Organisaties investeren steeds vaker in Cyber Awareness-trainingen, phishing-simulaties en interne bewustwordingscampagnes. Maar hoe weet je of deze inspanningen daadwerkelijk resultaat opleveren?
Alleen vaststellen hoeveel medewerkers een training hebben afgerond, zegt nog weinig over hun digitale weerbaarheid. Een medewerker kan een e-learning volledig doorlopen en een toets behalen, maar in de praktijk alsnog een verdacht betaalverzoek goedkeuren of een phishingmail niet melden.
Cyber Awareness meten betekent daarom dat je niet alleen kijkt naar kennis en deelname, maar ook naar gedrag, meldingsbereidheid en de manier waarop de organisatie met cyberrisico’s omgaat.
Een goede meetmethode maakt zichtbaar:
- waar de belangrijkste risico’s liggen;
- welke onderwerpen medewerkers al beheersen;
- waar aanvullende training nodig is;
- of gedrag in de loop van de tijd verbetert;
- of het Cyber Awareness-programma bijdraagt aan de digitale weerbaarheid.
Het doel is niet om medewerkers individueel af te rekenen. Metingen moeten vooral informatie opleveren waarmee de organisatie haar trainingen, processen en technische beveiliging kan verbeteren.
Waarom moet je Cyber Awareness meten?
Zonder metingen blijft het moeilijk om te bepalen of een Cyber Awareness-programma effectief is.
Een organisatie kan bijvoorbeeld ieder jaar een verplichte training aanbieden. Wanneer vrijwel iedereen deze afrondt, lijkt het programma succesvol. Maar als medewerkers verdachte berichten nog steeds niet herkennen of incidenten niet durven melden, is het werkelijke effect beperkt.
Het NCSC benadrukt dat kennis alleen niet voldoende is om veilig digitaal gedrag te bereiken. Organisaties moeten verder kijken dan uitsluitend een verplichte e-learning of een losse bewustwordingscampagne.
Door Cyber Awareness structureel te meten, kun je onder andere:
- de beginsituatie vaststellen;
- doelen formuleren;
- ontwikkelingen volgen;
- risicovolle onderwerpen herkennen;
- de effectiviteit van trainingen beoordelen;
- het management informeren;
- investeringen beter onderbouwen;
- gerichte verbetermaatregelen nemen.
Meten helpt daarmee om van Cyber Awareness een doorlopend verbeterproces te maken.
Begin met een duidelijke doelstelling
Voordat je KPI’s en meetinstrumenten kiest, moet duidelijk zijn wat de organisatie wil verbeteren.
Een algemene doelstelling zoals “medewerkers cyberbewuster maken” is moeilijk meetbaar. Formuleer daarom concretere doelen.
Bijvoorbeeld:
- medewerkers herkennen phishingberichten beter;
- verdachte berichten worden sneller gemeld;
- minder medewerkers delen inloggegevens;
- betaalverzoeken worden beter gecontroleerd;
- meer medewerkers gebruiken de juiste meldprocedure;
- medewerkers weten wat zij bij een incident moeten doen;
- nieuwe medewerkers worden tijdig getraind;
- managers tonen aantoonbaar veilig voorbeeldgedrag.
De gekozen meetpunten moeten rechtstreeks aansluiten op deze doelen.
Wanneer het grootste risico factuurfraude is, heeft het weinig waarde om uitsluitend te meten hoeveel medewerkers een algemene wachtwoordtraining hebben gevolgd. De metingen moeten passen bij de processen, dreigingen en verantwoordelijkheden binnen de organisatie.
Lees ook: Hoe bouw je een Cyber Awareness-programma?
Voer eerst een nulmeting uit
Een nulmeting laat zien hoe de organisatie ervoor staat voordat een nieuw programma of een nieuwe trainingsperiode begint.
Zonder nulmeting kun je later wel resultaten verzamelen, maar is het moeilijk om vast te stellen of er werkelijk verbetering heeft plaatsgevonden.
Een Cyber Awareness-nulmeting kan bestaan uit een combinatie van:
- een kennisquiz;
- een medewerkersvragenlijst;
- een gecontroleerde phishing-simulatie;
- interviews met medewerkers en leidinggevenden;
- analyse van eerdere cyberincidenten;
- controle van bestaande meldprocedures;
- onderzoek naar het gebruik van MFA en wachtwoordmanagers;
- evaluatie van onboarding en uitdiensttreding;
- observatie van risicovolle bedrijfsprocessen.
Gebruik bij voorkeur meerdere methoden. Een vragenlijst meet vooral wat medewerkers zeggen te weten of te doen. Een simulatie of praktijktest laat beter zien hoe zij in een concrete situatie handelen.
