Beveilig het netwerk van uw organisatie tegen menselijke fouten

Key Takeaways

• Menselijke fouten, waaronder vatbaarheid voor phishing, hergebruik van inloggegevens, verkeerde configuratie en social engineering, speelden een rol bij 62 procent van de datalekken in het Verizon 2026 DBIR-rapport, een stijging ten opzichte van 60 procent het jaar ervoor.
• Beveiligingsbewustzijnstraining vermindert risico's, maar elimineert ze niet; de maatregelen die de menselijke keuzevrijheid in het beveiligingsproces daadwerkelijk wegnemen (phishingbestendige MFA, wachtwoordloze authenticatie, geautomatiseerd beheer van de levenscyclus van sleutels en certificaten) dichten de lacune die training alleen openlaat.
• SSH-sleutels en langdurige inloggegevens behoren tot de meest kwetsbare technologieën, omdat ze zelden verlopen, zelden in handen zijn van één verantwoordelijke persoon en gemakkelijk per ongeluk te veel kunnen worden verstrekt.
• Toegang met minimale bevoegdheden, geautomatiseerde certificaatvernieuwing en continue, op rollen gebaseerde training vormen samen de praktische checklist voor herstelmaatregelen die de meeste audit- en compliancekaders tegenwoordig verwachten.
• Geen enkele controle sluit menselijke fouten volledig uit; het doel is om de impact van een enkele fout te verkleinen, niet om te garanderen dat er nooit een fout zal gebeuren.

Gepubliceerd: juni 2022. Bijgewerkt: augustus 2026. Beoordeeld door het beveiligingsteam van Encryption Consulting.

De budgetten voor beveiliging blijven stijgen en er komen steeds nieuwe detectietools op de markt, maar de zwakste schakel in de meeste inbreukketens is nog steeds iemand die klikt, typt of iets goedkeurt wat niet de bedoeling is. Dat is geen karakterfout. Het is wat er gebeurt wanneer systemen zo zijn ontworpen dat ze van mensen verwachten dat ze zich altijd correct gedragen, en één foutje is al genoeg voor een aanvaller.

Wat wordt in de cybersecurity als "menselijke fout" beschouwd?

Menselijke fouten in cybersecurity betekenen een onbedoelde handeling, of het nalaten van een handeling, door een geautoriseerde gebruiker die een beveiligingsincident veroorzaakt, verspreidt of mogelijk maakt. Dit is iets anders dan kwaadwillige activiteiten van een insider, waarbij de persoon opzettelijk schade wil toebrengen. Vier categorieën zijn hiervoor het meest verantwoordelijk:

• Gevoeligheid voor phishing. Het klikken op een schadelijke link of bijlage, of het reageren op een frauduleus verzoek, na een bericht dat zich voordoet als een betrouwbare afzender.
• Hergebruik van inloggegevens en zwakke wachtwoorden. Hetzelfde wachtwoord voor alle diensten gebruiken, of een wachtwoord kiezen dat een aanvaller of een kraakprogramma snel kan raden.
• Verkeerde configuratie. Een cloudopslagbucket openbaar laten staan, een SSH-sleutel zonder vervaldatum gebruiken of standaard een te ruime toegangsbeheerinstelling hanteren.
• Gevoeligheid voor sociale manipulatie. Door middel van psychologische tactieken, voorwendsels, lokmiddelen of imitatie wordt iemand gemanipuleerd om een ​​controlemechanisme te omzeilen waaraan hij of zij zich anders wel zou houden.

Social engineering is de overkoepelende term voor aanvallen die mensen manipuleren in plaats van software te misbruiken. Een aanvaller verzamelt informatie over een doelwit, vaak via openbare socialemediaprofielen of eerdere datalekken, en gebruikt die informatie vervolgens om betrouwbaar over te komen voordat hij om een ​​wachtwoord, een betaling of een klik vraagt. Phishing is de meest voorkomende methode: een frauduleuze e-mail, sms of telefoontje dat is ontworpen om een ​​van de bovengenoemde acties uit te lokken. Interne risico's vormen een verwante, maar aparte categorie die zowel een onzorgvuldige werknemer die een eerlijke fout maakt als een kwaadwillende actor die opzettelijk misbruik maakt van zijn toegang omvat; de maatregelen die op elk van deze risico's van toepassing zijn, verschillen. Daarom is het behandelen van 'interne risico's' als één probleem een ​​veelgemaakte planningsfout. Beveiligingsbewustzijnstraining is het gestructureerde, terugkerende trainingsprogramma dat organisaties uitvoeren om de eerste drie categorieën te verminderen, hoewel, zoals de onderstaande paragrafen laten zien, training alleen een plafond heeft.

