Cybersecurity e-learning: nuttig om te weten, niet om te reageren

Cybersecurity e-learning is effectief om kennis over te dragen: wat phishing is, welke regels gelden, waar je meldt. Het is onvoldoende om een reflex te installeren, want een reflex bouw je door de juiste reactie te oefenen, in een situatie die dicht bij de werkelijkheid ligt. Voor de telefoon moet je mondelinge oefening en herhaling toevoegen.

Dit artikel maakt onderscheid tussen weten en reflex, legt uit waarom modules vergeten worden en stelt een realistische combinatie van e-learning en oefensituaties voor.

Wat doet cybersecurity e-learning goed?

Het vervult drie nuttige functies. Het geeft alle medewerkers een gemeenschappelijk vocabulaire, het verspreidt de regels van de organisatie en het laat een spoor na van de verspreiding. Voor een grote, verspreide populatie is het een eenvoudige manier om te beginnen.

Het past ook bij technische of regelgevende onderwerpen die gelezen moeten worden: wachtwoordbeleid, classificatie van gegevens, gebruik van privéapparaten. Daar hoeft niets van te worden ter discussie gesteld.

Het probleem begint wanneer je het vraagt wat het niet kan: een bekende regel omzetten in een automatisch gebaar, op het moment dat iemand je aan de telefoon onder druk zet.

Weten is niet reageren: het verschil dat telt

Weten is een quizvraag kunnen beantwoorden: ‘Mag je een code delen die je per sms ontvangt?’ Het goede antwoord ligt voor de hand als je rustig voor een module zit.

Reageren is diezelfde code weigeren aan een vriendelijke stem die een lopende frauduleuze overboeking meldt en je vraagt te helpen. De situatie voegt stress, beperkte tijd en een menselijke relatie toe. De regel is dezelfde, de moeilijkheid niet.

Twee elementen verklaren het verschil:

• De context van het ophalen verschilt. Je vindt informatie makkelijker terug in een situatie die lijkt op die waarin je haar hebt geleerd. Een quiz en een telefoontje hebben bijna niets gemeen.
• De zin is nooit uitgesproken. Hardop weigeren, zonder je te verantwoorden, is een spreekhandeling. Die leer je niet door op het goede antwoord te klikken.

Dat is ook het idee in ons artikel over de grenzen van het LMS voor gedragsvaardigheden.

Waarom we vergeten: vergeten en spreiding

Hermann Ebbinghaus beschreef al in 1885 de vergeetcurve: zonder herhaling verdwijnt een groot deel van wat je hebt geleerd snel. Modules die je één keer per jaar volgt en daarna nooit meer, vallen er net zo onder als de rest.

Het onderzoek naar gespreide oefening is bemoedigender. In hun overzichtsstudie uit 2006 in Psychological Bulletin tonen Cepeda en collega's een eenvoudig feit. Herhalingen over de tijd spreiden geeft betere terugroepresultaten dan ze in één sessie samenbrengen.

Een ander stevig resultaat: jezelf testen helpt meer dan herlezen. In een studie van Roediger en Karpicke (Psychological Science, 2006) herinnerden studenten die vooral getest waren de inhoud een week later beter. De anderen hadden vooral herlezen. Actief terughalen verankert beter dan passief herzien.

Wat een reflex werkelijk vraagt

Een veiligheidsreflex rust op drie ingrediënten. Het eerste is een korte regel, voor iedereen gelijk, zoals ‘ik hang op en bel terug via het officiële nummer’. Het tweede is een formulering die klaarstaat om te zeggen. Het derde is herhaling in gevarieerde situaties.

Zonder het tweede ingrediënt blijft de regel theoretisch. Zonder het derde verwatert ze in de stress. De artikelen van deze cluster werken elk gebaar uit: terugbellen, weigeren onder druk, de beller verifiëren.

Een weigeringszin moet kort, beleefd en zonder rechtvaardiging zijn. Hoe langer hij is, hoe meer houvast de beller vindt om opnieuw aan te dringen. ‘Ik doe dat niet per telefoon, ik bel u terug’ volstaat.

De trainer heeft dus twee taken: per beroep de paar regels kiezen die tellen en de bijbehorende zinnen laten zeggen tot ze natuurlijk worden. De rest van het programma kan leesmateriaal blijven.

Hoe combineer je e-learning en mondelinge oefening

De juiste aanpak zet beide niet tegenover elkaar. Ze zet ze in de juiste volgorde.

1. De module geeft het kader: soorten aanvallen, regels, meldkanaal. Tien tot twintig minuten volstaan.
2. De oefensituatie laat oefenen: de deelnemer spreekt met een persona die aandringt, past de regel toe en krijgt een debriefing.
3. Gespreide herhaling houdt het vast: een korte oefening om de paar weken, met een ander scenario, in plaats van één grote jaarlijkse afspraak.
4. Melden sluit de lus: na elke oefening train je wie je meldt en wat.

