Je stuurt een nep-phishingmail de organisatie in. Twintig procent klikt. Je noteert het, stuurt een reminder en zet het van je af. Drie maanden later stuur je een nieuwe simulatie. Weer twintig procent klikt. Er is niets veranderd.
Dit is het patroon dat wij bij SPS keer op keer tegenkomen. Phishing-simulaties worden ingezet als meetinstrument, maar zelden als fundament voor echte gedragsverandering. Het resultaat: medewerkers voelen zich betrapt, leren niets structureels en het klikpercentage blijft stabiel in de verkeerde richting.
De centrale gedachte in dit artikel: een phishing-simulatie is geen doel op zich. Het is een startpunt. Je leest hoe je van losse simulaties een security-awareness programma maakt dat medewerkers écht verandert in je sterkste verdedigingslinie.
Een simulatie zonder opvolging is een gemiste kans
De meeste organisaties beginnen goed. Ze kiezen een platform, stellen een nep-phishingmail op en versturen die naar alle medewerkers. De klikratio komt binnen, er wordt gerapporteerd aan de directie en daarna gebeurt er weinig.
Wat ontbreekt, is de directe koppeling tussen het moment van klikken en een leerzame interventie. Een medewerker die op een gesimuleerde phishing link klikt, moet op dat exacte moment iets leren. Niet een week later in een groepstraining, maar direct. Een korte uitleg van drie schermen waarom dit een phishingmail was, wat de signalen waren en hoe je het volgende keer herkent.
In de praktijk zien we dat organisaties die deze directe feedback loop inbouwen, hun klikpercentage binnen twee simulatie cycli halveren. Dat is geen toeval, dat is conditionering op het juiste moment.
Een simulatie zonder opvolging levert data op. Simulatie mét opvolging levert gedragsverandering op. Dat onderscheid bepaalt of jouw programma werkt.
Segmenteer je doelgroep, niet iedereen is hetzelfde risico
Een financieel medewerker ontvangt andere phishing pogingen dan iemand op de werkvloer. Directieleden worden vaker aangevallen met gerichte spear-phishing. Iemand die net begint, mist de context die een senior medewerker wel heeft.
Toch behandelen de meeste organisaties iedereen hetzelfde. Dezelfde mail, dezelfde frequentie, hetzelfde leermateriaal. Dat klinkt efficiënt, maar het werkt niet. Een simulatieprogramma dat geen rekening houdt met rollen en risiconiveaus, is een programma dat zijn doelgroep mist.
Segmenteer op basis van functie, afdeling en eerder gedrag. Medewerkers die eerder klikten, krijgen vaker een simulatie en intensievere opvolging. Risicovolle rollen zoals finance, HR en directie krijgen scenario’s die aansluiten bij hun werkelijkheid. Een CFO die een nep-mail ontvangt over een factuurverzoek herkent dat beter dan een generieke mail over een pakketlevering.
Bij SPS merken we dat gerichte segmentatie de effectiviteit van een awareness-programma significant verhoogt. Niet door meer te doen, maar door relevanter te zijn.
De inhoud van je trainingen bepaalt het rendement
Een phishing-simulatie is de test. De training is de voorbereiding én de herhaling. Beide moeten kloppen om effect te hebben.
Effectieve security-awareness trainingen hebben een aantal kenmerken:
- ze zijn kort, bij voorkeur niet langer dan vijf tot tien minuten per module
- ze sluiten aan bij echte dreiging scenario’s die medewerkers herkennen
- ze worden regelmatig herhaald, niet eenmalig uitgerold
- ze bevatten praktische handvatten, geen abstracte theorie
- ze zijn beschikbaar op het moment dat een medewerker ze nodig heeft
Een medewerker die eens per jaar een uur aan security training besteedt, behoudt dat twee weken. Een medewerker die maandelijks een korte module volgt en tussentijds gesimuleerde aanvallen ontvangt, bouwt een reflex op. Dat is het verschil tussen kennis en gedrag.
Koppel je trainingsinhoud ook aan actuele dreigingen. Na een grote phishing campagne in het nieuws, stuur je een korte module over exact dat type aanval. Zo blijft awareness actueel en voelt het niet als een verplichte HR-module, maar als nuttige informatie.