Het verschil tussen zelfgerapporteerd gedrag en werkelijk gedrag kan aanzienlijk zijn. Iemand kan aangeven altijd links te controleren, maar tijdens een drukke werkdag toch op een overtuigend bericht klikken.
Meet meer dan alleen trainingsdeelname
Het afrondingspercentage van trainingen is nuttig, maar mag niet de belangrijkste maatstaf zijn.
Een hoog afrondingspercentage laat vooral zien dat medewerkers aan een administratieve verplichting hebben voldaan. Het zegt niet automatisch dat zij:
- phishing beter herkennen;
- verdachte situaties melden;
- veilig omgaan met gegevens;
- procedures correct toepassen;
- bij een incident snel handelen.
NIST-onderzoek naar overheidsprogramma’s laat zien dat organisaties vaak gebruikmaken van nalevingscijfers, phishingstatistieken en trainingspercentages. Tegelijk wordt benadrukt dat zulke cijfers niet automatisch het werkelijke effect op gedrag aantonen.
Gebruik trainingsdeelname daarom als één onderdeel van een bredere set meetpunten.
Belangrijke KPI’s voor Cyber Awareness
Er bestaat niet één KPI waarmee je Cyber Awareness volledig kunt meten. De beste aanpak combineert verschillende indicatoren.
1. Deelname aan trainingen
Meet hoeveel medewerkers de toegewezen trainingen binnen de afgesproken periode afronden.
Mogelijke KPI’s zijn:
- percentage afgeronde trainingen;
- gemiddelde doorlooptijd;
- aantal openstaande trainingen;
- deelname per afdeling;
- deelname van nieuwe medewerkers;
- percentage medewerkers dat op tijd afrondt.
Deze cijfers zijn vooral nuttig voor het bewaken van bereik en uitvoering.
Een laag afrondingspercentage kan betekenen dat de communicatie onvoldoende is, leidinggevenden het programma niet ondersteunen of medewerkers te weinig tijd krijgen.
2. Resultaten van kennistoetsen
Kennistoetsen laten zien of medewerkers belangrijke onderwerpen begrijpen.
Meet bijvoorbeeld:
- gemiddelde toetsscore;
- score per onderwerp;
- aantal herkansingen;
- ontwikkeling ten opzichte van een eerdere toets;
- verschillen tussen functies of afdelingen.
Kijk niet alleen naar het eindcijfer. Een medewerker kan gemiddeld goed scoren, maar structureel moeite hebben met één risicovol onderwerp, zoals factuurfraude of het veilig delen van persoonsgegevens.
Analyseer daarom welke vragen vaak fout worden beantwoord. Daarmee kun je toekomstige trainingen gerichter maken.
3. Klikpercentage bij phishing-simulaties
Het klikpercentage geeft aan welk deel van de ontvangers tijdens een gecontroleerde simulatie op een link of bijlage heeft geklikt.
De berekening is:
Aantal medewerkers dat klikte ÷ aantal afgeleverde simulatieberichten × 100%
Dit cijfer kan nuttig zijn om ontwikkelingen te volgen, maar mag niet geïsoleerd worden beoordeeld.
Een eenvoudige phishingmail met duidelijke spelfouten is namelijk niet vergelijkbaar met een goed gepersonaliseerd bericht dat aansluit op een actueel bedrijfsproces. De moeilijkheidsgraad van de simulatie heeft grote invloed op het resultaat.
NIST waarschuwt daarom dat klikpercentages alleen geen volledig beeld geven van het gedrag van medewerkers. De NIST Phish Scale is ontwikkeld om ook rekening te houden met de moeilijkheidsgraad en herkenbare aanwijzingen in een gesimuleerd phishingbericht.
Vergelijk resultaten dus alleen wanneer scenario’s, doelgroepen en omstandigheden voldoende vergelijkbaar zijn.
4. Percentage medewerkers dat gegevens invoert
Een klik betekent niet altijd dat een organisatie direct ernstig risico loopt. Het invoeren van een wachtwoord of andere gegevens op een nagebootste inlogpagina is vaak een zwaardere indicator.
Meet daarom afzonderlijk:
- wie een link opent;
- wie een bijlage probeert te openen;
- wie inloggegevens invoert;
- wie een MFA-verzoek goedkeurt;
- wie aanvullende informatie verstrekt.
Dit maakt zichtbaar waar in het aanvalspad medewerkers afhaken of juist verdergaan.
