet alleen of mensen een training volgden (niveau 1: bereik), maar ook of zij er iets van leerden (niveau 2: kennis), of zij anders zijn gaan handelen (niveau 3: gedrag), en of dat merkbaar minder incidenten oplevert (niveau 4: resultaat). Organisaties die alleen het afrondingspercentage meten, weten of de module is opgestart, niet of er iets is veranderd.

Tooling kiezen die bij je organisatie past

Er zijn vier hoofdcategorieën. E-learningplatformen zijn sterk in schaalbaarheid en voortgangsbeheer: geschikt voor basistraining en compliance, minder geschikt als je echt gedrag wilt meten. Phishingsimulators tonen precies hoe medewerkers reageren in een realistische situatie; ze werken het best als onderdeel van een bredere aanpak, niet als losse maatregel. Microlearning leent zich goed voor frequente korte herhaling, maar vervangt geen diepere training. Workshops bieden de meeste interactie en zijn het sterkst voor gedragsverandering op maat, maar schalen minder goed. Gecombineerde aanpakken leveren doorgaans betere resultaten op dan één enkel middel. De keuze hangt af van je doelgroep, je budget en de fase van je programma.

Wanneer welke investering het meeste oplevert

De keuze tussen techniek en security awareness is geen óf-óf-vraag. Het is een prioriteringsvraag. Een organisatie die nog geen basisbeveiliging heeft, meervoudige verificatie, patchmanagement en toegangsbeheer op orde, investeert daar eerst in. Die basis moet staan voordat een bewustwordingsprogramma optimaal rendeert.

Zodra die basis er is, kan investeren in security awareness (beveiligingsbewustzijn) een kosteneffectieve manier zijn om het resterend menselijk risico te verminderen. De reden is eenvoudig: techniek beschermt systemen, maar 74% van de aanvallen passeert die systemen via mensen. Het terugdringen van menselijk risicogedrag raakt direct de grootste resterende kwetsbaarheid. Auditbevindingen en risicoanalyses geven het beste houvast voor deze afweging; zij wijzen uit waar de echte kwetsbaarheden zitten en in welke volgorde maatregelen prioriteit verdienen.

Hoe Kynexis Informatiebeveiliging hierbij ondersteuning biedt

Kynexis Informatiebeveiliging start elk traject met een nulmeting of GAP-analyse om de huidige situatie objectief in kaart te brengen. Bevindingen worden vertaald naar een geprioriteerde roadmap met heldere eigenaarschappen, geen stapel aanbevelingen die niemand oppakt. Boardroomtraining zorgt ervoor dat directie en toezicht begrijpen wat op het spel staat en welke keuzes nodig zijn. De implementatie van een awarenesscyclus wordt van begin tot borging begeleid.

De aanpak is onafhankelijk en risicogestuurd. Dat betekent: geen trainingen uitvoeren om een vinkje te zetten, maar werken aan aantoonbare verbetering die ook bij een audit standhoudt. Voor organisaties in het mkb, de zorg, de kinderopvang en het sociaal domein zonder interne securitycapaciteit biedt CISO as a Service een structurele oplossing op strategisch en operationeel niveau.

Begin morgen: een starterschecklist

Technische maatregelen en security awareness versterken elkaar. De vraag is niet welke investering loont, maar in welke volgorde en met welke balans. Organisaties die beide lagen serieus nemen, zijn structureel weerbaarder dan organisaties die alleen in techniek investeren of alleen in training.

Gebruik deze vijf stappen om direct te beginnen:

1. Voer een nulmeting uit.Breng het huidige kennisniveau en risicogedrag in kaart met een phishingsimulatie of kennistoets.
2. Betrek de directie.Draagvlak van bovenaf bepaalt of het awarenessprogramma slaagt of verzandt.
3. Plan een eerste phishingsimulatie.Zonder meting weet je niet waar je staat en kun je niet verbeteren.
4. Bepaal drie meetbare KPI's.Klikpercentage, trainingsafronding en het aantal meldingen zijn een goede start.
5. Richt een eerste trainingscyclus in.Basistraining voor iedereen, gevolgd door maandelijkse herhaling en rolspecifieke verdieping.

Wil je weten waar jouw organisatie nu staat op het gebied van security awareness? Neem contact op met Kynexis Informatiebeveiliging voor een nulmeting of GAP-analyse. Geen verkooppraatje, maar een eerlijk beeld van je huidige risicoprofiel en een concrete eerste stap.