Hoe groot is de rol van menselijke fouten bij datalekken?

Het Data Breach Investigations Report (DBIR) van Verizon, dat jaarlijks verschijnt en is samengesteld uit tienduizenden bevestigde datalekken die door organisaties en incidentresponsbureaus wereldwijd worden aangeleverd, is de meest geciteerde primaire bron voor informatie over hoe datalekken daadwerkelijk ontstaan. Het aandeel van de menselijke factor is hoog gebleven en zelfs toegenomen:

• DBIR 2025: Het menselijke element speelde een rol in 60 procent van de geanalyseerde datalekken.
• DBIR 2026: Dat percentage steeg naar 62 procent van de inbreuken, zelfs toen aanvallers steeds vaker gebruik maakten van ongepatchte kwetsbaarheden in edge-apparaten en VPN's. Deze categorie overtrof gestolen inloggegevens als de meest voorkomende initiële toegangsmethode en werd daarmee voor het eerst de belangrijkste.

Dat laatste punt is belangrijk voor hoe je de trend interpreteert. Menselijke fouten verliezen niet terrein aan geavanceerdere aanvallen; ze gaan hand in hand daarmee. Een verkeerd geconfigureerd of niet-gepatcht systeem is vaak zelf het gevolg van een menselijke beslissing (een patch uitgesteld, een waarschuwing genegeerd, een wijziging doorgevoerd zonder beoordeling), waardoor de grens tussen 'menselijke fout' en 'technische kwetsbaarheid' dunner is dan de twee categorieën doen vermoeden.

Welke technologieën zijn het meest gevoelig voor menselijke fouten?

Sommige systemen concentreren het risico op menselijke fouten meer dan andere, omdat ze ervan afhankelijk zijn dat een persoon zich steeds opnieuw herinnert iets correct te doen, zonder geautomatiseerde vangnet.

• Authenticatie op basis van wachtwoorden. Elk inlogscherm waar een wachtwoord wordt ingevoerd, is een oppervlak waar hergebruik, zwakke wachtwoorden en phishing rechtstreeks kunnen leiden tot accountovername.
• SSH-sleutels. In tegenstelling tot wachtwoorden verlopen SSH-sleutels doorgaans nooit en zijn ze zelden gekoppeld aan één enkele eigenaar in een directorysysteem. Een sleutel die jaren geleden is gegenereerd door een medewerker die inmiddels is vertrokken, kan dus geldig blijven en niet worden gecontroleerd.
• Cloudopslag en samenwerkingstools. In veel platformen staan ​​de deelinstellingen standaard op gemak in plaats van beperkingen, en een enkele verkeerde klik kan een bucket of een document openbaar maken op het internet.
• E-mail. Onjuiste bezorging, waarbij gevoelige informatie naar de verkeerde ontvanger wordt gestuurd vanwege een autocomplete-fout of een verkeerde invulling van het "Aan"-veld in plaats van het "Bcc"-veld, blijft een terugkerende oorzaak van bevestigde datalekken in gereguleerde sectoren.
• Certificaat- en sleutelbeheerprocessen worden handmatig uitgevoerd. Het bijhouden van een certificaatvernieuwing in een spreadsheet is afhankelijk van iemand die de datum onthoudt; het missen ervan veroorzaakt een storing, en haasten onder druk vergroot de kans op een verkeerde configuratie.

Wat zijn de gevolgen van een beveiligingsincident dat is veroorzaakt door een menselijke fout?

De directe gevolgen hangen af ​​van wat de fout aan het licht heeft gebracht, maar drie consequenties komen in gedocumenteerde gevallen steeds weer terug:

1. Onbevoegde toegang. Via phishing verkregen inloggegevens of een gelekte sleutel krijgt een aanvaller een legitiem ogende toegangspoort, die moeilijker te detecteren is dan malware, omdat de activiteit in eerste instantie op normaal gebruikersgedrag lijkt.
2. Blootstelling aan of verlies van gegevens. Foutieve levering, verkeerde configuraties door het publiek en succesvolle phishingaanvallen waarbij direct gegevens worden verzameld, leiden allemaal tot hetzelfde probleem: informatie ontsnapt aan de controle van de organisatie, vaak met de bijbehorende wettelijke meldingsverplichtingen.
3. Operationele verstoring. Ransomware die via een phishing-klik wordt verspreid, of een storing veroorzaakt door een verlopen certificaat dat niemand heeft bijgehouden, verstoort de bedrijfsvoering en de kosten van de downtime overstijgen vaak de kosten van het oorspronkelijke datalek.