Gebruik bij simulaties nooit echte wachtwoorden en sla geen gevoelige gegevens van medewerkers op. De simulatie moet veilig, proportioneel en vooraf organisatorisch afgestemd zijn.
5. Meldingspercentage
Een van de belangrijkste positieve indicatoren is het percentage medewerkers dat een gesimuleerd of werkelijk verdacht bericht meldt.
De berekening kan zijn:
Aantal correcte meldingen ÷ aantal afgeleverde simulatieberichten × 100%
Een stijgend meldingspercentage laat zien dat medewerkers niet alleen dreigingen herkennen, maar ook weten wat zij vervolgens moeten doen.
Dit is belangrijk omdat een snelle melding de beveiligingsafdeling in staat stelt:
- schadelijke berichten uit andere mailboxen te verwijderen;
- accounts te blokkeren;
- domeinen of websites te blokkeren;
- collega’s te waarschuwen;
- onderzoek te starten;
- mogelijke schade te beperken.
Het NCSC beschouwt het herkennen én melden van incidenten als een belangrijk onderdeel van digitale weerbaarheid. Training en oefening helpen medewerkers om dreigingen te herkennen en er op een zinvolle manier op te handelen.
6. Snelheid van melden
Niet alleen het aantal meldingen is belangrijk. Ook de snelheid waarmee medewerkers melden, kan verschil maken.
Meet bijvoorbeeld de gemiddelde tijd tussen:
- ontvangst van een phishingmail;
- openen van het bericht;
- melding bij IT of security;
- eerste reactie vanuit het beveiligingsteam.
Een melding na twee minuten biedt meer handelingsruimte dan een melding aan het einde van de werkdag.
Bij een echte aanval kan snelle rapportage voorkomen dat meerdere medewerkers slachtoffer worden.
7. Kwaliteit van meldingen
Niet iedere melding bevat voldoende informatie om snel te kunnen handelen.
Beoordeel daarom ook:
- of het oorspronkelijke bericht wordt meegestuurd;
- of de medewerker de juiste meldknop gebruikt;
- of relevante context wordt toegevoegd;
- of de medewerker het bericht niet doorstuurt op een onveilige manier;
- of de juiste interne procedure wordt gevolgd.
Dit meet niet alleen herkenning, maar ook praktische handelingsbekwaamheid.
8. Aantal echte beveiligingsmeldingen
Bekijk hoeveel verdachte situaties medewerkers buiten simulaties om melden.
Denk aan:
- verdachte e-mails;
- ongebruikelijke inlogmeldingen;
- verloren apparaten;
- verkeerd verzonden documenten;
- mogelijke datalekken;
- telefonische oplichting;
- afwijkende betaalverzoeken;
- onbekende software;
- verdachte MFA-meldingen.
Een stijging van het aantal meldingen hoeft niet negatief te zijn. Het kan juist betekenen dat medewerkers alerter zijn geworden en eerder aan de bel trekken.
Kijk daarom niet alleen naar het aantal, maar ook naar de relevantie, kwaliteit en opvolging van de meldingen.
9. Aantal beveiligingsincidenten door menselijk handelen
Analyseer welke echte incidenten verband hielden met menselijk gedrag.
Voorbeelden zijn:
- gestolen inloggegevens;
- onjuist gedeelde documenten;
- frauduleuze betalingen;
- malware na het openen van een bijlage;
- verkeerd geadresseerde e-mails;
- onbevoegde toegang door onvoldoende toegangsbeheer;
- incidenten die te laat zijn gemeld.
Let op dat het aantal geregistreerde incidenten aanvankelijk kan stijgen wanneer de meldcultuur verbetert. Dat betekent niet automatisch dat de organisatie onveiliger is geworden. Mogelijk worden incidenten die eerder verborgen bleven nu wél geregistreerd.
10. Gebruik van beveiligingsmaatregelen
Cyber Awareness moet uiteindelijk ook zichtbaar worden in dagelijkse handelingen.
Meet waar mogelijk:
- gebruik van MFA;
- gebruik van een wachtwoordmanager;
- tijdige installatie van updates;
- versleuteling van apparaten;
- correcte omgang met gedeelde bestanden;
- aantal onbeheerde accounts;
- naleving van betaalprocedures;
- tijdige verwijdering van toegangsrechten.
Deze gegevens liggen vaak bij IT-beheer, IAM of security. Door technische gegevens te combineren met trainingsresultaten ontstaat een completer beeld.
Meet kennis, houding én gedrag
Een bruikbaar meetmodel maakt onderscheid tussen drie onderdelen.
Kennis
Weet de medewerker wat phishing, social engineering en MFA zijn?
