Het effect van security awareness meten doe je door concrete gedragsindicatoren bij te houden, zoals klikpercentages op phishing simulaties, meldingsgedrag bij verdachte e-mails en de resultaten van kennistoetsen. Een goed security awareness programma combineert kwantitatieve data met kwalitatieve observaties, zodat je niet alleen weet wat medewerkers kennen, maar ook hoe zij in de praktijk handelen. In dit artikel beantwoorden we de meest gestelde vragen over het meten van cybersecurity bewustzijn.
Welke meetbare indicatoren laten zien of security awareness werkt?
De meest betrouwbare indicatoren voor security awareness meten zijn gedragsgebaseerde KPI’s: het percentage medewerkers dat klikt op een gesimuleerde phishing e-mail, het aantal gemelde verdachte berichten via een officieel kanaal, de snelheid waarmee incidenten worden gerapporteerd, en de score op periodieke kennistoetsen. Deze KPI’s samen geven een realistisch beeld van het bewustzijnsniveau binnen de organisatie.
Naast deze directe indicatoren zijn er ook indirecte signalen die iets zeggen over de volwassenheid van het security awareness programma. Denk aan het aantal beveiligingsincidenten dat door medewerkers zelf wordt ontdekt en gemeld, de deelnamegraad aan trainingen en de mate waarin medewerkers proactief vragen stellen over informatiebeveiliging. Een stijging in het aantal meldingen is overigens een positief teken, niet een negatief: het betekent dat medewerkers actiever betrokken raken.
Goede KPI’s voor security awareness zijn onder andere:
- Phishing klikratio: het percentage medewerkers dat klikt op een gesimuleerde phishingmail
- Meldingsratio: het percentage medewerkers dat een verdachte e-mail actief meldt
- Trainingscompletie: het percentage medewerkers dat verplichte trainingen afrondt
- Kennisscore: de gemiddelde score op toetsen na een training
- Herhalingsgedrag: hoe snel medewerkers terugvallen in risicovol gedrag na een training
- Incidentresponstijd: hoe snel een medewerker een incident meldt nadat hij het ontdekt
Combineer altijd meerdere indicatoren. Eén hoge score op een kennistoets zegt weinig als medewerkers in de praktijk nog steeds op phishinglinks klikken.
Wat is het verschil tussen gedragsverandering en kennisniveau meten?
Kennisniveau meten gaat over wat medewerkers weten: kunnen ze een phishingmail herkennen, kennen ze het wachtwoordbeleid, weten ze wat ze moeten doen bij een datalek? Gedragsverandering meten gaat over wat medewerkers daadwerkelijk doen in de praktijk. Het verschil is cruciaal: kennis leidt niet automatisch tot veilig gedrag, en dat maakt gedragsmeting waardevoller voor het beoordelen van het effect van een security awareness training.
In de praktijk zien we regelmatig dat medewerkers na een training uitstekend scoren op een kennistoets, maar een week later toch klikken op een gesimuleerde phishingmail. Dit fenomeen, ook wel de kennis-gedragskloof genoemd, laat zien waarom beide dimensies gemeten moeten worden.
Kennisniveau meten in de praktijk
Kennisniveau meet je met toetsen, quizzen en assessments die direct na een training worden afgenomen. Je kunt ook gebruikmaken van scenario-gebaseerde vragen waarbij medewerkers een situatie beoordelen. Het voordeel is dat dit eenvoudig schaalbaar is en eenvoudig te automatiseren valt via een leerplatform. Het nadeel is dat het geen garantie biedt voor daadwerkelijk veilig gedrag.
Gedragsverandering meten in de praktijk
Gedragsverandering meet je door te observeren wat medewerkers doen, niet wat ze zeggen of weten. Phishing simulaties zijn hiervoor het meest gebruikte instrument. Aanvullend kun je kijken naar het gebruik van wachtwoordmanagers, de naleving van het clean desk beleid, het meldingsgedrag bij verdachte situaties en het gebruik van multi-factorauthenticatie. Deze data geven een realistischer beeld van het werkelijke cybersecurity bewustzijn binnen de organisatie.
Hoe gebruik je phishing simulaties als meetinstrument?
Phishing simulaties zijn een van de meest effectieve methoden om security awareness te meten en te verbeteren. Je stuurt medewerkers een nep-phishingmail en meet wie erop klikt, wie inloggegevens invult en wie de mail meldt als verdacht. Door dit periodiek te herhalen, zie je of het gedrag verbetert over tijd en welke groepen extra aandacht nodig hebben.
Voor een betrouwbaar meetinstrument zijn een paar spelregels belangrijk. De simulaties moeten realistisch zijn en aansluiten bij actuele aanvalstechnieken. Denk aan mails die lijken te komen van een collega, een bekende softwareleverancier of een overheidsinstantie. Varieer ook in moeilijkheidsgraad: een te makkelijke phishingmail levert geen bruikbare data op, een te moeilijke ontmoedigt medewerkers onnodig.
Minstens zo belangrijk als de meting zelf is wat er daarna gebeurt. Medewerkers die op de link klikken, moeten direct een leermoment krijgen, geen schuldgevoel. Het doel is bewustwording en gedragsverandering, niet bestraffing. Koppel de resultaten van phishing simulaties altijd aan een vervolgtraining of gerichte communicatie voor de groepen die het meest kwetsbaar bleken.
