Stop met het trainen van mensen. Begin met het repareren van technologie.

Waarom security awareness training een troostrijke leugen is, en wat we in plaats daarvan moeten doen

Vorige week zei Prof. Bibi van den Berg tijdens de ESET Cyber Defence Summit, hoogleraar Cybersecurity Governance aan de Universiteit Leiden en lid van de Cyber Security Raad, iets wat het grootste deel van het publiek allang vermoedde maar weinigen hardop durfden uit te spreken: het onderzoek laat consistent zien dat security awareness training nauwelijks iets verandert aan daadwerkelijk veilig gedrag. Het werd even stil in de zaal. Toen begonnen, langzaam, de hoofden te knikken.

Ik was een van die knikkende hoofden. Niet omdat ik het leuk vind om tegendraads te zijn, maar omdat dit precies overeenkomt met alles wat ik in ruim tien jaar informatiebeveiliging heb gezien. We hebben miljarden uitgegeven aan awareness-programma’s, phishing-simulaties en e-learning modules. En toch blijven datalekken gebeuren. De klikpercentages bewegen nauwelijks. Mensen blijven mensen.

Het onderzoek is binnen, en het is vernietigend

Van den Berg brengt niet zomaar meningen vanaf het podium. Zij en haar collega’s aan de Universiteit Leiden hebben het onderzoek geleverd dat dit onderbouwt. In 2024 publiceerden Prümmer, Van Steen en Van den Berg een meta-analyse waarin 69 studies naar de effectiviteit van cybersecurity training werden onderzocht. Hun conclusie is opvallend: training verbetert weliswaar kennis en bewustzijn, mensen leren in theorie dreigingen herkennen, maar het effect op daadwerkelijk gedrag is een heel ander verhaal. Wanneer studies onafhankelijke groepen gebruikten om echte gedragsverandering te meten, vonden ze slechts een klein, statistisch niet-significant effect. In gewone taal: “mensen weten wat ze zouden moeten doen, maar ze doen het niet betrouwbaar.”

Deze bevinding kwam niet uit de lucht vallen. Een jaar eerder publiceerde hetzelfde onderzoeksteam in hetzelfde tijdschrift een systematische review van bestaande cybersecurity trainingsmethoden. Die review liet zien dat het enkel verstrekken van informatie een beperkt effect heeft op gedragsverandering, dat trainingsprogramma’s vaak te smal van opzet zijn, en dat medewerkers regelmatig weinig enthousiasme voor het materiaal tonen. De vertaling van training naar gedrag op de werkvloer is, in de eigen bewoording van de auteurs, een lastige opgave. Wanneer methoden met beperkte effectiviteit worden ingezet, gaan inspanning en middelen verloren.

Wat deze bevindingen extra hard maakt, is de moderatoranalyse: de meta-analyse onderzocht of het type trainingsmethode, het platform, de sociale setting, of het gebruik van meerdere methoden een significant verschil maakte. Geen van deze factoren bleek relevant. Het is niet zo dat we de juiste trainingsmethode nog niet hebben gevonden. Het hele paradigma van training als risicoreductie is fundamenteel beperkt.

De wiskundige zekerheid van falen

Dit is de ongemakkelijke waarheid die onze branche weigert te accepteren: zelfs als je elke medewerker traint tot een nauwkeurigheid van 99 procent (wat een buitengewone prestatie zou zijn, ver voorbij wat het onderzoek als haalbaar laat zien) werkt de wiskunde nog steeds tegen je. In een organisatie met 1.000 medewerkers, die elk dagelijks tientallen beveiligingsrelevante beslissingen nemen, kijk je tegen tienduizenden foutmogelijkheden aan. Elke dag opnieuw. De kans dat minstens één persoon op het verkeerde moment de verkeerde beslissing neemt, is in de praktijk honderd procent.

Dit is geen trainingsprobleem. Dit is een systeemontwerpprobleem. En systeemontwerpproblemen los je niet op door de mensen die vastzitten in een slecht ontworpen systeem de les te lezen.

De phishing-simulatie-industrie verkoopt placebo’s

Bij Guardian360 zijn we een aantal jaar geleden gestopt met het aanbieden van phishing-tests. Dat was geen populair besluit, want phishing-simulaties zijn een lucratieve markt. Maar we stopten omdat we niet met een goed geweten konden doorgaan met het verkopen van een dienst waarvan we wisten dat die het risico niet wezenlijk verlaagde.

Phishing-simulaties meten één enkel moment. Ze vertellen je dat Janet van de boekhouding op een dinsdagmiddag op een neplink klikte. Ze vertellen je niet waarom. Had ze haast? Was de mail niet te onderscheiden van een echte? Zat ze op haar telefoon terwijl ze onderweg naar een meeting was? De test levert data op, maar geen inzicht. En de typische organisatorische reactie in dit geval, meer training voor Janet, behandelt het symptoom terwijl de onderliggende oorzaak genegeerd wordt.