Meting is geen doel, gebruik data om bij te sturen
Veel organisaties zijn tevreden als het klikpercentage daalt. Maar een dalend klikpercentage vertelt je niet genoeg. Het zegt niets over welke medewerkers nog steeds kwetsbaar zijn, welke afdelingen achterblijven of welke simulatie scenario’s het meest misleidend zijn.
Gebruik je data actief om je programma bij te sturen. Kijk niet alleen naar wie klikt, maar ook naar wie rapporteert. Een medewerker die een verdachte mail herkent en meldt bij IT, is net zo waardevol als iemand die niet klikt. Meldgedrag is een van de sterkste indicatoren van een volwassen securitycultuur.
Stel meetbare doelen per kwartaal. Niet “minder klikken”, maar: klikpercentage onder de vijf procent, meldt percentage boven de dertig procent, trainingscompetitie boven de negentig procent. Zo stuur je op gedrag, niet op gevoel.
Wat wij in de praktijk zien, is dat organisaties die hun awareness-data koppelen aan hun bredere securitybeleid, denk aan incidentregistratie en toegangsbeheer, sneller rijpen op het gebied van cybersecurity. Data is een stuurmiddel, geen rapportageverplichting.
Cultuur is de motor achter elk awareness-programma
Techniek helpt. Trainingen helpen. Maar een security-awareness programma dat niet gedragen wordt door de cultuur van een organisatie, verliest altijd.
Als medewerkers het gevoel hebben dat simulaties bedoeld zijn om hen te betrappen of af te rekenen, keren ze zich tegen het programma. Dan worden phishingmails intern gedeeld met een knipoog, zodat collega’s er niet meer in trappen. Dat lijkt slim, maar het ondermijnt precies het leereffect dat je wilt bereiken.
Communiceer helder over het doel van je programma. Geen strafcultuur, maar een leercultuur. Vier verbeteringen openlijk. Benoem afdelingen die hun meld percentage hebben verhoogd. Maak security iets wat je samen doet, niet iets wat IT aan de rest oplegt.
Een concreet voorbeeld: een organisatie die maandelijks in het teamoverleg twee minuten besteedt aan security nieuws, een recente phishing campagne, een tip over wachtwoordbeheer, ziet op termijn meer effect dan een organisatie die jaarlijks een groot trainingsprogramma uitrolt. Regelmatige aandacht wint van incidentele intensiteit.
Veelgestelde vragen over phishing-simulaties en security-awareness
- Hoe vaak moet je een phishing-simulatie uitvoeren?Een goede richtlijn is één simulatie per medewerker per maand, met variatie in type aanval en moeilijkheidsgraad. Medewerkers die eerder klikten, mogen vaker een simulatie ontvangen. Herhaling is essentieel, eenmalige simulaties meten gedrag op één moment en veranderen niets structureels.
- Wat doe je als een medewerker steeds blijft klikken?Stap af van het idee dat herhaling van dezelfde aanpak uiteindelijk werkt. Pas de aanpak aan. Bied een kortere, persoonlijkere training aan in plaats van een standaardmodule. Betrek de leidinggevende erbij, niet als disciplinaire maatregel maar als ondersteuning. Sommige medewerkers hebben meer context en begeleiding nodig voor ze de reflex ontwikkelen, dat is normaal.
- Past een security-awareness programma binnen de NIS2-verplichtingen?Ja. NIS2 vereist dat organisaties maatregelen nemen om menselijke risico's te beheersen, en een aantoonbaar awareness-programma is daar een directe invulling van. Documenteer je simulaties, training completed percentages en verbeteringen. Dat is niet alleen goed voor compliance, het laat ook zien dat jouw organisatie security serieus neemt.Een phishing-simulatie die één keer per jaar wordt uitgestuurd, verandert niets. Een programma dat continu draait, bijstuurt op data en ingebed is in de cultuur van jouw organisatie, dat wel.Wil je weten hoe je dit aanpakt zonder het zelf van de grond af op te bouwen? Neem contact op met SPS of bekijk ons aanbod op het gebied van security-awareness en managed beveiliging.
Wil je weten hoe je dit aanpakt zonder het zelf van de grond af op te bouwen? Neem contact op met SPS of bekijk ons aanbod op het gebied van security-awareness en managed beveiliging.
perts
