Cybercriminelen maken steeds vaker gebruik van kunstmatige intelligentie om aanvallen overtuigender, sneller en moeilijker te detecteren te maken. Dat dwingt organisaties om niet alleen hun technische beveiliging op orde te hebben, maar ook hun medewerkers. Het Fortinet 2025 Security Awareness and Training Global Research Report, gebaseerd op een wereldwijde enquête onder 1.850 senior IT- en securitybesluitvormers in 29 landen, laat zien hoe de sector reageert op dit veranderende dreigingslandschap en waar de grootste kwetsbaarheden nog steeds liggen.
De conclusie is tweeledig: organisaties zijn actiever bezig met training dan ooit, en die training werkt aantoonbaar. Maar de kloof tussen beleid en werkelijke weerbaarheid op de werkvloer is hardnekkig, en AI vergroot de urgentie met de dag.
Hoe AI-gedreven aanvallen het draagvlak voor security awareness vergroot hebben
Bijna negen op de tien organisaties geven aan dat het gebruik van AI door aanvallers het inzicht in het belang van security awareness bij medewerkers heeft vergroot. Hyperrealistische phishingmails, geautomatiseerde social engineering en deepfake-audio maken aanvallen steeds moeilijker van echte communicatie te onderscheiden. Het gevoel van urgentie dat dit oproept, heeft bij veel organisaties het momentum gecreëerd om eindelijk serieus te investeren in training.
Toch is bewustzijn niet hetzelfde als weerbaarheid. Slechts circa 40 procent van de leidinggevenden durft te stellen dat hun medewerkers daadwerkelijk in staat zijn om AI-gebaseerde dreigingen te herkennen, te vermijden en te rapporteren. De kloof tussen weten dat er gevaar is en weten hoe je erop reageert, blijft een van de meest zorgwekkende bevindingen in het rapport.
Een voorbeeld over hoe AI actief wordt ingezet door kwaadwillenden hebben we eerder belicht ons artikel hoe cybercriminelen AI inzetten in elke fase van een aanval waarin we een gedetailleerd overzicht geven van de operationele methoden die worden gebruikt.
Generatieve AI op de werkvloer: nieuw beleid, maar de uitvoeringskloof blijft bestaan
Met de opmars van generatieve AI-tools als ChatGPT, Copilot en vergelijkbare platforms op de werkvloer, is een nieuw risicoprofiel ontstaan. Medewerkers die gevoelige bedrijfsdata delen met Large Language Models, al dan niet bewust, creëren lekrisico’s die moeilijk te controleren zijn. Ruim de helft van de ondervraagde organisaties heeft inmiddels beleid geformuleerd voor het gebruik van GenAI en traint medewerkers in de veilige omgang met deze tools. Een vergelijkbaar aandeel heeft technische barrières ingericht om ongewenste data-uitwisseling met externe AI-modellen te beperken.
Maar Fortinet wijst op een patroon dat het rapport omschrijft als de uitvoeringskloof. Formeel beleid is pas effectief als medewerkers het begrijpen, onthouden en dagelijks toepassen. Dat vergt meer dan een eenmalige cursus of een document in het personeelsportaal. Veel organisaties worstelen juist op dit punt: het beleid is er, maar de verankering in dagelijks gedrag laat te wensen over.
Insiderrisico’s als groeiende motivatie voor security training
Een opvallende verschuiving in het rapport is de toenemende aandacht voor interne risico’s. Waar organisaties voorheen primair werden gedreven door de angst voor externe aanvallen en datalekken, noemt inmiddels meer dan een kwart insiderrisico’s als een van de belangrijkste redenen om te investeren in security awareness training. Dat is een significante stijging ten opzichte van een jaar eerder.
Insiderrisico’s omvatten niet alleen kwaadwillende medewerkers, maar ook onbewust nalatig gedrag: het klikken op een phishinglink, het verkeerd adresseren van een gevoelig document of het gebruik van een onbeveiligd wifi-netwerk. De tolerantie voor dergelijk gedrag neemt af. Maar liefst 91 procent van de besluitvormers in het onderzoek pleit voor strengere consequenties voor medewerkers die herhaaldelijk de fout ingaan bij phishing-simulaties of op andere manieren aantoonbaar risicovol gedrag vertonen.
Security awareness training vermindert aantoonbaar het aantal incidenten
Een van de krachtigste bevindingen in het rapport is dat training werkt. 67 procent van de organisaties die structureel inzetten op security awareness rapporteert een aantoonbare afname van het aantal succesvolle inbreuken, incidenten en datalekken. Dat maakt training niet alleen een compliance-instrument, maar een meetbare risicobeheersmaatregel.
