Skip to main content

Onderzoek twijfelt aan effectiviteit phishingtrainingen voor werknemers

Veelgebruikte cyberbeveiligingstrainingen, zoals jaarlijkse cursussen en ingebouwde anti-phishing oefeningen, bieden in de praktijk beperkte waarde en zijn onwaarschijnlijk effectief in het significant verminderen van phishingrisico’s. Dat blijkt uit een grootschalig, gerandomiseerd onderzoek onder meer dan 19.500 werknemers van een grote zorginstelling, UC San Diego Health.

Het 8 maanden durende experiment, uitgevoerd door onderzoekers van onder meer de Universiteit van Californië San Diego, concludeert dat de effecten van dergelijke trainingen minimaal zijn.

Geen verband met jaarlijkse trainingen: Er is geen significant verband gevonden tussen de recentheid van het voltooien van een jaarlijkse cyberbeveiligingstraining en de kans van een werknemer om op een phishinglink te klikken.

Beperkt voordeel ingebedde trainingen: Hoewel ingebedde trainingen – die werknemers ontvangen direct nadat ze in een gesimuleerde phishing-aanval zijn getrapt – een statistisch significante vermindering van het faalpercentage lieten zien, was dit absolute verschil extreem laag: slechts 2%.

Gebrek aan betrokkenheid

Volgens de onderzoekers is het beperkte effect deels te wijten aan een gebrek aan betrokkenheid bij de trainingsmaterialen. Uit de data blijkt dat de meeste gebruikers minimale tijd besteden aan de training: meer dan de helft van de trainingssessies eindigt binnen 10 seconden en minder dan 24% van de werknemers voltooit de materialen formeel.

Bovendien bleek de effectiviteit van de trainingen sterk af te hangen van de opzet:

Statische trainingen: Trainingen bestaande uit statische webpagina’s, zoals een informatiepagina, hadden een negatief effect. Werknemers die meerdere van dit soort trainingen hadden voltooid, bleken een grotere kans te hebben om te falen bij volgende phishing-simulaties.

Interactieve trainingen: De kleine groep gebruikers die een interactieve training wél volledig afrondde, verminderde hun kans om opnieuw te falen met 19%. Dit benadrukt dat de inhoud en leveringsmethode van de training bepalend zijn voor het leerresultaat.

Variabele effectiviteit van phishing-aanvallen

De resultaten suggereren dat de kracht van een phishing-aanval een veel grotere factor is dan training. 

Verder lezen bij de bron
IB&P

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De AVG vraagt meer dan goede bedoelingen: aantoonbaarheid in de praktijk
Zorgvuldig werken met persoonsgegevens is onder de AVG niet genoeg. Je moet ook kunnen laten zien welke keuzes je hebt gemaakt, welke maatregelen daarbij horen en wie waarvoor verantwoordelijk is.
Informatiebeveiliging is geen ICT-feestje
Informatiebeveiliging wordt zichtbaar via MFA, logging, back-ups en pentests. Maar de risico’s die er echt toe doen ontstaan in inkoop, procesinrichting, gegevensdeling en bestuurlijke prioriteiten. Erna Havinga over hoe je daar het goede gesprek over voert.
De nieuwe Archiefwet: waarom informatiebeveiliging hierbij moet aanhaken
Op 1 januari 2027 treedt de nieuwe Archiefwet in werking. Op het eerste gezicht lijkt dat vooral een onderwerp voor informatiebeheer, DIV, de gemeentearchivaris of juridische zaken. Toch raakt de nieuwe wet ook duidelijk aan informatiebeveiliging.

Meer recente berichten

Nieuwe toe­zicht­hou­der voor elek­tro­ni­sche pa­ti­ën­ten­dos­siers
Verder lezen
Kabinet trekt honderden miljoenen extra uit voor veiligheid
Verder lezen
Amerikaanse tak van TikTok schikt voor 400 miljoen in kinderprivacyzaak
Verder lezen
Minder DDoS-aanvallen, maar ze worden wel zwaarder en moeilijker te herkennen
Verder lezen
Hoe kun je een onterechte boete van een scanauto aanvechten?
Verder lezen
EU Data Act dwingt cloudsector tot transparantie en open deuren
Verder lezen
‘DPIA-vrij­stel­lin­gen voor kleine ondernemers gaan veel te ver’
Verder lezen
NCSC informeert organisaties over gelekte Fortinet-wachtwoorden
Verder lezen
AP adviseert Twitch-gebruikers: zet instellingen uit voor delen van data met Amazon AI
Verder lezen
Nederland loopt achter op Europa bij AI-cyberdreigingen
Verder lezen