Dit kun je meten met:
- quizzen;
- toetsen;
- interviews;
- korte kennisvragen.
Houding
Vindt de medewerker cyberveiligheid belangrijk en voelt hij zich verantwoordelijk?
Dit kun je onderzoeken met vragen als:
- durf je een fout direct te melden?
- vind je de beveiligingsregels uitvoerbaar?
- denk je dat cyberveiligheid bij jouw functie hoort?
- geeft jouw leidinggevende het goede voorbeeld?
- weet je waar je terechtkunt met vragen?
Gedrag
Handelt de medewerker in de praktijk veilig?
Dit meet je onder andere met:
- phishing-simulaties;
- werkelijke meldingen;
- gebruik van beveiligingsvoorzieningen;
- naleving van procedures;
- oefeningen en praktijkscenario’s.
ENISA benadrukt bij mensgerichte cybersecurity dat organisaties niet alleen naar kennis moeten kijken, maar ook naar gedrag, werkprocessen en omstandigheden die veilig handelen bevorderen of juist bemoeilijken.
Vergelijk afdelingen niet zonder context
Een afdeling met een hoger klikpercentage is niet automatisch minder cyberbewust.
Medewerkers van financiële administratie, HR en directiesecretariaten ontvangen bijvoorbeeld relatief veel externe documenten, betaalverzoeken en vertrouwelijke communicatie. Daardoor kan hun blootstelling aan risico’s groter zijn dan die van een afdeling die vrijwel uitsluitend met interne systemen werkt.
Houd bij vergelijkingen rekening met:
- functietype;
- toegang tot gevoelige gegevens;
- hoeveelheid externe e-mail;
- werkdruk;
- taalvaardigheid;
- eerdere training;
- moeilijkheidsgraad van de simulatie;
- gebruikte apparaten;
- technische beveiligingsmaatregelen.
Gebruik resultaten om ondersteuning en training beter af te stemmen, niet om afdelingen publiekelijk te rangschikken of medewerkers te beschamen.
Maak van meten geen afrekencultuur
Wanneer medewerkers bang zijn voor negatieve gevolgen, kunnen metingen averechts werken.
Zij kunnen dan:
- fouten verbergen;
- verdachte situaties niet melden;
- wantrouwend worden tegenover simulaties;
- de training als controlemiddel ervaren;
- alleen handelen om een goede score te behalen.
Communiceer daarom duidelijk dat Cyber Awareness-metingen bedoeld zijn om de organisatie te verbeteren.
Een positieve cybersecuritycultuur stimuleert medewerkers om veilig gedrag over te nemen, elkaar te helpen en incidenten tijdig te melden. Ook leidinggevenden spelen daarin een belangrijke voorbeeldrol.
Rapporteer waar mogelijk op team- of organisatieniveau. Individuele opvolging kan nodig zijn bij ernstige of herhaalde risico’s, maar moet zorgvuldig en proportioneel plaatsvinden.
Hoe vaak moet je Cyber Awareness meten?
Cyber Awareness is geen jaarlijkse momentopname.
De juiste frequentie hangt af van:
- de omvang van de organisatie;
- het risicoprofiel;
- het aantal medewerkers;
- relevante wet- en regelgeving;
- actuele dreigingen;
- beschikbare capaciteit;
- eerdere resultaten.
Een praktisch meetritme kan bestaan uit:
- continu meten van meldingen en incidenten;
- maandelijks volgen van trainingsdeelname;
- ieder kwartaal een gerichte simulatie;
- halfjaarlijks een kennis- of cultuurmeting;
- jaarlijks een bredere evaluatie van het programma.
Voer niet iedere maand exact dezelfde phishingtest uit. Medewerkers kunnen dan het patroon herkennen zonder dat hun algemene weerbaarheid werkelijk verbetert.
Varieer in onderwerpen, scenario’s en leerdoelen.
Hoe maak je een Cyber Awareness-dashboard?
Een overzichtelijk dashboard helpt om resultaten begrijpelijk te presenteren aan IT, HR, management en directie.
Een dashboard kan onder andere bevatten:
- percentage afgeronde trainingen;
- gemiddelde toetsscore;
- klikpercentage;
- percentage ingevoerde gegevens;
- meldingspercentage;
- gemiddelde meldtijd;
- aantal werkelijke meldingen;
- aantal incidenten;
- ontwikkeling per kwartaal;
- belangrijkste risicothema’s;
- geplande verbeteracties.
Gebruik trends in plaats van losse cijfers.
