Security Awareness

Wat is Security Awareness?

Security awareness is het structureel trainen, informeren en betrekken van medewerkers, zodat zij cyberdreigingen herkennen, veilig handelen en incidenten tijdig melden. Het is geen losse cursus, maar een doorlopend programma dat kennis, gedrag en cultuur samen aanpakt, en daarmee een vast onderdeel van een organisatiebrede cybersecuritystrategie. In OT-omgevingen ligt de nadruk op andere risico’s dan op kantoor: besmette USB-sticks, laptops van leveranciers, onbedoelde wijzigingen aan besturingen en toegang op afstand tot SCADA- en HMI-systemen.

In OT kan een menselijke fout direct gevolgen hebben voor het fysieke proces: stilstand, productverlies of een onveilige situatie. Daarom is awareness hier minstens zo belangrijk als in IT.

🎯 Waarom is security awareness in OT zo belangrijk?

Technische maatregelen dekken niet alles af. Veel aanvallen beginnen bij een mens die op een link klikt, een wachtwoord deelt of een onbekend apparaat aansluit. Drie kenmerken maken OT extra gevoelig:

• Lange levensduur van systemen - besturingen en operatorstations draaien vaak tien tot twintig jaar, soms met verouderde software die niet direct te patchen is. Veilig gedrag compenseert een deel van dat risico.
• Fysieke overdrachtsroutes - Stuxnet verspreidde zich via USB-sticks naar systemen zonder netwerkverbinding. Een air gap beschermt dus niet tegen een medewerker die een stick meeneemt.
• Veel externe partijen - systeemintegratoren, OEM’s en monteurs werken met eigen laptops en onderhoud op afstand. Ook zij moeten de huisregels kennen.

Awareness is één laag in defense in depth. Een goed getrainde operator herkent afwijkingen die geen detectiesysteem ziet, maar vervangt geen firewall of segmentatie.

🧠 Hoe werkt een security awareness-programma?

Een effectief programma volgt een vaste cyclus, zoals ook NIST SP 800-50 Rev. 1 (september 2024) die beschrijft. Die publicatie vervangt de oude SP 800-50 uit 2003 en SP 800-16 uit 1998 en legt de nadruk op gedragsverandering, cultuur en meetbare resultaten.

1. Risico’s per doelgroep bepalen - operators, procesengineers, onderhoudsmonteurs, IT-beheer, contractors en management lopen elk andere risico’s.
2. Doelen en gewenst gedrag vastleggen - bijvoorbeeld: alleen gescande USB-media, geen gedeelde accounts, elke verdachte e-mail melden.
3. Trainen en oefenen - korte e-learnings, toolboxmeetings op de werkvloer, phishing-simulaties en praktijkoefeningen.
4. Communiceren en herhalen - posters bij de controlekamer, korte berichten na actuele incidenten, een herkenbaar meldpunt.
5. Meten en bijsturen - meldingen, klikratio’s en auditbevindingen evalueren en het programma jaarlijks aanpassen.

Security awareness is geen eenmalige training, maar een continu proces dat verweven is met cultuur en werkpraktijk.

👥 Welke doelgroepen hebben welke training nodig?

Eén algemene e-learning voor iedereen werkt in OT slecht. Een rolgebaseerde aanpak sluit beter aan bij de dagelijkse praktijk:

🏭 Welke onderwerpen horen in OT-awareness?

• Social engineering en phishing - herkennen van nep-e-mails, telefoontjes van zogenaamde leveranciers en verzoeken om wachtwoorden
• Verwisselbare media - alleen USB-sticks gebruiken die eerst op een scanstation zijn gecontroleerd; malware via USB blijft een bekende route
• Toegang en accounts - geen gedeelde wachtwoorden, schermvergrendeling op operatorstations, uitloggen na onderhoud
• Wijzigingen aan besturingen - elke wijziging volgens wijzigingsbeheer, met een back-up vooraf
• Melden - wie bel ik bij een verdachte gebeurtenis, ook buiten kantoortijd, en wat raak ik niet aan?
• Begeleiding van bezoekers - leveranciers en monteurs krijgen alleen begeleid toegang tot kasten, netwerkpoorten en engineeringsystemen

Het waterincident in Oldsmar (Florida, 2021) laat de waarde van alerte operators zien. Een operator zag de muiscursor bewegen en het setpoint voor natronloog stijgen van 100 naar 11.100 ppm, en draaide de wijziging direct terug. Later bleef omstreden of het om een aanval of een bedieningsfout ging, maar het voorval toonde hoe belangrijk opmerkzaamheid en meldbereidheid zijn.

🔍 Wat is het verschil tussen security awareness en technische maatregelen?

Beide versterken elkaar. Een USB-beleid werkt alleen als medewerkers begrijpen waarom het bestaat, en een training werkt beter als techniek het onveilige alternatief blokkeert.

