Security awareness nulmeting: zo weet je waar je organisatie staat

Een nulmeting voor security awareness brengt in kaart hoe je medewerkers momenteel omgaan met phishing en andere digitale dreigingen, nog voordat de training is gestart. In de praktijk combineert dit een onaangekondigde phishing simulatie met een korte kennistoets. De uitkomst is je startpunt: het setje cijfers waartegen elke latere meting wordt afgezet.

Sla dat startpunt over en je draait een security awareness-programma op basis van onderbuikgevoel. Je kunt nog steeds trainen, maar je kunt niet aantonen wat de training verandert. In dit artikel leggen we uit hoe een nulmeting eruitziet, welke cijfers ertoe doen en hoe je er in vijf stappen een uitvoert.

Wat is een security awareness nulmeting?

Een nulmeting is de eerste gestructureerde meting van hoe security-aware je organisatie werkelijk is. Het beantwoordt twee vragen: wat weten medewerkers over digitale dreigingen, en wat doen ze daadwerkelijk wanneer er eentje in hun inbox belandt? Je meet kennis en gedrag los van elkaar, omdat die twee zelden overeenkomen. Veel mensen die phishing tot in detail kunnen beschrijven, klikken alsnog op een overtuigende neppe e-mail.

Een complete nulmeting bestaat daarom uit twee of drie onderdelen:

• Een phishing simulatie. Een realistische maar onschadelijke neppe phishing-e-mail die daadwerkelijk gedrag meet: wie klikt er, wie vult inloggegevens in en wie rapporteert het bericht.
• Een kennistoets. Een korte quiz over thema's zoals phishing, wachtwoorden en veilig thuiswerken, die laat zien waar de hiaten in de kennis zitten.
• Optioneel: een korte cultuurmeting. Durven mensen een fout te melden, en zien ze beveiliging überhaupt als onderdeel van hun werk? Houding voorspelt hoe de cijfers zich later zullen ontwikkelen.

Waarom beginnen met een nulmeting?

De belangrijkste reden is simpel: zonder nulmeting kun je geen voortgang aantonen. "Bewustwording is verbeterd" is een mening. "Het klikpercentage is gedaald van één op de vier naar één op de twintig" is een resultaat. Dat verschil doet ertoe wanneer je bij het management om budget vraagt, en het is belangrijk voor auditors.

• Het maakt het effect van training zichtbaar. Elke vervolgmeting wordt vergeleken met de nulmeting, zodat je ziet of gedrag daadwerkelijk verandert in plaats van dat je dat aanneemt.
• Het levert bewijs voor compliance. Wet- en regelgeving zoals NIS2 en ISO 27001 verwachten dat organisaties medewerkers trainen en kunnen aantonen dat de training werkt. Een nulmeting plus periodieke herhalingsmetingen vormen exact dat bewijs.
• Het laat zien waar de focus moet liggen. Resultaten per afdeling en per thema vertellen je wie wat nodig heeft, zodat de trainingsinspanning terechtkomt waar het rendeert.
• Het creëert urgentie. Algemene statistieken schud je zo van je af; cijfers uit je eigen organisatie niet. Volgens het Data Breach Investigations Report van Verizon speelt de menselijke factor een rol bij ongeveer zes op de tien datalekken. Een nulmeting laat zien wat dat specifiek voor jouw organisatie betekent.

Wat meet je? De vier cijfers die ertoe doen

Een goede nulmeting levert een compact setje cijfers op dat je door de tijd heen kunt blijven volgen. Vier metrics doen het meeste werk:

• Klikpercentage. Het percentage ontvangers dat op de link in de gesimuleerde phishing-e-mail klikt. Het meest aangehaalde cijfer, maar niet het belangrijkste.
• Invoerpercentage. Het percentage dat een stap verder gaat en inloggegevens invult op de neppe inlogpagina. Dit is het punt waarop de echte schade zou ontstaan.
• Meldingspercentage. Het percentage dat de verdachte e-mail meldt. De meest onderschatte metric van allemaal: één alerte medewerker die snel meldt, beschermt elke collega die hetzelfde bericht heeft ontvangen.
• Kennisscore. De gemiddelde score op de kennistoets, idealiter uitgesplitst per thema, zodat je weet of het hiaat in phishing, wachtwoorden of ergens heel anders zit.

Meet op groepsniveau: per team, afdeling of locatie. Het doel van een nulmeting is de organisatie verbeteren, niet individuen te schande zetten. Die keuze zorgt er tevens voor dat je keurig aan de goede kant van de privacywetgeving blijft.

