De menselijke factor blijft de zwakste schakel in cybersecurity

Maak van je medewerkers de beste verdedigingslinie.

🔐TL;DR

De meeste cyberincidenten beginnen niet bij een geniale hacker, maar bij een mens die op het verkeerde moment op een verkeerde link klikt of een te goed van vertrouwen betaalverzoek inwilligt. Phishing en social engineering worden door AI steeds overtuigender, waardoor techniek alleen niet meer volstaat. Je leest hier waarom de mens bepalend is, wat recente Nederlandse incidenten laten zien, en hoe je van je medewerkers een ‘human firewall’ maakt met de juiste mix van bewustwording en Microsoft 365-bescherming.

Als je aan cybersecurity denkt, denk je misschien eerst aan firewalls, virusscanners en ingewikkelde aanvallen van buitenaf. Toch zit de belangrijkste schakel dichter bij huis: de mens achter het toetsenbord. Of je nu een klein kantoor runt of honderden medewerkers hebt, één klik op een verkeerde link of één ingewilligd vals verzoek kan de deur openzetten. Dat maakt de menselijke factor niet je zwakste punt uit onmacht, maar juist de plek waar je de meeste winst kunt behalen.

Waarom de mens zo vaak het beginpunt is

Aanvallers kiezen bijna altijd de weg van de minste weerstand. In plaats van een goed beveiligd systeem te kraken, is het veel eenvoudiger om een medewerker te verleiden. Een overtuigende e-mail, een urgent telefoontje of een nagemaakte inlogpagina doet vaak meer dan geavanceerde techniek, en precies daarom is en blijft de menselijke factor de zwakste schakel in cybersecurity.

Dat beeld wordt bevestigd door de cijfers. Als je kijkt naar de cyberincidenten in Nederland en de lessen daaruit, zie je dat menselijke fouten en interne lekken een van de grootste risico’s blijven en dat het aantal incidenten jaar op jaar hoog is. De techniek wordt beter, maar zolang mensen onder druk, uit gewoonte of uit vertrouwen handelen, blijft dat de meest benutte ingang.

Door AI wordt misleiding bedrieglijk echt

Wat de menselijke factor nu extra urgent maakt, is de opkomst van AI. Waar een aanvaller vroeger dagen bezig was om een organisatie te bestuderen en een geloofwaardige mail op te stellen, neemt AI dat handwerk over. Eén gehackt mailaccount kan tegenwoordig al genoeg zijn om met AI een vrijwel perfecte, gepersonaliseerde fraudepoging op te zetten — precies het mechanisme achter CEO-fraude die van één mailbox een miljoenenrisico maakt. Dat dit geen theorie is, bewijst bioscoopketen Pathé, die in 2018 ruim 19 miljoen euro verloor door één geval van CEO-fraude.

Deze vorm van oplichting leunt op urgentie, vertrouwen en geheimhouding. Juist die menselijke knoppen zijn met AI eenvoudiger te bespelen dan ooit. Een bericht dat uit het echte mailadres van een collega lijkt te komen, is voor een ontvanger nauwelijks van echt te onderscheiden. Precies daarom schiet pure techniek hier tekort en wordt het oordeel van de medewerker doorslaggevend.

Wat recente Nederlandse incidenten laten zien

Dat cyberincidenten geen ver-van-je-bed-show zijn, werd pijnlijk duidelijk bij het incident rond Albert Heijn in oktober 2026. Duizenden vaste klanten weken door het cyberincident uit naar andere supermarkten, de website en app lagen plat en in meerdere distributiecentra lag het werk stil, met dreigende lege schappen tot gevolg. Het liet vooral zien hoe afhankelijk organisaties van hun digitale systemen zijn geworden: zodra die uitvallen, staat de operatie stil.

Moederbedrijf Ahold Delhaize hield lange tijd vast aan de term ‘cybersecurityincident’. Pas een week later erkende het concern slachtoffer te zijn geworden van een hack en deed het formeel aangifte bij de politie, nadat de minister van Justitie en Veiligheid daarop had aangedrongen. Daarbij meldde het bedrijf dat er op dat moment geen aanwijzingen waren dat gevoelige gegevens van klanten, medewerkers of partners waren buitgemaakt, en dat binnen 24 uur na ontdekking het Nationaal Cyber Security Centrum op de hoogte was gesteld. De exacte oorzaak is niet publiek bevestigd, dus het is vooral een krachtige illustratie van impact en afhankelijkheid, niet van een bewezen menselijke fout.

Steeds vaker zit de zwakke schakel bovendien bij een leverancier in plaats van bij het bekende merk zelf, zoals de reeks incidenten rond Odido, Basic-Fit en Lidl laat zien in wat de golf datalekken leert over ketenbeveiliging. De rode draad is dat buitgemaakte persoonsgegevens vooral worden gebruikt voor bijzonder overtuigende phishing. En daarmee komt het verhaal weer terug bij de mens: met je échte naam, adres en geboortedatum wordt een vals bericht ineens geloofwaardig.
Cyberincidenten Nederland

Van zwakste schakel naar human firewall

Het goede nieuws is dat de mens niet alleen je grootste risico is, maar ook je sterkste verdediging kan worden. Een getrainde medewerker die een afwijkend betaalverzoek niet klakkeloos uitvoert maar even verifieert via een tweede, bekend kanaal, breekt de aanval precies op het beslissende moment. Met gerichte security awareness-training en phishingsimulaties leren mensen om urgentie, geheimhouding en vreemde verzoeken te herkennen, zodat er een ‘human firewall’ ontstaat die geen enkele tool kan vervangen.

