Awareness op de werkvloer vraagt een andere aanpak dan awareness op kantoor. Om zes uur start de ochtendploeg. Aan de lijn hangt een tablet waarop iedereen met hetzelfde account inlogt; het wachtwoord staat op een geeltje aan de zijkant. Een monteur zit in zijn bus en krijgt een sms dat een pakket voor de zaak niet bezorgd kon worden. Een chauffeur scant bij een laadpaal een QR-code om te betalen. Geen van deze mensen heeft de e-learning van vorig kwartaal afgerond, omdat ze geen bureau, geen vaste computer en soms niet eens een zakelijk mailadres hebben. Voor een groot deel van veel organisaties is dat de dagelijkse werkelijkheid, en de meeste awarenessprogramma’s slaan die groep over.
| In het kort: – Medewerkers zonder vaste werkplek lopen andere risico’s: gedeelde accounts, de telefoon als enige scherm, sms- en QR-fraude en fysieke toegang. – E-learning faalt hier om praktische redenen: geen eigen account, geen tijd aan een bureau en voorbeelden die niet over hun werk gaan. – Wat wel werkt: korte toolbox-momenten aan het begin van de dienst, geleid door de eigen leidinggevende, met één thema en één handeling. -Melden moet in één stap kunnen. Gedeelde accounts los je op met techniek; training alleen is daar te zwak voor. |
Waarom e-learning geen awareness op de werkvloer oplevert
De eerste reden waarom awareness op de werkvloer via e-learning mislukt, is praktisch. Een e-learning veronderstelt een eigen account, een rustige plek en twintig minuten achter een scherm. Een productiemedewerker heeft die drie zelden tegelijk. Wie de module toch wil maken, doet dat in een pauze op een telefoon, of klikt hem weg tussen twee orders door.
De tweede reden is inhoud. De meeste modules gaan over verdachte bijlagen in Outlook en nep-facturen in een mailbox. Wie de hele dag aan een machine staat of in een bus rijdt, herkent zijn eigen werk daar niet in. Een voorbeeld dat niet over je eigen situatie gaat, onthoud je niet.
De derde reden is dat e-learning ook op kantoor weinig doet. Onderzoekers van UC San Diego vonden onder ruim 19.500 medewerkers geen significant verband tussen het afronden van de verplichte jaarlijkse training en de kans om in phishing te trappen. Waarom dat zo is, beschreven we in security awareness training werkt niet. Op de werkvloer komt daar de praktische drempel nog bovenop.
Welke risico’s awareness op de werkvloer moet behandelen
Awareness op de werkvloer moet gaan over de situaties die deze medewerkers zelf tegenkomen. Dit overzicht zet de belangrijkste naast elkaar, met het gedrag dat je wilt zien:
| Situatie | Waarom het risico oplevert | Gewenst gedrag |
| Gedeeld account op een tablet of terminal aan de lijn | Niemand weet wie wat deed, en een gelekt wachtwoord geeft toegang aan iedereen die het kent | Wachtwoord nooit opschrijven of doorgeven aan iemand van buiten; afwijkingen melden |
| De telefoon als enige werkapparaat | Telefoons gaan mee het veld in en raken vaker zoek of worden gestolen | Schermvergrendeling aan, alleen apps uit de officiële store, verlies direct melden |
| Sms over een pakket, boete of loon | Een link in een sms wordt minder snel gewantrouwd dan een mail | Niet klikken; bij twijfel zelf de afzender bellen via een bekend nummer |
| QR-code op een paal, automaat of brief | Een sticker over een echte code leidt naar een nagemaakte betaalpagina | Kijk of de code een losse sticker is en controleer het webadres voordat je betaalt |
| Onbekende bij de poort of een gevonden usb-stick | Fysieke toegang en vreemde apparatuur omzeilen elke digitale beveiliging | Niemand meenemen zonder pasje; gevonden apparatuur afgeven, nooit insteken |
Twee bronnen onderbouwen waarom deze punten in awareness op de werkvloer thuishoren. Het Britse NCSC schrijft in zijn advies over apparaten dat draagbare apparaten vaak buiten kantoor komen en daardoor eerder kwijtraken of gestolen worden, en dat ook gedeelde tablets een pincode of wachtwoord nodig hebben. Het Ierse NCSC waarschuwt in een korte gids over QR-phishing (januari 2025) dat criminelen nep-QR-codes over echte codes plakken op drukke plekken, zoals betaalpunten voor parkeren, en dat QR-codes in e-mails beveiligingsfilters kunnen omzeilen. In Nederland waarschuwde de politie eind 2024 opnieuw voor nep-QR-stickers op parkeerautomaten.
In productieomgevingen komt er nog een laag bij. Machines en besturingssystemen hangen steeds vaker aan het netwerk, en een besmette laptop van een onderhoudsmonteur kan daar meer schade aanrichten dan op kantoor. Waarom die omgeving zo anders is, lees je in OT security en het verschil met IT. In transport en distributie spelen vergelijkbare risico’s, met de vrachtwagen en de scanner als werkplek.
Het toolbox-moment: awareness op de werkvloer in vijftien minuten
Productie, bouw en logistiek kennen al een werkvorm die werkt: de toolboxmeeting over veiligheid. Een korte bijeenkomst aan het begin van de dienst, staand, met één onderwerp en een concreet voorbeeld. Awareness op de werkvloer past naadloos in dat ritme, en dat is precies waarom het daar beter aankomt dan een e-learning.
