Veel organisaties zetten security awareness training in om medewerkers weerbaarder te maken tegen social engineering. Toch groeit de twijfel: succesvolle aanvallen nemen toe, terwijl trainingen vaak hetzelfde rondje draaien. Wat zegt dat over de waarde van awareness? En vooral: hoe maak je training wél nuttig in een wereld waarin aanvallers sneller, slimmer en vaker personaliseren?
De kern is dat awareness training maar twee doelen dient: voorkomen dat medewerkers door slechte inschatting een insider-risico worden, en vooral sociale engineering beter kunnen weerstaan. Maar hoe je dat aanpakt, bepaalt of je effect ziet—of alleen vinkjes.
Waarom security awareness training vaak verandert in compliance theater
Volgens meerdere security- en adviesprofessionals loopt het vaak mis in de uitvoering. Programma’s zijn repetitief en generiek, waardoor ze voor deelnemers weinig verschil lijken te maken. Bovendien dwingen sommige vereisten organisaties om jaarlijks dezelfde inhoud opnieuw te leveren, ook wanneer medewerkers het al kennen.
Dat creëert een gevaarlijk effect: training wordt een jaarlijkse juridische of verzekeringsverplichting, niet een verbetering van gedrag. Daardoor ontbreekt soms de aansluiting met de actuele dreigingen waar medewerkers in de praktijk mee te maken krijgen.
Een extra complicatie is dat veel awarenessprogramma’s vooral compliance bewijzen in plaats van een echte basislaag op te bouwen. Je kunt dan eindigen met “goed gedaan” in rapportages, terwijl het risico op het werkvloer-niveau blijft bestaan.
Waar awareness wél kan werken (maar alleen in specifieke situaties)
Dat awareness training niet altijd werkt, betekent niet dat het nooit effect heeft. Meerdere experts geven aan dat het vooral resultaat oplevert voor situaties die in de training daadwerkelijk zijn afgedekt. Het probleem is dat aanvallers blijven schuiven: technieken, timing en kanalen veranderen sneller dan trainingsinhoud kan bijbenen.
Daarnaast is de verwachting die organisaties hebben niet altijd realistisch. Training kan helpen om betere reacties te stimuleren, maar het kan niet het hele arsenaal aan beveiliging vervangen. De training moet dus één schakel zijn in een breder geheel.
Een praktische conclusie: als je training alleen gebruikt om mensen te “leren herkennen”, zonder dat er goede processtappen, identiteitsbescherming, technische controls en duidelijke verificatieprocedures zijn, dan verleg je het probleem naar het individu.
De invloed van AI: aanvallen zijn sneller en beter gepersonaliseerd
Een belangrijk argument voor herontwerp is de modernisering van aanvallen door AI. In plaats van volledig nieuwe trucs is het vooral oude phishing die wordt opgewaardeerd: teksten zien er verzorgder uit, de boodschap voelt relevanter en het geheel kan op schaal worden gegenereerd.
Daar komt bij dat social engineering niet alleen “in e-mail” gebeurt. Aanvallers richten zich ook op mobiele en messaging-kanalen, waar medewerkers op elk moment beslissingen moeten nemen. De training moet dan aansluiten op die context, niet op een verouderd desktopbeeld.
Daarom wordt de vraag steeds vaker: kun je mensen trainen om AI-gestuurde manipulatie te herkennen, terwijl de aanvallen sneller evolueren dan de cursusinhoud? Het antwoord dat uit de discussie naar voren komt: awareness blijft nodig, maar het kan niet de enige verdediging zijn.
Waarom de verdediging asymmetrisch is
Social engineering heeft een structureel voordeel. Verdedigers moeten elke keer goed zitten; aanvallers hoeven maar één keer succesvol te zijn. Dat is de klassieke asymmetrie tussen aanval en verdediging.
Daarbovenop is er een tijdsprobleem. Training richt zich vaak op patronen van “gisteren”. Maar wat vandaag herkenbaar is, kan snel alweer achterhaald zijn. Bovendien maakt het verschil in psychologie uit: mensen verwerken en onthouden niet allemaal op dezelfde manier, zeker niet wanneer hun werk niet draait om het herkennen van trucs.
Je kunt dit niet volledig “oplossen” met awareness, maar je kunt de impact verkleinen door training te combineren met technologie en door gedrag te stimuleren op momenten dat het ertoe doet.
Het menselijke geheugenprobleem: leerstof verdwijnt snel
Een cognitieve insteek laat zien waarom awareness training lastig is. Het doel is om kennis op te slaan in het langetermijngeheugen én om in het juiste moment de juiste actie te activeren (bijvoorbeeld negeren of melden). In de praktijk is vergeten echter de standaard: geheugen vervaagt en informatie wordt niet automatisch “op het juiste moment” opgehaald.
