Security awareness vanaf dag één: onboarding die blijft hangen

Waarom de eerste weken de kwetsbaarste zijn

Een organisatie beschermt haar mensen grotendeels met iets onzichtbaars: gedeelde normaliteit. Wie er een tijd werkt, weet hoe een echt verzoek van de financiële afdeling klinkt, dat de directeur nooit om cadeaubonnen vraagt, en dat “even snel buiten het systeem om” hier niet bestaat. Afwijkingen vallen op tegen die achtergrond — dát is het detectiemechanisme, niet de checklist uit een training.

Een nieuwe medewerker heeft die achtergrond nog niet. Voor hem is álles nieuw, dus valt níets op. Een vreemd verzoek is gewoon het zoveelste nieuwe ding van die week. Tegelijk staat zijn sociale motivatie op de hoogste stand: behulpzaam zijn, niet moeilijk doen, indruk maken. Precies de knoppen waar social engineering op drukt. De wil om te helpen is bij een aanval geen zwakte van karakter, maar een eigenschap die tijdelijk onbeschermd is — totdat kennis van de organisatie haar komt afschermen.

Het draaiboek: vijf momenten van dag één tot maand drie

Eén presentatie op dag één werkt niet — die dag krijgt iemand zóveel over zich heen dat de helft verdampt. Verdeel het daarom over vijf korte momenten:

1. Dag 1: drie afspraken, geen presentatie. Houd het bij wat iemand vandaag al kan tegenkomen: één — bij twijfel over een mail of telefoontje vraag je het na, áltijd, en dat wordt hier gewaardeerd; twee — niemand zal je ooit telefonisch of per mail om je wachtwoord of inlogcodes vragen; drie — dit is het meldpunt, zet het nummer nu in je telefoon. Klaar. Vijf minuten, samen met de toegangspas en de koffieuitleg.
2. Week 1: de buddy-afspraak. Koppel elke nieuwe medewerker aan een ervaren collega die het hardop uitspreekt: “Krijg jij iets binnen dat je niet vertrouwt of niet kunt plaatsen — stuur het me door of loop even langs. Geen enkele vraag is te klein.” Die ene zin geeft de nieuwkomer wat hij nog mist: een leenversie van het organisatiegevoel van iemand anders.
3. Week 2-3: het verhaal achter de regels. Nu pas het inhoudelijke gesprek: hoe zien aanvallen op ónze organisatie eruit, welke smoezen circuleren in onze branche, waarom verifiëren we betaalverzoeken telefonisch. Concreet en met echte voorbeelden uit eigen huis — een doorleefd verhaal van een collega blijft hangen waar een generieke e-learning vervliegt.
4. Maand 2: de eerste praktijktoets, zacht gebracht. Draait er een phishing-simulatie, laat de nieuwkomer gewoon meedoen — maar lijst het vooraf in als oefening waar je van leert, niet als examen. Wie klikt, krijgt uitleg en een schouderklop voor de leerervaring; wie meldt, krijgt een expliciet bedankje. De les die je wilt planten is niet “klik nooit” maar “melden is hier altijd goed”.
5. Maand 3: het terugkijkgesprek. Vraag de nieuwe collega wat hem is opgevallen: welke verzoeken vond je vreemd, waar twijfelde je, wat heb je niet durven vragen? Twee winsten tegelijk — de nieuwkomer verankert zijn alertheid, en jij krijgt frisse ogen op gewoonten waar de rest van de organisatie blind voor is geworden.

Wat je vooral níet doet

Net zo belangrijk als het draaiboek is wat je weglaat. Geen bangmakerij: wie zijn onboarding opent met doemscenario’s en dreigende voorbeelden, leert mensen vooral dat security eng en zwaar is — en angstige mensen melden minder, niet meer. Geen strafcultuur: zodra klikken in een simulatie consequenties heeft (een verplichte cursus als boetedoening, een vermelding, een gesprek met een verwijtende ondertoon), leer je mensen hun fouten te verbergen. En dat is letterlijk het gevaarlijkste gedrag dat een organisatie kan kweken, want verborgen fouten zijn de fouten die uitgroeien tot incidenten.

Ook niet doen: de nieuwe medewerker overladen met beleid. Tien pagina’s gedragsregels op dag één betekent in de praktijk nul gelezen regels. De drie afspraken van dag één en de buddy doen meer dan het hele handboek samen, omdat ze werken op het moment van twijfel — en twijfel is het enige moment dat telt. Hoe je van die menselijke momenten een echte verdedigingslinie maakt, is precies waar Human Firewall over gaat.

Wat je morgen anders doet

Begint er binnenkort iemand nieuw? Regel vandaag twee dingen: zet de drie dag-één-afspraken in het inwerkschema, en vraag één ervaren collega om buddy te zijn — met de letterlijke zin “vraag het bij twijfel aan mij” als opdracht. Kosten: een kwartier organisatie. En wil je weten waar je bestaande mensen staan voordat de volgende nieuweling binnenkomt: laat het team de human firewall test doen en bespreek de uitkomsten samen, zonder cijferlijstjes en zonder schuldigen.