Houd elk toolbox-moment voor awareness op de werkvloer bij één thema uit de tabel. Begin met een echt voorbeeld, liefst uit de eigen organisatie of sector: een foto van een nep-QR-sticker, een screenshot van een sms die iemand vorige week kreeg. Laat zien hoe het eruitziet, vertel in twee zinnen waarom het gevaarlijk is en sluit af met één handeling die iedereen vanaf vandaag doet. Meer niet. Vijftien minuten is genoeg, eens per maand is beter dan een uur per jaar.
Laat de eigen leidinggevende of ploegleider het moment leiden; awareness op de werkvloer werkt het best via iemand die de ploeg kent. Een vertrouwd gezicht dat zegt “dit gebeurde bij ons” komt harder aan dan een externe spreker of een video. Zorg wel dat die leidinggevende zelf goed voorbereid is. Daar zit de grootste winst. Wie het toolbox-moment geeft, moet weten waar hij over praat; de rest van de ploeg heeft genoeg aan korte, herhaalde momenten.
Wat de leidinggevende zelf moet weten
Een ploegleider die awareness op de werkvloer moet brengen, heeft meer nodig dan een presentatie om voor te lezen. Hij moet vragen kunnen beantwoorden, voorbeelden kunnen herkennen en uitleggen wat er gebeurt als iemand meldt. De Cyber Awareness Training van Trivian is bedoeld voor iedereen in de organisatie, van medewerker tot directeur, en behandelt phishing, ransomware, social engineering, malware, CEO-fraude en het melden van incidenten. De training duurt 8 of 16 uur, kan als halve dag, hele dag of in meerdere sessies, en wordt op maat gegeven, op locatie of online.
Voor awareness op de werkvloer in productie- en buitendienstorganisaties is de combinatie vaak het sterkst: een verdiepende training voor leidinggevenden en ploegleiders, en een kortere sessie op locatie voor de teams zelf, afgestemd op hun werk. Daarna houden de leidinggevenden het onderwerp maandelijks levend met toolbox-momenten. Teamtrajecten op maat bespreek je via de pagina voor werkgevers.
Melden moet in één stap kunnen
Awareness op de werkvloer heeft weinig zin als melden ingewikkeld is. Een medewerker met alleen een telefoon gaat geen formulier op het intranet invullen. Geef één simpel meldkanaal: een telefoonnummer, een vaste contactpersoon of de eigen leidinggevende. Maak duidelijk dat melden nooit tot straf leidt, ook niet als iemand zelf geklikt heeft. Die zelfmelding is het meest waardevolle signaal dat je kunt krijgen.
Meet daarna of awareness op de werkvloer werkt, per team of locatie. Het aantal terechte meldingen en de snelheid waarmee ze binnenkomen, zeggen meer dan een afrondingspercentage. De indicatoren daarvoor beschreven we in awareness meten.
Wat je niet met training oplost
Een gedeeld account met een wachtwoord op een geeltje is in de eerste plaats een ontwerpprobleem. Training kan mensen leren het wachtwoord niet door te geven, maar zolang een hele ploeg hetzelfde account deelt, blijft het risico bestaan. Persoonlijke pasjes, korte pincodes per medewerker of inloggen met een badge lossen dat beter op. Hoe aanvallers misbruik maken van zwakke accounts, lees je in identity-based aanvallen.
Hetzelfde geldt voor telefoons. Schermvergrendeling, automatische updates en de mogelijkheid om een verloren toestel op afstand te blokkeren, regel je centraal. Awareness op de werkvloer werkt het best als techniek de makkelijke fouten al tegenhoudt, en de training zich richt op wat techniek niet kan zien: een verhaal aan de poort, een sms die net echt lijkt, een collega die zich vreemd gedraagt. Voor dat laatste is insider threat-detectie een goed vervolg.
Frequently Asked Questions
Hoe vaak moet awareness op de werkvloer terugkomen?
Een kort toolbox-moment eens per maand werkt beter dan één lange sessie per jaar. Herhaling in kleine stukken blijft beter hangen.
Wie geeft de toolbox-momenten?
Bij voorkeur de eigen leidinggevende of ploegleider. Zorg dat die zelf een verdiepende training heeft gehad, zodat hij vragen kan beantwoorden.
Moeten productiemedewerkers ook de volledige training volgen?
Niet per se. Een kortere sessie op locatie, afgestemd op hun werk, gevolgd door maandelijkse toolbox-momenten, past vaak beter dan een volledige training. Zo blijft awareness op de werkvloer dicht bij hun werk.
Wat als medewerkers geen zakelijk mailadres hebben?
Dan zijn sms, WhatsApp, QR-codes en telefoongesprekken hun belangrijkste risico’s. Richt awareness op de werkvloer daarop, en geef een meldkanaal dat zonder mail werkt.
De groep die het verschil maakt
In veel organisaties werkt het grootste deel van de mensen niet aan een bureau. Wie awareness op de werkvloer goed regelt, bereikt de groep die het vaakst over het hoofd wordt gezien en die aanvallers juist steeds vaker opzoeken via sms, QR-codes en de poort. Voor kleinere organisaties met beperkt budget staan keuzes uitgewerkt in cybersecurity voor het mkb, en voor risico’s via leveranciers in supply chain security. Startdata vind je in de agenda. Wil je bespreken hoe een training op locatie past bij jouw ploegen en diensten, plan dan een kennismaking.