Daarom is frequente vernieuwing nodig. Tegelijk is dat nog niet genoeg, want weten wat je moet doen betekent niet automatisch dat je het in de praktijk ook toepast wanneer je een verdacht bericht ontvangt.
Wat dan helpt zijn gedragsgerichte hulpmiddelen: behavioral nudges die informatie heractiveren in concrete context. In plaats van alleen te herhalen “herken de phish”, gaat het meer om: wat doe je precies wanneer je die situatie ziet?
Van herkennen naar gedrag: meetbare routines voor weerbaarheid
Een terugkerend voorstel is om security awareness training te verbinden met meetbaar gedrag. Denk aan het consequent rapporteren van verdachte berichten en het correct gebruiken van multi-factor authenticatie (MFA).
Als je die gedragingen centraal zet, verschuift de focus. Medewerkers worden niet langer uitsluitend beoordeeld op “weten wat phishing is”, maar op hoe ze handelen. Dat kan ook culturele winst geven: niet alleen angst of controle, maar een leer- en responscultuur.
Om dat te laten werken moet training niet één keer per jaar plaatsvinden, maar frequenter en in kortere cycli. Bovendien moet je inhoud aansluiten op de rollen en verantwoordelijkheden van medewerkers, zodat de training relevanter voelt.
Training is nooit de enige maatregel
Meerdere experts benadrukken dat awareness niet kan concurreren met een moderne security architectuur. Als technische controles ontbreken, identiteit niet goed beschermd is of verificatieprocessen onduidelijk zijn, dan wordt training een doekje voor het bloeden.
Wat wél logisch is: combineer awareness met sterke identity protections, duidelijke verificatiestappen en technische maatregelen die phishing en accountmisbruik beperken. Zo krijgt gedrag ondersteuning in plaats van dat mensen alleen moeten “redden wat er te redden valt”.
Deze benadering sluit ook aan bij de bredere gedachte dat beveiliging zowel een menselijk als een technisch systeem is.
Praktische aanpak: zo maak je security awareness training effectiever
Als je security awareness training wilt herontwerpen richting meer effect, kun je starten met een paar concrete lijnen:
- Maak het actueel: verlaag de kans dat je medewerkers verdedigt tegen verouderde patronen.
- Focus op gedrag: formuleer routines zoals melden van verdachte communicatie en correct gebruik van MFA.
- Train frequenter: kortere en terugkerende interventies werken vaak beter dan één jaarlijkse cursus.
- Koppel aan context: stem de boodschap af op de rol en het moment waarop medewerkers beslissingen nemen.
- Ondersteun met technologie: voer security controls en verificatiestappen parallel uit zodat mensen niet alles alleen hoeven te beoordelen.
Wil je dit vertalen naar je dagelijkse praktijk? Dan loont het om ook te kijken naar meldcultuur en respons. Als medewerkers weten wat ze moeten doen na een verdachte melding, ontstaat er een echte verdedigingslus—niet alleen bewustwording.
Meerwaarde in een bredere beveiligingsaanpak
Dat de impact van security awareness training ter discussie staat, betekent niet dat je ermee moet stoppen. Wel is het een signaal dat de aanpak die je “altijd al zo deed” mogelijk niet meer aansluit. Met AI-gedreven social engineering wordt het verschil tussen generiek en gericht snel zichtbaar.
De belangrijkste verschuiving is: behandel awareness niet als eindpunt, maar als onderdeel van een systeem. Dat systeem bestaat uit techniek, processen en gedragsinterventies die elkaar versterken.
Als je dat verder wilt aanscherpen met actuele incident- en kwetsbaarheidsinzichten, dan passen ook verdiepingen rond social engineering en beschermingsmaatregelen bij het bredere plaatje. Bijvoorbeeld: Wazza phishkit: multi-stage routing uitgelegd helpt om te begrijpen hoe aanvallen zich iteratief opbouwen, waardoor “herkenning” alleen vaak niet genoeg is.
Ook relevant is het besef dat aanvallers misbruik maken van vertrouwen en context. Dat zie je terug in verschillende soorten aanvallen; daarom blijft training, mits herontworpen, een nuttige laag.
Conclusie: security awareness training is niet dood, maar moet veranderen
Security awareness training is niet per definitie ineffectief—maar de traditionele versie werkt voor veel organisaties onvoldoende. Het faalt vaak door compliance-theater, generieke inhoud en een gebrek aan aansluiting op hoe aanvallen in de praktijk evolueren, versnellen en personaliseren.
De beste route is een mix van frequente, gedragsgerichte training, contextgedreven interventies en technische/operationele controls. Dan wordt awareness geen checkbox, maar een echt onderdeel van je verdediging tegen social engineering.
Bron: https://www.securityweek.com/security-awareness-training-isnt-dead-but-it-needs-a-rethink/