Belangrijk is wel dat bewustwording geen eenmalige sessie is, maar gedrag dat je blijft onderhouden. Mensen vergeten, nieuwe collega’s stromen in en aanvalstechnieken veranderen. Doorlopende aandacht, meldgedrag stimuleren en het normaliseren van ‘even verifiëren’ maken het verschil tussen een training die beklijft en een afvinkmoment dat snel vervaagt.
Phishing menselijke schakel

Techniek en mens horen samen

De menselijke firewall werkt het best als de techniek eronder op orde is. Beide versterken elkaar: training voorkomt dat mensen in de val lopen, terwijl slimme beveiliging de schade beperkt als het toch misgaat. In Microsoft 365 begint dat bij het beschermen van identiteiten. Meervoudige verificatie maakt een gestolen wachtwoord veel minder bruikbaar, en met slim ingerichte Conditional Access geef je alleen toegang onder veilige voorwaarden.

Daarnaast helpt het om apparaten en mailverkeer actief te bewaken. Met endpointbeveiliging via Microsoft Defender for Business worden verdachte acties herkend en geïsoleerd voordat ze zich verspreiden. Een hardnekkig misverstand is daarbij dat Microsoft je beveiliging volledig regelt, terwijl dat juist een gevaarlijke misvatting is: beveiliging is een gedeelde verantwoordelijkheid, waarbij de techniek wel kan aanstaan, maar inrichting, monitoring en vooral getrainde mensen het verschil maken.
 
Wij brengen die lagen graag samen, van het scherp afstellen van beveiligingsbeleid tot het trainen van je medewerkers, zodat ‘de techniek staat aan’ daadwerkelijk ‘de organisatie is weerbaar, en blijft dat ook’ wordt. Wil je dat planmatig opbouwen in plaats van incident na incident blussen, dan helpt het om gericht te werken met een IT-roadmap.

Begin bij je mensen, niet pas bij je tools

De les uit alle recente incidenten is helder: veilig digitaal werken begint bij bewustzijn en gedrag, ondersteund door sterke techniek. Investeer je in je mensen, dan verander je je grootste risico in je beste verdediging. Het verschil zit zelden in één tool, maar in de samenhang: medewerkers die risico’s herkennen, identiteiten die goed beschermd zijn met meervoudige verificatie en Conditional Access, apparaten die bewaakt worden met endpointbeveiliging, en een organisatie die bewustwording behandelt als doorlopend proces in plaats van een eenmalige actie. Wie die lagen op elkaar afstemt en vastlegt in een IT-roadmap, bouwt aan weerbaarheid die standhoudt, ook als het volgende grote incident weer het nieuws haalt.

mensen trainen cyberbewustzijn

Veelgestelde vragen

Omdat aanvallers de weg van de minste weerstand kiezen. Het is eenvoudiger om een medewerker te verleiden met een overtuigende e-mail of een urgent verzoek dan om een goed beveiligd systeem te kraken. Veel incidenten vereisen een menselijke handeling, zoals klikken op een link of een betaling uitvoeren, en juist daar grijpen aanvallers op in.

AI neemt het tijdrovende voorwerk van aanvallers over. Waar vroeger dagen onderzoek nodig was, analyseert AI razendsnel de communicatiestijl en de juiste contactpersonen, en stelt het berichten op die nauwelijks van echt te onderscheiden zijn. Daardoor worden misleidende mails en betaalverzoeken bedrieglijk overtuigend.

Dat is een organisatie waarin medewerkers zelf een verdedigingslaag vormen omdat ze risico’s herkennen en er goed op reageren. Via bewustwording en phishingsimulaties leren mensen om urgentie, geheimhouding en afwijkende verzoeken te herkennen en te verifiëren, waardoor ze aanvallen stoppen op het moment dat techniek dat niet meer kan.

Nee. Mensen vergeten, nieuwe collega’s stromen in en aanvalstechnieken veranderen voortdurend. Bewustwording werkt alleen als het een doorlopend proces is, met herhaling, meldgedrag en het normaliseren van ‘even verifiëren’, zodat veilig gedrag een gewoonte wordt in plaats van een eenmalige actie.

Microsoft 365 biedt sterke beveiligingsmogelijkheden, maar beveiliging is een gedeelde verantwoordelijkheid. De techniek moet juist worden ingericht, gemonitord en aangevuld met getrainde medewerkers. Zonder die menselijke laag en goed beheer ontstaat een vals gevoel van veiligheid.

eBook cover Cybersecurity voor bedrijven3

Meer informatie over Cybersecurity?

Download dan hier gratis ons eBook voor meer informatie.

Download

Klaar om meer grip te krijgen
op jouw digitale veiligheid?

Avista-Shegani

Avista denkt graag
met u mee.