Cookie-instellingen
Security awareness · ISO 27001

Verplichte awareness-training? Maak er iets van dat medewerkers wél onthouden.

Geen urenlange video's die worden weggeklikt, maar een leuke meerkeuzetest van 15 tot 20 minuten met echte voorbeelden uit de praktijk. Medewerkers leren waar de risico's voor jullie bedrijf zitten, door te zien waar het bij anderen misging. Met een certificaat per medewerker en een rapportage die je zo aan je auditor geeft.

Neem contact op Hoe het werkt
15–20 min
per medewerker
A.6.3
ISO 27001-control
Echte
incidenten als voorbeeld
TV5Monde's keuze (2015)
Na een hack gaf de zender een tv-interview. Op de achtergrond: briefjes met wachtwoorden.
Wachtwoorden op de muur, zodat iedereen erbij kon.
Gevolg: Iedereen die naar het nieuws keek, kon meelezen.
De keuze van de meldkamer op Hawaï (2018)
Op een persfoto van de meldkamer stond een wachtwoord op een geeltje, geplakt op een beeldscherm.
Het wachtwoord op het scherm plakken, zodat niemand het vergat.
Gevolg: De foto ging de wereld over, wachtwoord en al.
De keuze van de Super Bowl (2014)
In een tv-reportage over de beveiliging stond het wifi-wachtwoord op een groot scherm.
Het wachtwoord groot in beeld, ook toen de camera's draaiden.
Gevolg: Miljoenen kijkers zagen het wifi-wachtwoord.
MGM's keuze (2023)
Een aanvaller belde de helpdesk en deed zich voor als medewerker.
Zonder extra check een nieuw wachtwoord geven.
Gevolg: Hotels en casino's lagen dagen deels plat, schade zo'n $ 100 miljoen.
De keuze van de helpdesk van M&S (2025)
Aanvallers belden de helpdesk van een leverancier en deden zich voor als M&S-medewerkers.
Toegang herstellen.
Gevolg: De webwinkel lag weken stil, schade zo'n £ 300 miljoen.
Twitter's keuze (2020)
Medewerkers werden gebeld door ‘collega's van IT’.
Medewerkers gaven hun inlog.
Gevolg: Accounts van onder meer Obama en Musk werden gekaapt.
Uber's keuze (2022)
Een medewerker kreeg steeds weer inlogverzoeken en een appje van ‘IT’.
De medewerker keurde er één goed om ervan af te zijn.
Gevolg: De aanvaller was binnen en meldde de hack trots in Uber's eigen Slack.
Arup's keuze (2024)
Een medewerker zat in een videogesprek met de financieel directeur en collega's: allemaal deepfakes.
Vijftien betalingen doen.
Gevolg: Zo'n $ 25 miljoen weg naar oplichters.
Pathé's keuze (2018)
Mails van ‘de Franse topman’ vroegen om geheime betalingen voor een overname.
Betalen.
Gevolg: Ruim € 19 miljoen weg, twee directeuren ontslagen.
FACC's keuze (2016)
De Oostenrijkse vliegtuigbouwer kreeg mails van een nep-topman over een geheime overname.
Betalen.
Gevolg: Zo'n € 50 miljoen weg, en de topman werd ontslagen.
De keuze van Facebook en Google (2013–2015)
Een oplichter stuurde jarenlang nepfacturen namens een echte leverancier.
Betalen.
Gevolg: Samen ruim $ 100 miljoen, later grotendeels teruggehaald.
Ubiquiti's keuze (2015)
Mails van ‘het management’ vroegen om overboekingen naar buitenlandse rekeningen.
Overmaken.
Gevolg: $ 46,7 miljoen weg.
Snapchat's keuze (2016)
De salarisadministratie kreeg een mail van ‘de CEO’ die om salarisgegevens vroeg.
De gegevens doorsturen.
Gevolg: Gegevens van honderden (oud-)medewerkers gelekt.
Heathrow's keuze (2017)
Een medewerker had beveiligingsbestanden op een usb-stick zonder wachtwoord.
Geen versleuteling en nauwelijks training.
Gevolg: Stick op straat gevonden, boete £ 120.000.
De keuze van Defensie (VK) (2021)
Een voorbijganger vond geheime documenten achter een bushalte.
Gevoelige stukken op papier mee naar buiten nemen.
Gevolg: Ze belandden bij de BBC, met details over een marineschip en Afghanistan.
De keuze van Hof van Twente (2020)
Een server was beveiligd met het wachtwoord ‘Welkom2020’.
Een makkelijk wachtwoord.
Gevolg: Hackers legden de gemeente wekenlang plat.
Colonial Pipeline's keuze (2021)
Hackers kwamen binnen via een oud, ongebruikt account met een uitgelekt wachtwoord.
Het account laten staan.
Gevolg: Tekorten aan de pomp en $ 4,4 miljoen losgeld.
De keuze van RSA Security (2011)
Een medewerker viste een mail over ‘wervingsplan 2011’ uit de spammap.
De bijlage openen.
Gevolg: Hackers stalen geheimen van de beveiligingstokens.
De keuze van Universiteit Maastricht (2019)
Medewerkers kregen phishingmails, en een paar klikten.
Losgeld betalen om weer te kunnen werken.
Gevolg: Na weken stilstand ging er zo'n € 200.000 naar de criminelen.
Ferrari's keuze (2024)
Een bestuurder werd gebeld door de nagebootste stem van de topman.
Een controlevraag stellen die alleen de echte topman wist.
Gevolg: De beller hing op. Er ging geen cent weg.
🤔 Welke keuze zou jij maken?
Echte incidenten uit de awareness-test
HERKENBAAR?