Die opzet sluit aan bij wat je in compliance ziet: het voltooiingspercentage is geen competentie, zoals ons artikel over compliance-e-learning uitlegt.

Wat kan een rollenspel met een AI-persona opleveren?

Een mondeling rollenspel zet de deelnemer voor een gesprekspartner die reageert. Bij Face Up schrijft de trainer zijn scenario op basis van zijn echte gevallen, bijvoorbeeld een valse leverancier die om een wijziging van het IBAN vraagt. De deelnemer spreekt, de persona dringt aan en daarna geeft een debriefing aan welke doelen wel of niet zijn gehaald, wat de sterke punten zijn en wat beter kan, met citaten van wat de deelnemer heeft gezegd.

Hij kan meteen opnieuw spelen. Herhalen wordt goedkoop: geen zaal te reserveren, geen acteur in te zetten en iedereen oefent in zijn eigen tempo. De integratie met het LMS verloopt via LTI 1.3, zodat je het huidige opleidingstraject kunt behouden.

Stel je twee medewerkers voor na dezelfde module

Twee collega's, Sanne en Mohamed, ronden dezelfde awarenessmodule af met een score van 95 %. Drie weken later vraagt een beller die zich voordoet als technicus van de IT-afdeling Sanne om een authenticatiemelding op haar telefoon goed te keuren.

Sanne heeft tijdens een oefening al de zin uitgesproken ‘Ik keur niets goed bij een inkomend telefoontje, ik bel u terug via de officiële dienst’. Ze zegt hem bijna zonder erbij na te denken. Mohamed kent de regel, maar hoefde hem nooit hardop te zeggen. Hij aarzelt, de beller dringt aan en hij keurt uiteindelijk goed om ‘er vanaf te zijn’.

Hun scores waren gelijk. Hun vermogen om te reageren niet. Daarom zegt het slagingspercentage van een quiz bijna niets over de werkelijke bescherming van een team. Voor het geval van de support, zie social engineering bij de servicedesk.

Een overzicht om je huidige aanpak te auditen

Loop je awarenessprogramma langs met deze vijf vragen. Ze tonen waar de oefening ontbreekt.

1. Heeft elke belangrijke regel een mondelinge formulering die klaarstaat om te zeggen, en niet alleen een schriftelijke instructie?
2. Hebben medewerkers die telefonisch worden blootgesteld die zin al eens gezegd tegen iemand die aandrong?
3. Zijn de herhalingen over het jaar gespreid, met verschillende scenario's?
4. Citeert de feedback na een oefening wat de persoon echt heeft gezegd?
5. Meet je gedrag (terugbellen voorgesteld, code geweigerd, melding gedaan) in plaats van voltooiingen?

Zijn drie of meer antwoorden negatief, voeg dan oefening toe voordat je modules toevoegt. Een extra module maakt het traject langer zonder iets te doen aan de kloof tussen weten en reageren.

Begin klein: één beroep, één scenario, één zin om te verankeren. Meet het resultaat over een paar weken en breid dan uit naar andere teams. Deze progressie, bescheidener dan een groot programma, geeft tijd om de scenario's bij te stellen met feedback uit de praktijk en om managers te overtuigen.

Veelgemaakte fouten met beveiligings-e-learning

• Succes meten aan het voltooiingspercentage, dat alleen zegt dat de module is geopend en afgerond.
• Elk jaar dezelfde module aanbieden, wat vermoeidheid in de hand werkt.
• Technisch taalgebruik hanteren bij medewerkers die de theorie van aanvallen niet nodig hebben.
• De telefoon verwaarlozen omdat e-learning vooral e-mail behandelt. Zie de grenzen van phishingcampagnes voor spraak.
• De opleiding straffend maken: een mislukte quiz mag niet in een verwijt veranderen.

Veelgestelde vragen

Is cybersecurity e-learning nutteloos?

Nee. Het is erg goed om het kader te zetten, de regels te verspreiden en een spoor na te laten. Het volstaat niet om een reflex te kweken voor een telefoontje dat aandringt.

Hoe vaak moet je herhalen?

Er is geen universele frequentie. Het onderzoek naar spreiding wijst dezelfde kant op: meerdere korte herhalingen zijn beter dan één lange sessie. Pas het ritme aan het beroep en de blootstelling aan.

Hoe weet je of een medewerker een reflex heeft, en niet alleen kennis?

Kijk naar wat hij zegt in een oefensituatie: heeft hij voorgesteld terug te bellen, geweigerd een code te geven, de naam van de beller genoteerd? Dat zijn waarneembare gedragingen, geen quizantwoorden.

Moet je e-learning vervangen door rollenspel?

Nee, combineer ze liever. De module legt de basis, het rollenspel oefent, de herhaling onderhoudt. Voor het overzicht, zie onze gids over security awareness.

Wil je een oefensituatie voor het verifiëren van een beller uitproberen met je eigen gevallen? Boek een demo van Face Up.