📜 Welke wetten en normen eisen security awareness?

Training is geen vrijblijvende goede gewoonte meer. Meerdere kaders noemen het expliciet:

Voor bestuurders verlangt het Cyberbeveiligingsbesluit een certificaat met naam, datum, onderwerpen en aanbieder. Het regeldrukonderzoek rekent met bijna negen uur per bestuurder bij een grote onderneming.

🧭 Hoe zet u een OT-awarenessprogramma stap voor stap op?

1. Breng de uitgangssituatie in kaart - welke incidenten en bijna-incidenten waren er, welke regels bestaan al, en wie werkt met welke systemen?
2. Koppel aan uw risicoanalyse - kies onderwerpen die passen bij de grootste risico’s in uw risicobeoordeling, niet bij een standaardpakket.
3. Maak het praktisch - gebruik voorbeelden van de eigen installatie, korte sessies in ploegendienst en instructies bij de machine.
4. Train ook externen - neem awarenesseisen op in contracten, in lijn met leveranciersbeveiliging en IEC 62443-2-4.
5. Oefen incidenten - een tabletop-oefening laat operators, engineers en management samen het incidentresponsplan doorlopen, inclusief de meldplicht.
6. Meet het effect - volg het aantal meldingen, de klikratio bij simulaties en bevindingen uit rondgangen.

Veel organisaties kiezen een jaarlijkse basistraining met korte opfrissers per kwartaal. Gratis verdieping is er ook: het Amerikaanse CISA biedt online ICS-cursussen aan en geeft praktijktrainingen bij het Idaho National Laboratory.

🔐 Welke beveiligingsdoelen ondersteunt awareness?

• Minder onbedoelde fouten - de grootste winst zit in vergissingen, niet in kwade opzet
• Sneller melden - een open meldcultuur verkort de tijd tussen eerste signaal en incidentrespons
• Draagvlak voor beleid rond Remote Access, Patchmanagement en Backup
• Bewustzijn van insider threats - awareness helpt signalen te herkennen, maar kwaadwillende insiders vragen ook om technische en organisatorische maatregelen
• Samenwerking tussen IT, OT en security - gedeelde taal over risico’s en beschikbaarheid
• Aantoonbare compliance met IEC 62443, NIS2 en ISO 27001

❓ Veelgestelde vragen

Hoe vaak moet een security awareness-training plaatsvinden?

Security awareness werkt het best als doorlopend programma: een jaarlijkse basistraining aangevuld met korte opfrissers en campagnes gedurende het jaar. NIS2 spreekt van training op regelmatige basis maar noemt geen vaste frequentie. Organisaties bepalen de termijn zelf op basis van hun risicoanalyse.

Is security awareness-training verplicht onder NIS2?

Ja, NIS2 noemt basale cyberhygiëne en cybersecuritytraining als een van de verplichte risicobeheersmaatregelen. Bestuurders van essentiële en belangrijke entiteiten moeten zelf een training volgen. In Nederland is dit uitgewerkt in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit.

Wat is het verschil tussen security awareness in IT en in OT?

Security awareness in IT richt zich vooral op e-mail, wachtwoorden en gegevensbescherming. In OT gaat het daarnaast om USB-media, laptops van leveranciers, wijzigingen aan besturingen en het melden van afwijkend procesgedrag. Beschikbaarheid en procesveiligheid staan in OT voorop.

Werken phishing-simulaties ook voor operators?

Phishing-simulaties zijn nuttig voor operators die e-mail gebruiken, maar dekken maar een deel van de OT-risico’s. Voor operators werken praktijkoefeningen met USB-sticks, onbekende bezoekers en afwijkende HMI-meldingen vaak beter. Simulaties moeten leren, niet beschamen, anders daalt de meldbereidheid.

Hoe meet u het effect van security awareness?

Het effect van security awareness meet u met gedragsindicatoren: het aantal meldingen van verdachte zaken, de klikratio bij phishing-simulaties en de bevindingen van audits en werkplekrondes. Het aantal gevolgde cursussen zegt weinig over werkelijk gedrag. Een stijgend aantal meldingen is vaak juist een goed teken.

Moeten leveranciers en contractors ook security awareness volgen?

Leveranciers en contractors hebben vaak vergaande toegang tot OT-systemen en horen daarom bij het security awareness-programma. Leg de eisen vast in contracten en geef een korte instructie bij toegang tot de site. IEC 62443-2-4 beschrijft securityeisen voor serviceleveranciers van industriële systemen.

📌 Samengevat

Security awareness maakt medewerkers in OT-omgevingen tot een actieve verdedigingslaag door hen te leren dreigingen te herkennen, veilig te werken en incidenten direct te melden. Met rolgerichte training, praktijkoefeningen en meetbare doelen voldoet u aan NIS2, de Cyberbeveiligingswet en IEC 62443, en verkleint u het risico op menselijke fouten, social engineering en malware via USB.