Erger nog, phishing-tests wekken een vals gevoel van veiligheid. “Ons klikpercentage ging van 25 procent naar 12 procent,” vertelt de CISO aan de directie, en iedereen applaudisseert. Maar 12 procent van duizend medewerkers is nog altijd 120 openstaande deuren. En de aanvaller heeft er maar één nodig. De Leidse meta-analyse bevestigt deze intuïtie: zelfs in de meest gunstige studies is het gedragseffect op zijn best bescheiden en op zijn slechtst niet-significant.

Technologie moet het zwaartepunt dragen

Mijn overtuiging, gehard door jarenlange ervaring en nu onderbouwd door het werk van Van den Berg en haar collega’s, is simpel: technologie moet dit oplossen. Niet als aanvulling op training. Als de primaire verdedigingslinie.

Wat betekent dat in de praktijk? Het betekent dat we ophouden mensen als laatste verdedigingslinie te zien en beginnen systemen te bouwen waarin mensen niet gemakkelijk catastrofale fouten kunnen maken. Denk er eens over na: we trainen vliegtuigpassagiers niet om voor vertrek de klinknagels van de vleugel te inspecteren. We bouwen vliegtuigen die van ontwerp af veilig zijn, onderhouden door gecertificeerde technici, en gemonitord door geautomatiseerde systemen. We zouden dezelfde filosofie moeten eisen van onze digitale infrastructuur.

Concreet betekent dit investeren in technologieën die beveiliging onzichtbaar en onvermijdelijk maken. Passwordless authentication elimineert de hele categorie van credential-diefstal. Hardware security keys maken phishing technisch onmogelijk, niet alleen onwaarschijnlijk. Endpoint detection and response vangt de malware die iemand onvermijdelijk downloadt. E-mailfiltering houdt het kwaadaardige bericht tegen voordat het de inbox bereikt. Zero-trust architecturen beperken de impact wanneer, niet als, iemand een fout maakt.

Beveiliging de weg van de minste weerstand maken

De fundamentele fout van het awareness-trainingsparadigma is dat het beveiliging neerzet als iets wat mensen actief moeten kiezen, keer op keer, duizenden keren per dag, tegen de aantrekkingskracht van gemak, urgentie en gewoonte in. Dat is geen realistische verwachting van mensen. Dat is het nooit geweest.

Het paradigma dat we nodig hebben is anders. Beveiliging zou de standaard moeten zijn. Het makkelijke pad en het veilige pad zouden hetzelfde pad moeten zijn. Wanneer ze uiteenlopen, wanneer de veilige optie meer stappen, meer frictie, meer cognitieve belasting vraagt, dan is het systeem kapot, niet de gebruiker.

Dit is geen radicaal idee. Het is hoe we in vrijwel elk ander domein over veiligheid nadenken. Wegontwerpers vertrouwen niet alleen op rijopleiding om ongelukken te voorkomen, ze plaatsen vangrails, ontwerpen kreukelzones en verplichten airbags. Ziekenhuisarchitecten vertrouwen niet op posters over handen wassen, ze installeren automatische dispensers bij elke deuropening. En toch blijven we in cybersecurity posters ophangen en ons afvragen waarom mensen er langslopen zonder ze te zien.

De moed om het gesprek te veranderen

Ik weet dat dit standpunt sommige mensen ongemakkelijk maakt. De security-awareness-industrie is miljarden waard. Er zijn carrières op gebouwd. Compliance-kaders schrijven het voor. En ja, ik zeg niet dat we medewerkers helemaal niets over beveiliging moeten vertellen. Basishygiëne, zoals begrijpen waarom je je wachtwoord niet moet delen en herkennen dat dreigingen bestaan, is een minimumvereiste. Het Leidse onderzoek bevestigt dat kennis en bewustzijn wel degelijk verbeteren door training. Maar kennis zonder gedragsverandering is een dure illusie van veiligheid.

Het is tijd voor de moed om die budgetten, die energie en die bestuurlijke aandacht te verleggen van trainingsprogramma’s naar technologie-investeringen die daadwerkelijk verschil maken. Niet omdat technologie perfect is (dat is het niet), maar omdat het schaalbaar en consistent is, en geen slechte dag heeft op een dinsdagmiddag.

Stop met het trainen van mensen. Begin met het repareren van technologie. Jouw gebruikers zijn niet de zwakste schakel, jouw systemen wel.

Referenties

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. Computers & Security, 136, 103585.

Van den Berg, B. (2026). Round table discussion at the ESET Cyber Defence Summit.