Zo voer je een nulmeting uit in vijf stappen

1. Bepaal de scope en zet de basis op orde. Bepaal wie er meedoet, bij voorkeur iedereen met een mailbox, inclusief het management. Zorg ervoor dat je beveiligingsbeleid in algemene termen vermeldt dat phishing simulaties hier deel van uitmaken, en betrek de ondernemingsraad. Kondig het beleid aan, maar nooit het moment.
2. Voer een onaangekondigde phishing simulatie uit. Gebruik een realistisch, actueel scenario en verspreid de verzending over meerdere dagen, zodat collega's elkaar niet kunnen waarschuwen en het element van verrassing behouden blijft. Een goede phishing simulatie-tool automatiseert dit proces, houdt klikken en data-invoer bij, en genereert automatisch rapporten.
3. Voeg een korte kennistoets toe. Tien tot vijftien vragen over de kernthema's zijn voldoende. Houd het kort: je wilt een hoge responsrate en geen examen. Benieuwd welke tools hiervoor geschikt zijn? We hebben er negen met elkaar vergeleken in ons overzicht van security awareness assessments.
4. Analyseer per afdeling en per thema. Combineer gedrag (de simulatie) met kennis (de test). Een afdeling die hoog scoort op kennis maar toch klikt, vraagt om een andere opvolging dan een afdeling die simpelweg nog nooit van quishing heeft gehoord.
5. Stel doelen en plan de vervolgmeting. Bijvoorbeeld: meldpercentage omhoog, invulpercentage omlaag. Plan elk kwartaal een vervolgmeting, met dezelfde metrics en een vergelijkbare moeilijkheidsgraad, zodat je appels met appels vergelijkt.

Van nulmeting naar programma: de cijfers in beweging krijgen

Een nulmeting zonder vervolg is een dure momentopname. De waarde ontstaat als de meting doorstroomt naar een programma. Het recept dat werkt is het omgekeerde van de jaarlijkse awareness-sessie: korte, terugkerende trainingsmomenten die het onderwerp week na week levend houden. Precies zo is moderne Security Awareness Training opgebouwd: challenges van een paar minuten, gamification om de deelname hoog te houden en verse scenario's die het echte dreigingslandschap volgen.

Meet daarna in een vast ritme opnieuw. Verwacht dat het klikpercentage en het invulpercentage dalen en, minstens zo belangrijk, dat het meldpercentage stijgt. Deel de groepsresultaten met het hele team en zet de melders in het zonnetje: een stijgend meldpercentage is het duidelijkste teken dat bewustzijn gedrag aan het worden is.

Veelgemaakte fouten bij een nulmeting

• Het exacte moment aankondigen. Dan meet je hoe alert mensen zijn tijdens een aangekondigde testweek, niet hoe ze zich gedragen op een gewone dinsdag.
• Met namen noemen en aan de schandpaal zetten (Naming and shaming). Resultaten per individu rapporteren sloopt de meldcultuur die je juist wilt opbouwen, en levert bovendien privacyproblemen op.
• Alleen naar het klikpercentage kijken. Het meldpercentage zegt meer over je weerbaarheid dan het klikpercentage. Een organisatie waar niemand meldt is kwetsbaar, hoe laag het klikpercentage ook is.
• Het bij een eenmalige meting laten.. Een nulmeting verdient haar naam pas als er een tweede meting volgt. Cijfers verouderen snel.
• Maak de eerste simulatie niet te extreem. Een onmogelijke spear phishing-mail of een overduidelijke nepper leveren allebei onbruikbare cijfers op. Kies een gemiddelde moeilijkheidsgraad die lijkt op wat je organisatie echt binnenkrijgt.

Veelgestelde vragen over de security awareness nulmeting

Hoe vaak moet je de meting herhalen?

Eens per kwartaal is een gangbaar en werkbaar ritme. Herhaal dezelfde metrics met een vergelijkbare moeilijkheidsgraad, anders zegt de trend niets. Na een jaar heb je vijf meetpunten: de nulmeting plus vier vervolgmetingen, en een verhaal dat je aan directie en auditors kunt vertellen.

Mag een onaangekondigde phishing simulatie zomaar?

Ja, mits je er zorgvuldig mee omgaat. Zorg dat medewerkers in algemene termen weten dat simulaties onderdeel zijn van het securitybeleid, rapporteer op groepsniveau en verbind nooit sancties aan een verkeerde klik. Betrek de ondernemingsraad voordat je start. Zo ingericht is een simulatie een trainingsmiddel en past ze binnen de AVG.

Wat is een goed klikpercentage bij een eerste meting?

Een universele benchmark is er niet: de uitkomst hangt sterk af van de moeilijkheidsgraad van de simulatie en de sector. Dubbele cijfers zijn geen uitzondering bij een eerste meting, dus schrik niet van het getal. De nulmeting is geen rapportcijfer, maar een startpunt. Het gaat om de richting in de metingen die volgen.

Hoe lang duurt een nulmeting?

Reken op twee tot vier weken in totaal: een simulatie verspreid over meerdere dagen, een week voor de kennistest en wat tijd voor de analyse. Het opzetten zelf gaat snel met moderne tooling; de doorlooptijd zit vooral in het onaangekondigd en representatief houden van de meting.

De nulmeting is het minst spectaculaire onderdeel van een security awareness-programma, en stiekem het belangrijkste. Ze vervangt aannames door cijfers en maakt van training iets waarop je kunt sturen in plaats van een vinkje. Eerst meten, dan trainen: alles wat je daarna doet, werkt er beter door.