Bij pentesten en phishing tests wordt ook gekeken naar hoe realistisch de aanvalsvectoren zijn. Een goede simulatie bootst de tactieken na die echte aanvallers gebruiken, zodat de meting representatief is voor het werkelijke risico.
Wanneer is een nulmeting nodig voor security awareness?
Een nulmeting is altijd nodig voordat je een security awareness programma start of significant aanpast. Zonder nulmeting weet je niet wat het beginpunt is, en kun je later niet aantonen of het programma effect heeft gehad. De nulmeting geeft inzicht in het huidige kennisniveau, het gedrag en de risicogebieden die de meeste aandacht verdienen.
De nulmeting bestaat idealiter uit drie onderdelen. Ten eerste een kennistoets om het basisniveau van informatiebeveiligingsbewustzijn in kaart te brengen. Ten tweede een phishing simulatie zonder voorafgaande aankondiging, om een eerlijk beeld te krijgen van het werkelijke klikgedrag. Ten derde een korte enquête of interview om de beleving en de cultuur rondom informatiebeveiliging te peilen.
Een nulmeting is ook relevant in het kader van NIS2-compliance. De Cyberbeveiligingswet verplicht organisaties om aantoonbaar te werken aan bewustwording en training van medewerkers en bestuurders. Een gedocumenteerde nulmeting, gevolgd door meetbare verbeteringen, is een sterke onderbouwing bij toezicht door de RDI of andere toezichthouders.
Herhaal de nulmeting periodiek, minimaal jaarlijks, om voortgang te meten en nieuwe risico’s te signaleren. Dreigingslandschappen veranderen snel, en wat vorig jaar een adequaat bewustzijnsniveau was, kan dit jaar onvoldoende zijn.
Hoe rapporteer je security awareness resultaten aan het management?
Rapporteer security awareness resultaten aan het management in termen van risicoreductie en bedrijfsimpact, niet in technische details. Laat zien hoe het klikpercentage op phishing simulaties is gedaald, hoeveel medewerkers trainingen hebben afgerond en hoe het meldingsgedrag is verbeterd. Koppel deze cijfers aan de potentiële schade die voorkomen is, zodat de waarde van het programma zichtbaar wordt.
Een effectief managementrapport over KPI’s voor security awareness bevat de volgende elementen:
- Trend over tijd: laat zien hoe indicatoren zich ontwikkelen ten opzichte van de nulmeting en vorige rapportageperiodes
- Risicogroepen: welke afdelingen of functies scoren structureel lager en verdienen extra aandacht?
- Incidentkoppeling: zijn er incidenten geweest die verband houden met menselijk gedrag, en wat was de respons?
- Actiepunten: concrete aanbevelingen voor de komende periode op basis van de data
- Compliance-status: in hoeverre voldoet de organisatie aan de trainingsverplichtingen onder geldende wet- en regelgeving
Houd de rapportage beknopt en visueel. Bestuurders hebben behoefte aan een helder dashboard, niet aan een uitgebreid technisch verslag. Gebruik grafieken voor trends, kleurcodering voor risicostatus en een korte samenvatting van maximaal een halve pagina. Voeg een uitgebreidere bijlage toe voor de CISO of de informatiebeveiligingsfunctionaris die de details nodig heeft.
Vergeet niet dat de NIS2-wetgeving bestuurders verplicht actief betrokken te zijn bij cybersecurity. Rapportages moeten hen in staat stellen om weloverwogen beslissingen te nemen over risicobeheersmaatregelen. Een goede rapportage is daarmee niet alleen een verantwoordingsinstrument, maar ook een sturingsinstrument voor de organisatie.
Hoe Q-Cyber helpt met het meten van security awareness
Wij helpen organisaties om security awareness niet alleen te organiseren, maar ook aantoonbaar te maken. Of je nu een nulmeting wilt uitvoeren, phishing simulaties wilt opzetten of resultaten wilt vertalen naar een managementrapportage: wij bieden een pragmatische aanpak die aansluit op jouw organisatie en de geldende wet- en regelgeving.
Wat wij concreet voor je kunnen doen:
- Uitvoeren van een nulmeting inclusief phishing simulatie en kennistoets
- Opzetten van een periodiek meetprogramma met relevante KPI’s voor security awareness
- Verzorgen van trainingen voor medewerkers en bestuurders, inclusief de verplichte bestuurderstraining onder de Cyberbeveiligingswet
- Schrijven van rapportages en beleidsdocumenten die aansluiten op NIS2-vereisten
- Adviseren over de inrichting van een structureel security awareness programma via onze Continuous-Q dienstverlening
Wij werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd advies dat past bij jouw specifieke situatie. Wil je weten hoe jouw organisatie er nu voor staat? Neem contact met ons op en we bespreken samen de eerste stap.
Gerelateerde artikelen
- Informatiebeveiliging in de zorg: speciale eisen
- Kun je met ISO 27001 tegelijk voldoen aan NIS2?
- Wat is endpoint security?
- Wat is NIS2 en wat betekent het voor jouw bedrijf?
- Wat is een DPIA en wanneer is het verplicht?
- Welke compliance vereisten gelden voor pentesten?
- Hoeveel bedrijven hebben te maken met cybercriminaliteit?
- Wat is threat modeling in pentesten?
- Hoe combineer je pentesten met andere security assessments?
- Welke sectoren zijn verplicht tot pentesten?