Waar bedrijven tegenaan lopen bij awareness-training

Doorklikken en vergeten

Een verplichte e-learning wordt al snel een vinkje: video aan, volgende, volgende, klaar. Afgerond is nog niet geleerd.

Bij AsperityMedewerkers leren zelf risico's inschatten, aan de hand van echte incidenten.

Het kost te veel werktijd

Lange modules voor iedereen in de organisatie tellen flink op, en niemand zit erop te wachten.

Bij Asperity15 tot 20 minuten, wanneer het uitkomt.

De auditor wil bewijs, geen verhaal

Voor ISO 27001 moet je aantonen wie wanneer getraind is, met welk resultaat, en dat het structureel terugkomt.

Bij AsperityCertificaat per medewerker en een rapportage voor de hele organisatie.

Generiek en ver van de werkvloer

Vertaalde trainingen over situaties die bij jullie nooit voorkomen. Medewerkers haken af voordat ze iets leren.

Bij AsperityNederlandstalig, herkenbaar, en op maat als dat nodig is.
ECHTE INCIDENTEN

Waar het bij andere bedrijven misging

Niet alleen hoe een phishingmail eruitziet, maar vooral waar de risico's voor jullie bedrijf zitten. Veel van deze blunders gebeuren vandaag nog elke dag.

TV5Monde · 2015

Wachtwoorden op de muur, live op tv

Na een grote hack gaf de Franse zender een tv-interview. Op de achtergrond hingen briefjes met de wachtwoorden van hun YouTube-, Twitter- en Instagram-accounts, leesbaar voor iedereen thuis.

De vraag voor jullieWaar bewaar jij je wachtwoorden en pincodes?
MGM Resorts · 2023

De helpdesk liet de verkeerde binnen

Aanvallers zochten een medewerker op via LinkedIn, belden de helpdesk en deden zich voor als die persoon. Ze kregen een nieuw wachtwoord. Hotels en casino's lagen dagenlang deels stil; de schade liep op tot zo'n $ 100 miljoen.

De vraag voor jullieHoe weet onze helpdesk of receptie wie er echt belt of voor de deur staat?
Heathrow Airport · 2017

Een usb-stick op straat

Een medewerker verloor een onbeveiligde usb-stick met ruim duizend bestanden over de beveiliging van het vliegveld. Een voorbijganger vond hem en bracht hem naar een krant. Van de 6.500 medewerkers had maar 2% een privacytraining gehad. Boete: £ 120.000.

De vraag voor jullieWat zet jij op een usb-stick, en wat gebeurt er als je hem kwijtraakt?
ZO WERKT EEN VRAAG

Na elke vraag: wat gebeurde er bij echte bedrijven?

Voorbeeldvraag uit de awareness-test. Drie bedrijven kregen een bericht van ‘de CEO’ over een vertrouwelijke overname waarvoor vandaag geld moest worden overgemaakt. A: betalen, de keuze van Pathé in 2018, ruim 19 miljoen euro weg en twee directeuren ontslagen. B: eerst een videogesprek, de keuze van Arup in 2024, iedereen in het gesprek was een deepfake en 25 miljoen dollar weg. C: een controlevraag die alleen de echte CEO kan beantwoorden, de keuze van Ferrari in 2024, de beller hing op.
Zo ziet een vraag eruit: drie keuzes, drie echte bedrijven, en wat het ze kostte. Wie koos er goed?
HOE HET WERKT

Kort, krachtig, en eigenlijk best leuk

  1. 1

    Medewerkers maken de test

    Een meerkeuzetest van 15 tot 20 minuten over echte incidenten. Bij elke vraag: welke keuze maakte het bedrijf, en wat had jij gedaan?

  2. 2

    Na elke vraag: wat gebeurde er echt?

    Medewerkers zien wat er gebeurde bij echte bedrijven die voor hun keuze gingen, en bij bedrijven die het anders deden. Zo zien ze meteen wat een keuze kost, of oplevert.

  3. 3

    Jij krijgt het bewijs

    Elke medewerker ontvangt een certificaat met naam, datum en score. Jij krijgt een rapportage van deelname en resultaten voor de hele organisatie.

ISO 27001 · CONTROL A.6.3

Klaar voor je certificering, en leuk voor je medewerkers

Certificaat per medewerker met naam, training, datum en score
Bedrijfsrapportage: deelname en resultaten per team of afdeling
Onderbouwing per ISO 27001-control voor je auditdossier
Jaarlijks te herhalen, zodat bewustwording op peil blijft
Echte incidenten, en de blunders die nog dagelijks gebeuren
Ontwikkeld door een cybersecurityprofessional, in het Nederlands

De training dekt het awareness-onderdeel van ISO 27001 (A.6.3). Bij certificering kijkt de auditor naar je hele ISMS; wij leveren het bewijs voor dit onderdeel.

AANBOD

Kant-en-klaar of op maat

Security awareness-test

Direct inzetbaar

Een leuke meerkeuzetest over phishing, social engineering, wachtwoorden en het melden van incidenten, met echte voorbeelden uit de praktijk. Voor alle medewerkers.

Secure code training

Voor developers · op basis van jullie pentest

De kwetsbaarheden uit jullie eigen pentestrapport, zoals injectie of fouten in toegangscontrole, vertaald naar een interactieve training voor jullie developers. Zo komt dezelfde fout niet terug, en toon je de opvolging aan (o.a. A.8.8 en A.8.28 Secure coding).

Benieuwd wat past bij jullie organisatie?

Neem contact op voor de mogelijkheden. Ik denk graag mee over aantallen, planning en rapportage. Vrijblijvend, en ik reageer persoonlijk binnen één werkdag.

Portret van Geert van Asperen
Geert van Asperen Cybersecurityprofessional, oprichter Asperity