Security awareness is dood: Human Risk Management is de nieuwe standaard

Jarenlang was security awareness training voor veel organisaties voldoende. Medewerkers volgden jaarlijks een training, maakten een quiz en daarmee leek het menselijke deel van cybersecurity grotendeels afgedekt. Maar die tijd ligt achter ons.

Cyberdreigingen zijn sneller, slimmer en overtuigender geworden. Aanvallers maken gebruik van geavanceerde phishingtechnieken, gepersonaliseerde social engineering en AI-gegenereerde content om medewerkers te misleiden. In die realiteit is alleen bewustwording niet langer genoeg. Organisaties moeten verder kijken dan training alleen en overstappen op een model waarin menselijk risico daadwerkelijk meetbaar en beheersbaar wordt.

Security awareness alleen is niet meer voldoende

Traditionele security awareness-programma’s zijn vooral gericht op kennisoverdracht. Heeft een medewerker de training afgerond? Is de toets gehaald? Dan lijkt het doel bereikt. Het probleem is alleen dat aanvallers niet testen of iemand de theorie begrijpt. Ze spelen in op gedrag, timing, druk en overtuigingskracht.

Juist daarom verschuift de focus bij moderne organisaties van awareness naar Human Risk Management. Daarbij draait het niet alleen om het trainen van medewerkers, maar vooral om het inzichtelijk maken en verlagen van het daadwerkelijke risico dat zij vormen binnen de organisatie.

Van training naar meetbaar menselijk risico

Human Risk Management, vaak afgekort als HRM, helpt organisaties om de menselijke factor binnen cybersecurity op dezelfde manier te benaderen als andere risico’s binnen IT. Niet als een vaag aandachtspunt, maar als een meetbaar domein waarop gestuurd kan worden.

In plaats van alleen te kijken naar deelname aan trainingen, stelt Human Risk Management vragen als:

• Welke medewerkers lopen het meeste risico?
• Wie is het meest vatbaar voor phishing of social engineering?
• Welke teams of afdelingen laten structureel risicovol gedrag zien?
• Welke interventies zorgen daadwerkelijk voor risicoreductie?

Die verschuiving maakt het onderwerp relevanter voor beslissers zoals CIO’s, CISO’s en IT-managers. Security awareness verandert daarmee van een losse activiteit naar een strategisch onderdeel van risicobeheer.

Risicoscores per medewerker maken prioriteren mogelijk

Een belangrijk onderdeel van Human Risk Management is het toekennen van een risicoscore per medewerker. Op basis van gedrag, reacties op simulaties en andere signalen ontstaat er een concreet beeld van wie extra aandacht nodig heeft.

Dat biedt duidelijke voordelen. Securityteams hoeven niet langer dezelfde boodschap naar iedereen te sturen, maar kunnen gericht prioriteren. Medewerkers met een verhoogd risico kunnen extra begeleiding of aanvullende training krijgen, terwijl collega’s met een lager risicoprofiel minder belast worden met generieke awareness-content.

Hierdoor wordt security niet alleen effectiever, maar ook efficiënter. Tijd en middelen worden ingezet waar ze de grootste impact hebben.

Behavior analytics geven inzicht in echt gedrag

Waar traditionele awareness vooral kijkt naar afronding en aanwezigheid, kijkt Human Risk Management naar gedrag. Behavior analytics spelen daarin een belangrijke rol. Door patronen te analyseren ontstaat inzicht in hoe medewerkers zich in de praktijk gedragen tegenover digitale dreigingen.

Denk bijvoorbeeld aan signalen zoals:

• het herhaaldelijk klikken op verdachte links;
• het openen van bijlagen uit gesimuleerde phishingmails;
• het langzaam verbeteren of juist verslechteren van gedrag over tijd;
• specifieke gevoeligheid voor bepaalde aanvalstypen.

Dat soort inzichten helpt organisaties om risico niet pas te beoordelen nadat er iets misgaat, maar juist eerder te herkennen. Daardoor verschuift cybersecurity van reactief naar proactief.

Continuous adaptive training werkt beter dan jaarlijkse awareness

Een jaarlijkse training is in de praktijk vaak niet genoeg. Medewerkers vergeten informatie, dreigingen veranderen snel en nieuwe aanvalstechnieken volgen elkaar in hoog tempo op. Human Risk Management kiest daarom voor een doorlopende en adaptieve aanpak.

Dat betekent onder meer:

• korte en regelmatige leermomenten in plaats van één grote jaarlijkse sessie;
• training op basis van individueel gedrag en risiconiveau;
• gerichte opvolging na risicovolle acties of phishing-simulaties;
• inhoud die aansluit op actuele dreigingen.

Deze aanpak zorgt ervoor dat security awareness niet iets is wat medewerkers één keer per jaar “moeten doen”, maar een continu proces wordt dat beter aansluit op de dagelijkse praktijk.

Waarom dit juist nu relevant is

De opkomst van AI-gedreven phishing en steeds overtuigendere social engineering maakt de menselijke factor belangrijker dan ooit. Tegelijkertijd neemt ook de druk vanuit wet- en regelgeving toe. Organisaties moeten niet alleen investeren in technologie, maar ook kunnen aantonen dat zij menselijke risico’s serieus aanpakken.

Voor bestuurders en securityleiders is Human Risk Management daarom interessant omdat het iets oplevert wat klassieke awareness vaak mist: aantoonbaarheid. Niet alleen in de vorm van afgeronde trainingen, maar in de vorm van concrete verbeteringen en meetbare risicoreductie.

Van nice-to-have naar strategisch onderdeel van cybersecurity

Waar security awareness vroeger vaak werd gezien als een ondersteunende activiteit of compliance-verplichting, maakt Human Risk Management het mogelijk om de menselijke factor echt strategisch te benaderen. Het onderwerp krijgt daarmee een plek in rapportages, risicobesprekingen en bredere securitydoelstellingen.

Dat is ook precies waarom deze ontwikkeling zo relevant is voor CIO’s en CISO’s. Het maakt het mogelijk om menselijk risico zichtbaar te maken, gericht te verkleinen en de voortgang daarvan ook intern te onderbouwen.

Daarom Human Risk Management!

De mens blijft een van de belangrijkste aanvalsvectoren binnen cybersecurity. Maar waar organisaties vroeger vooral investeerden in bewustwording, verschuift de markt nu duidelijk naar een meer volwassen aanpak. Human Risk Management helpt om medewerkers niet alleen te trainen, maar vooral om hun risico te meten, te volgen en actief te verlagen. Wij werken hiervoor nauw samen met KnowBe4.

Security awareness is daarmee niet volledig verdwenen, maar wel fundamenteel veranderd. Niet langer als los trainingsmoment, maar als onderdeel van een continue, data-gedreven strategie om menselijk cyberrisico structureel te verkleinen.