De jaarlijkse verplichte e-learning die iedereen zo snel mogelijk doorklikt, verandert precies niets aan gedrag. Toch is de mens de grootste hefboom in informatiebeveiliging: vrijwel elk incident begint of eindigt bij een mens. Een awarenessprogramma dat werkt, ziet er anders uit.
Wat vraagt ISO 27001?
Annex A-maatregel 6.3 vraagt passende, regelmatige bewustwording en training, met updates over het beleid en de procedures die voor iemands werk relevant zijn. “Regelmatig” is het sleutelwoord: kort en vaak verslaat lang en zeldzaam.
Bepaal eerst welk gedrag moet veranderen
Begin niet bij de tooling maar bij de vraag: welk gedrag moet anders? Kies drie tot vijf concrete gedragingen op basis van je eigen risico’s en incidenten:
- Verdachte mails melden
- De wachtwoordmanager en MFA gebruiken
- Vertrouwelijk delen via het juiste kanaal
- Betalingsverzoeken verifiëren via een tweede kanaal
Kort en vaak, niet lang en zelden
| Zwak | Sterk |
|---|---|
| Eén jaarlijkse e-learning | Onboarding + jaarlijkse opfrissing + maandelijkse prikkels |
| Alleen zenden | Phishing-simulaties, quizzen, echte voorbeelden |
| Generieke content | Rolgericht: finance, IT, directie |
| Deelname meten | Gedrag meten: meldpercentage, meldsnelheid |
Meet gedrag, niet deelname
De deelnamelijst is administratie. Het echte dashboard: het meldpercentage bij simulaties, het aantal spontane meldingen van echte verdachte mails (een stijging is winst), en incidenttrends. Bespreek de trends in je directiebeoordeling.
Tip van Control One: Geanonimiseerde echte incidenten zijn het beste awareness-materiaal dat bestaat. “Vorige maand klikte een collega op deze mail, en dit gebeurde er” beklijft oneindig veel beter dan een algemene poster. Verzamel je eigen verhalen (zonder namen) en gebruik ze.
De cultuur eromheen
Awareness werkt alleen in een cultuur waar melden veilig is. Eén publiekelijke afrekening en het meldkanaal is dood. Vier de melders, ook als ze eerst klikten; zij zijn je detectielaag.
Wil je weten hoe weerbaar jouw organisatie is? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
Een security awareness-programma opzetten in 5 stappen
Zo bouw je een awareness-programma dat gedrag verandert en aan ISO 27001 voldoet: doelen, jaarkalender, phishing-simulaties, meten en de meldcultuur.
Annex A 7.3: Beveiliging van kantoren, ruimten en faciliteiten
Maatregel 7.3 van ISO 27001 Annex A eist fysieke beveiliging van kantoren en ruimten, ontworpen en toegepast naar hun functie. Praktische invulling per ruimtetype.
Wat is een SOC (Security Operations Center)?
Een SOC bewaakt de IT-omgeving doorlopend op aanvallen: mensen, processen en tooling (SIEM, EDR). Wanneer heeft het MKB er een nodig en wat kost een uitbesteed SOC?
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.