Organisaties meten het effect steeds professioneler. De meest gebruikte indicatoren zijn een daling van het aantal security-incidenten, feedback van medewerkers en resultaten uit security-audits. Veel organisaties combineren tegenwoordig klassikale training, computergestuurde leermodules, phishing-simulaties en herhalingstrainingen om gedrag structureel te veranderen.
Deze aanpak staat ver af van de traditionele eenmalige verplichte cursus die medewerkers snel doorklikken en daarna vergeten. Het rapport laat zien dat organisaties steeds meer overstappen naar een continu programma dat inspeelt op actuele dreigingen en medewerkers regelmatig herinnert aan de risico’s van hun digitale gedrag.
Waarom veel trainingsprogramma’s hun potentieel niet waarmaken
Ondanks de positieve resultaten bij organisaties die training serieus nemen, blijft de uitvoering een structureel pijnpunt. Een relatief klein percentage van de organisaties rapporteert dat trainingen door het volledige personeelsbestand volledig worden afgerond. Bovendien geeft bijna 70 procent van de leidinggevenden aan dat het algehele bewustzijnsniveau van medewerkers nog steeds onvoldoende is.
De oorzaken zijn bekend: trainingen zijn te lang, te generiek of te weinig actueel. Medewerkers haken af als de inhoud niet aansluit bij hun dagelijkse werkzaamheden of als het tijdstip van training ongelegen komt. Het rapport beveelt aan om over te stappen op microtraining: korte leermodules van twee tot vijf minuten die frequent worden aangeboden en direct inspelen op actuele dreigingen of recente incidenten. Daarbij is zichtbare betrokkenheid van leidinggevenden essentieel. Wanneer security awareness top-down als prioriteit wordt uitgedragen, verhoogt dat de deelname en de relevantie van training aantoonbaar.
Dat de dreiging ondertussen niet stilstaat, maakt het tempo van verbetering des te urgenter. Juist in een periode waarin ransomware-aanvallen op Nederlandse organisaties toenemen, zoals beschreven in het artikel ransomware in Nederland 2025: wat zeggen de cijfers, is een goed getrainde medewerker een van de effectiefste defensieve lagen.
Welke onderwerpen staan centraal in effectieve security awareness programma’s
Het rapport geeft inzicht in de trainingsonderwerpen die organisaties het meest relevant achten. Gegevensbeveiliging en dataprivacy staan op de eerste en tweede plek. AI-gerelateerde tools en dreigingen zijn voor het eerst als zelfstandige categorie opgenomen en staan inmiddels op de derde positie, met 41 procent van de organisaties die dit als prioriteit aanmerkt. Dat geeft aan dat de realiteit van AI-aanvallen zijn weg heeft gevonden naar de inhoud van trainingen, wat een positieve ontwikkeling is.
Andere veelbehandelde onderwerpen zijn phishing-herkenning, wachtwoordbeheer, veilig gebruik van e-mail en het correct omgaan met gevoelige informatie. De trend is duidelijk: trainingsinhoud wordt actueler en dichter bij de dagelijkse werkpraktijk gebracht.
Security awareness als gedeelde organisatorische verantwoordelijkheid in 2025 en verder
Misschien wel de meest significante verschuiving die het rapport documenteert, is cultureel van aard. Security awareness wordt niet langer uitsluitend gezien als de verantwoordelijkheid van de IT- of security-afdeling. De meerderheid van de leidinggevenden beschouwt het inmiddels als een gedeelde verantwoordelijkheid die door de hele organisatie gedragen moet worden, van de directie tot aan de medewerker op de werkvloer.
Deze culturele transitie is geen soft statement, maar een operationele noodzaak. Aanvallers richten zich niet op firewalls of servers, maar op mensen. Zolang één medewerker op een overtuigende phishingmail klikt of onbewust gevoelige data deelt via een externe AI-dienst, biedt de sterkste technische beveiliging geen volledige garantie.
Het doel voor 2026 is volgens het rapport helder: medewerkers moeten niet alleen begrijpen dat dreigingen bestaan, maar instinctief en automatisch weten hoe ze veilig handelen in een werkomgeving die steeds verder wordt beïnvloed door AI. Organisaties die dat niveau willen bereiken, zullen moeten investeren in training als doorlopend proces, niet als jaarlijkse formaliteit.
Wil je weten hoe jouw organisatie staat op het gebied van security awareness of wil je een concreet trainingsprogramma laten inrichten? Neem contact op met SolidBE voor een vrijblijvend gesprek.
Download het rapport via https://www.fortinet.com/content/dam/maindam/PUBLIC/02_MARKETING/08_Report/ftnt-security-awareness-report-2025.pdf
