Uw team is uw eerste firewall: cybersecurity-awareness die blijft hangen
Veel apotheken hebben awareness afgevinkt: één sessie, een presentatie, misschien een quiz. Een paar maanden later weet niemand nog wat er gezegd werd, en bij de eerste verdachte mail op een drukke dag valt iedereen terug op zijn reflex. Hoe zorgt u ervoor dat het wél blijft hangen?
Waarom awareness écht telt
Volgens het Data Breach Investigations Report 2025 van Verizon speelde een mens een rol in ongeveer 60% van de onderzochte inbreuken, bijvoorbeeld door een fout of doordat iemand werd misleid. Phishing zelf was in ongeveer 15% van de gevallen de manier waarop aanvallers voor het eerst binnenkwamen.
En het wordt drukker. Het Centrum voor Cybersecurity België ontving in 2025 gemiddeld ongeveer 27.000 meldingen van phishingberichten per dag, en in maart 2026 meer dan 42.000, aldus VRT NWS. Dat zegt iets over het volume dat Belgen tegenkomen, en over de bereidheid om te melden. Uw team zit dus niet met een theoretisch risico.
De ongemakkelijke waarheid over de klassieke training
Onderzoekers van UC San Diego volgden in 2023 zo'n 19.500 medewerkers van UC San Diego Health gedurende acht maanden, met tien gesimuleerde phishingcampagnes. Het resultaat is ontnuchterend. Wie recent de jaarlijkse verplichte awarenesstraining had gevolgd, klikte niet significant minder vaak dan wie dat niet had gedaan. Training die pas na een klik werd aangeboden ("embedded training"), verminderde de kans om voor een volgende phishingmail te vallen gemiddeld met slechts ongeveer 1,7 procentpunt. Meer dan driekwart van de trainingssessies duurde minder dan een minuut.
De onderzoekers raden daarom aan om ook te investeren in technische maatregelen, zoals tweefactorauthenticatie met hardwaresleutel en wachtwoordmanagers die enkel op het juiste webadres invullen. Eerlijkheidshalve: het ging om een Amerikaans ziekenhuis, niet om een apotheek met acht medewerkers, en de studie mat klikgedrag, niet of mensen sneller meldden. Maar het signaal is duidelijk genoeg om onze aanpak aan te passen.
Awareness vervangt technische beveiliging niet. Het is wat overblijft op het moment dat de techniek iets doorlaat.
Waarom uw team geen firewall is
Een firewall is consequent. Hij is nooit moe, nooit gehaast en staat nooit aan de telefoon terwijl er iemand aan het loket wacht. Een apotheekteam is dat allemaal wel, en dat is geen karakterfout maar de realiteit van het werk. Het Britse Nationaal Centrum voor Cybersecurity (NCSC) formuleerde het scherp: het herkennen van phishing mag niet de enige verantwoordelijkheid van gebruikers zijn. Het pleit voor een gelaagde aanpak met technische filters, en voor een cultuur waarin niemand zich schaamt om te melden dat hij toch geklikt heeft, want angst om te melden vertraagt de reactie.
Daarom werkt een ander beeld beter: uw team is de sensor. Wat de filters missen, kunnen mensen opmerken, op voorwaarde dat ze het snel en zonder schroom melden.
Wat wél blijft hangen
- Oefen met situaties uit uw eigen apotheek. Een dringende mail van de groothandel, een gewijzigd rekeningnummer van een leverancier, een QR-code op een afhaalbon of een WhatsApp-bericht dat lijkt van de titularis. Herkenbaar werkt beter dan een algemeen verhaal over hackers. Onze blog over quishing geeft er één voorbeeld van.
- Kies korte en herhaalde momenten boven één lange sessie. Tien minuten per maand, tijdens een teamoverleg, bespreekt u één scenario. Dat is een praktische aanpak en geen bewezen formule: in de studie faalden mensen die een interactieve sessie voltooiden achteraf minder vaak, al kan dat ook komen doordat vooral gemotiveerde mensen ze afmaken.
- Maak melden eenvoudig en veilig. Spreek af naar wie iedereen een verdacht bericht doorstuurt, en dat het doorsturen naar verdacht@safeonweb.be altijd kan. Wie meldt, krijgt een bedankje. Niemand krijgt een standje.
- Laat de leiding het voorbeeld geven. Vertelt de titularis zelf eens over een mail waar hij bijna in trapte, dan wordt het normaal om te melden.
- Laat techniek de fout opvangen. Tweefactorauthenticatie op e-mail, een wachtwoordmanager en een goede spamfilter maken van een klik geen ramp. Dat is geen opgave van uw team, maar uw vangnet.
- Meet gedrag, geen aanwezigheid. Tel hoeveel meldingen u per maand krijgt en hoe snel ze binnenkomen, niet hoeveel mensen de opleiding bijwoonden.
- Begin op de eerste dag. Een nieuwe collega, stagiair of interim hoort in de eerste week hoe u in uw apotheek omgaat met verdachte berichten.
Een simpel ritme voor een apotheekteam
U hoeft geen groot programma op te zetten. Een haalbaar ritme voor een klein team is één scenario per maand van tien minuten, een jaarlijkse opfrissing van een uur of twee waarin de belangrijkste afspraken herhaald worden, en een korte kennismaking voor elke nieuwkomer. Wilt u eerst peilen waar uw team staat, dan kan de gratis cyberquiz een goed gespreksinstrument zijn. Wij zien ze als bewustwordingstool en niet als wetenschappelijke meting.
Phishingsimulaties kunnen aanvullend zijn, maar in een team van enkele mensen voelen ze snel als een valstrik, en de studie hierboven laat zien dat ze op zichzelf weinig opleveren. Een nagesprek over een realistisch scenario levert in een kleine apotheek meestal meer op dan een mailtje waarin iemand betrapt wordt. Dat is een inschatting en geen vaststaand feit, en het hangt af van hoe u het in het team brengt.
De onderliggende les
Awareness die blijft hangen is geen kwestie van meer slides, maar van drie dingen tegelijk: herkenbare oefening, een veilige meldcultuur en techniek die de fouten opvangt die nu eenmaal gemaakt worden. Uw team is dan geen firewall, maar wel het eerste alarmsysteem. Zonder dat alarm blijft u blind voor wat uw filters laten passeren.
Dit artikel is gebaseerd op het Data Breach Investigations Report 2025 (Verizon), op de studie van UC San Diego en UC San Diego Health over de effectiviteit van phishingtraining (2025), op berichtgeving van VRT NWS (april 2026) over de meldingen bij het Centrum voor Cybersecurity België, en op een blog van het Britse NCSC over phishing (december 2022). Cijfers verschillen per onderzoek en veranderen jaarlijks; toets de aanpak altijd aan de realiteit van uw eigen team.
Wilt u dat awareness in uw team blijft hangen?
Met CyberSnack brengen wij korte, praktijkgerichte awarenesssessies voor apotheekteams, en met de gratis CyberStatus-snelscan ziet u in enkele minuten waar uw apotheek vandaag staat.