Een klikpercentage van 7% zegt op zichzelf weinig. Veel interessanter is bijvoorbeeld:
- kwartaal 1: 14%;
- kwartaal 2: 10%;
- kwartaal 3: 7%;
- meldingspercentage gestegen van 18% naar 46%.
Dan wordt zichtbaar dat medewerkers minder vaak risicovol handelen én vaker verdachte berichten melden.
Rapporteer daarnaast welke maatregelen naar aanleiding van de resultaten worden genomen. Een dashboard zonder opvolging heeft weinig waarde.
Voorbeeld van een eenvoudige meetset
Voor een mkb-organisatie hoeft het meetmodel niet ingewikkeld te zijn.
Een praktische basisset kan bestaan uit:
| Onderdeel | KPI | Meetfrequentie |
|---|---|---|
| Training | Percentage afgerond | Maandelijks |
| Kennis | Gemiddelde toetsscore | Na iedere module |
| Phishing | Klikpercentage | Per simulatie |
| Phishing | Percentage gegevens ingevoerd | Per simulatie |
| Meldgedrag | Meldingspercentage | Per simulatie |
| Reactie | Gemiddelde meldtijd | Per simulatie |
| Praktijk | Aantal relevante echte meldingen | Maandelijks |
| Incidenten | Incidenten met menselijke oorzaak | Per kwartaal |
| Verbetering | Voortgang ten opzichte van nulmeting | Per kwartaal |
Deze set geeft meer inzicht dan alleen het afrondingspercentage van een e-learning.
Wanneer is een Cyber Awareness-programma succesvol?
Een programma is niet automatisch succesvol wanneer niemand meer op een simulatie klikt.
Een zeer laag klikpercentage kan ook ontstaan doordat:
- medewerkers weten wanneer simulaties worden verzonden;
- scenario’s te eenvoudig zijn;
- berichten technisch herkenbaar zijn;
- medewerkers alle onbekende e-mail negeren;
- resultaten niet correct worden geregistreerd.
Een succesvol programma laat een bredere ontwikkeling zien:
- medewerkers herkennen risico’s beter;
- meldingen komen sneller binnen;
- de kwaliteit van meldingen neemt toe;
- veilig gedrag wordt eenvoudiger;
- leidinggevenden geven het goede voorbeeld;
- incidenten worden beter opgevolgd;
- trainingen sluiten aan op werkelijke risico’s;
- techniek en processen ondersteunen veilig gedrag.
Het uiteindelijke doel is niet een perfect rapport, maar een organisatie waarin mensen weten wat veilig handelen inhoudt en bij twijfel tijdig hulp inschakelen.
Hoe helpt Shieldified bij het meten van Cyber Awareness?
Met Shieldified kan Madicom organisaties ondersteunen bij het uitvoeren en volgen van een structureel Cyber Awareness-programma.
Afhankelijk van het gekozen pakket kan Shieldified worden ingezet voor:
- realistische phishing-simulaties;
- periodieke microtrainingen;
- registratie van trainingsdeelname;
- inzicht in klik- en meldgedrag;
- rapportages per periode;
- gerichte opvolging van leerpunten;
- ontwikkeling van bewustwording gedurende het jaar.
De resultaten kunnen worden gebruikt om te bepalen welke onderwerpen extra aandacht nodig hebben. Wanneer bijvoorbeeld veel medewerkers een nagebootst Microsoft 365-bericht niet herkennen, kan een gerichte microtraining worden aangeboden over valse inlogpagina’s en accountbeveiliging.
Het platform is daarbij geen doel op zichzelf. De grootste waarde ontstaat wanneer meetresultaten worden vertaald naar concrete verbeteringen in gedrag, processen en technische beveiliging.
Bekijk Shieldified en ontdek hoe u Cyber Awareness structureel kunt trainen en meten.
Conclusie
Cyber Awareness meten vraagt om meer dan controleren wie een training heeft afgerond.
Een compleet beeld ontstaat door verschillende indicatoren te combineren, zoals:
- trainingsdeelname;
- kennisscores;
- klikgedrag;
- ingevoerde gegevens;
- meldingspercentage;
- snelheid en kwaliteit van meldingen;
- werkelijke beveiligingsincidenten;
- gebruik van technische beveiligingsmaatregelen.
Begin met een nulmeting, formuleer duidelijke doelen en volg ontwikkelingen over een langere periode. Gebruik de resultaten niet om medewerkers af te rekenen, maar om trainingen, werkprocessen en beveiligingsmaatregelen te verbeteren.
Een goed Cyber Awareness-programma meet daarom niet alleen wat medewerkers weten. Het maakt vooral zichtbaar of zij in de praktijk veiliger handelen.