De medewerker doet precies wat in de training is uitgelegd. Hij ziet een onbekende bij een afgesloten afdeling, stelt een vraag en belt het interne meldnummer. Niemand neemt op.
Op het trainingsdashboard staat hij waarschijnlijk op groen. In de praktijk staat hij alleen.
Security awareness zonder oefenen en testen blijft daarom onvolledig. Kennis is nodig, maar pas een realistische situatie laat zien of mensen kunnen handelen én of de organisatie daarachter functioneert.
Je test niet of een medewerker de les heeft onthouden. Je test of de organisatie veilig gedrag mogelijk maakt.
Weten is iets anders dan doen
De meeste medewerkers kennen de bekende regels. Geen onbekende links openen. Geen onbevoegden binnenlaten. Een verdacht verzoek controleren. Toch is het werk nooit zo overzichtelijk als een trainingsmodule.
Een bezoeker zegt dat zijn contactpersoon op hem wacht. Een monteur komt vaker over de vloer. Een directeur wil dat een betaling vandaag nog wordt uitgevoerd. De veilige keuze kost tijd, voelt onbeleefd of past niet bij de routine van de afdeling.
Het NCSC verwoordt het nuchter: kennis en bewustwording maken nog geen gedrag. Daarvoor zijn oefenen, herhalen en testen nodig. Vanuit mijn facilitaire achtergrond herken ik vooral de ruimte tussen beleid en werkdag. De procedure is meestal niet het probleem. De dinsdagmiddag om half vijf is dat wel.
Een test kijkt verder dan de persoon
Een goede awareness-test eindigt niet bij de vraag of iemand “erin trapte”. Stel dat een bezoeker zonder pas wordt tegengehouden. Dan is dat een positieve uitkomst. Maar als de receptie vervolgens geen actuele bezoekerslijst heeft, security niet bereikbaar is en niemand weet wie beslist, is de keten nog steeds kwetsbaar.
Een social-engineeringassessment kijkt daarom naar vier momenten: herkennen, controleren, melden en opvolgen. Het interessante deel zit vaak in de overgang tussen die momenten.
Uit de praktijk
Bij een verzekeraar viel het de receptioniste op dat iemand ongewoon lang in de entreeruimte bleef wachten. Ze sprak hem aan, maar toen hij even later met een grote groep meeliep, meldde ze het niet. Als hij niet bij die groep hoorde, had iemand daar vast wel iets van gezegd.
Bij een grote overheidsinstelling zag een bewaker iemand foto’s maken van camera’s. Hij zat alleen in de loge en kon zijn post niet verlaten. De waarneming kwam niet in het overdrachtsrapport terecht. Pas bij de debriefing bleek het een voorverkenning te zijn geweest.
Dat is ook waarom een laag foutpercentage weinig zegt als alleen de eerste reactie is gemeten. Schijnveiligheid kan net zo goed in een awarenessdashboard zitten als in een camera die niemand bekijkt.
Uit de praktijk
Bij bewaking en receptie is het verloop hoog. Wat bij de eerste toetsing geborgd leek, is een jaar later weggezakt. De trainingsadministratie laat dat niet zien; een nieuwe praktijktoets wel.
Trainen, oefenen en testen hebben elk een eigen functie
Training geeft kennis en een handelingsrichting. Oefenen biedt ruimte om die handeling bewust uit te proberen. Testen laat onverwacht zien wat daarvan overeind blijft.
De volgorde hoeft niet altijd strak te zijn. De functies moeten wel herkenbaar blijven. Wie tijdens een aangekondigde workshop fouten maakt, moet vrij kunnen leren. Wie een onaangekondigde test uitvoert, moet vooraf duidelijke grenzen, privacyafspraken en een goede debriefing regelen.
Het NCSC gebruikt hiervoor de reeks opleiden, trainen, oefenen, testen, evalueren en leren. Die laatste twee woorden worden gemakkelijk vergeten. Een test zonder nabespreking is vooral een uitslag. Een test die leidt tot een eenvoudiger meldroute, gerichte coaching en een nieuwe meting levert verbetering op.
Zo blijft testen veilig en geloofwaardig
Medewerkers hoeven niet publiekelijk te worden gerangschikt. Een test hoort een relevant risico te onderzoeken, geen slimme truc te demonstreren. De scenario’s moeten proportioneel zijn en mogen niemand onnodig beschadigen of vernederen.
Wij bespreken resultaten daarom bij voorkeur als patroon. Welke signalen waren zichtbaar? Waar werd getwijfeld? Was de veilige keuze haalbaar? Wat deed de organisatie met een melding? Individuele feedback kan nuttig zijn, maar dan zorgvuldig en coachend.
Ook positief gedrag verdient aandacht. Een medewerker die een onbekende vriendelijk begeleidt en tegelijk de identiteit controleert, laat zien dat gastvrijheid en beveiliging prima samen kunnen gaan.
Wat meet je dan wél?
Niet alleen deelname en kennis. Kijk vooral naar de praktijk: hoe vaak wordt een relevante situatie herkend, hoe goed wordt gecontroleerd en hoe snel komt een bruikbare melding op de juiste plek? Bekijk daarnaast of dezelfde oorzaak bij een volgende test terugkomt.
In onze eigen rapportages staat standaard:
- welke informatie via openbare bronnen beschikbaar was;
- of verdacht gedrag werd opgemerkt;
- of meelopen mogelijk was;
- of een vals identiteitsbewijs werd herkend;
- of toegang kon worden verkregen onder de dekmantel van een leverancier;
- of een alarm werd veroorzaakt, en wat de reactietijd en de opvolging daarvan waren.
Dat is de vaste set. Wat een test verder aan het licht brengt, benoemen we na afloop.
Een meetreeks hoeft niet ingewikkeld te zijn. Kies één risico, één gewenst gedrag en één opvolgproces. Train daarop, test het en verander wat tegenwerkt. Herhaal daarna een vergelijkbare situatie.
Continuous Security Testing is geen eindeloze stroom verrassingsacties. Het is een rustig ritme van leren, toetsen en verbeteren. E-learning kan daarin de basis leggen, een workshop kan een lastig dilemma bespreekbaar maken en coaching helpt op de werkvloer. De praktijktest laat zien of die onderdelen samen iets veranderen.
Wanneer is awareness volwassen?
Niet wanneer iedereen de module heeft afgerond. Ook niet wanneer één phishingtest goed uitvalt. Een volwassen programma kan uitleggen welke gedragsrisico’s belangrijk zijn, welke ondersteuning medewerkers krijgen en wat er na een melding gebeurt.
Daarmee verschuift de vraag van “hebben onze mensen de training gevolgd?” naar “kan iemand op een lastig moment veilig handelen, en staat de organisatie dan achter die persoon?”
Dat is een betere maat voor weerbaarheid.
Meer weten over de combinatie van leren en testen? Bekijk security awareness bij Cocoon of plan een gesprek.
Veelgestelde vragen
Is een phishingtest voldoende?
Nee. Phishing bestrijkt één kanaal. Telefonische beïnvloeding, bezoekers, fysieke toegang en de opvolging van meldingen vragen andere scenario’s.
Moeten medewerkers weten dat zij worden getest?
Niet altijd. Een oefening wordt meestal aangekondigd; een test kan onverwacht zijn. Op organisatieniveau moeten doel, bevoegdheid, privacy en grenzen wel vooraf zijn geregeld.
Hoe vaak moet je testen?
Zo vaak als risico, verandering en eerdere uitkomsten rechtvaardigen. Een vaste kalender helpt, maar een nieuwe locatie, procedure of leverancier kan eerder aanleiding geven.