De factor die de situatie nog complexer maakt, is tijd. Omdat incidenten door menselijke fouten in eerste instantie vaak op legitieme toegang lijken, duren ze doorgaans langer voordat ze worden ontdekt dan incidenten die een duidelijke technische waarschuwing activeren. Dit vergroot zowel de reikwijdte van wat een aanvaller kan bereiken als de uiteindelijke kosten van de reactie.

Hoe sporen beveiligingsteams incidenten op die door menselijke fouten zijn veroorzaakt?

Detectie voor deze categorie is minder afhankelijk van op handtekeningen gebaseerde tools en meer van gedrags- en processignalen, omdat de onderliggende activiteit gebruikmaakt van geldige inloggegevens of een geldig configuratiepad.

• Afwijkende inlogpatronen. Onmogelijke reizen, inloggen op ongebruikelijke tijden of authenticatie vanaf een nieuw apparaat in combinatie met een gevoelige handeling zijn sterke signalen dat inloggegevens zijn gestolen of hergebruikt.
• Waarschuwingen voor gegevensverliespreventie (DLP). Regels die gevoelige gegevens signaleren die via e-mail, upload of een verkeerd geconfigureerde deeloptie worden verzonden, voorkomen verkeerde bezorging en onbedoelde openbaarmaking voordat de gegevens openbaar worden.
• Audits van certificaten en belangrijke inventarissen. Door te scannen op verlopen, binnenkort verlopen of eigenaarloze certificaten en SSH-sleutels worden fouten in de handmatige controle aan het licht gebracht voordat ze een storing veroorzaken of leiden tot verouderde inloggegevens die iemand vergeten is in te trekken.
• Rapportagecijfers van phishing-simulaties. Het bijhouden van hoeveel werknemers een gesimuleerde phishing-e-mail melden, en niet alleen hoeveel erop klikken, is een belangrijke indicator of bewustwordingstraining gedrag verandert of slechts wordt getolereerd.
• Toegangscontrole en controle op rechten. Door periodiek te controleren wie toegang heeft tot wat, en dit te toetsen aan het principe van minimale bevoegdheden, wordt de opgebouwde overcapaciteit die ontstaat wanneer toegang snel wordt verleend en langzaam wordt ingetrokken, opgespoord.

Wat is de checklist voor het verminderen van menselijke fouten?

Training verandert het gedrag van sommige mensen, soms. De onderstaande maatregelen verminderen de kosten van een enkele misstap door de beslissingsbevoegdheid zoveel mogelijk bij de persoon weg te nemen.

1. Implementeer phishingbestendige multifactorauthenticatie (MFA). Standaard MFA-methoden die gebruikmaken van een eenmalige code of een pushmelding kunnen nog steeds via phishing of door middel van vermoeidheid worden omzeild. Phishingbestendige methoden, zoals FIDO2/WebAuthn-beveiligingssleutels of authenticatie op basis van certificaten, koppelen de login cryptografisch aan de legitieme website en kunnen niet door een aanvaller worden omgeleid.
2. Ga over op wachtwoordloze of certificaatgebaseerde authenticatie. Het vervangen van wachtwoorden door een apparaatgebonden certificaat elimineert hergebruik van inloggegevens en het raden van wachtwoorden volledig uit het dreigingsmodel, omdat er geen gedeeld geheim meer is dat een aanvaller kan achterhalen via phishing of kraken.
3. Handhaaf het principe van minimale privileges. Standaard wordt de toegang geweigerd, waarna de minimale machtigingen die een rol nodig heeft, worden toegekend. Deze machtigingen worden volgens een vast schema gecontroleerd in plaats van dat ze zich ophopen. De principes van Zero Trust, waarbij elk toegangsverzoek wordt geverifieerd in plaats van te vertrouwen op basis van de netwerklocatie, zijn hier direct van toepassing.
4. Automatiseer het beheer van de levenscyclus van SSH-sleutels en -certificaten. Vervang handmatig bijgehouden, nooit verlopende sleutels en certificaatvernieuwing via spreadsheets door een platform dat referenties volgens een schema uitgeeft, roteert en intrekt, zodat een gemiste herinnering geen actieve kwetsbaarheid kan worden.
5. Voer doorlopend, op rollen gebaseerde trainingen over beveiligingsbewustzijn uit. Een jaarlijkse compliancevideo verandert weinig. Korte, frequente trainingen, afgestemd op de specifieke risico's waarmee een functie daadwerkelijk te maken heeft, in combinatie met regelmatige phishing-simulaties, leiden aantoonbaar tot een hogere meldingsgraad op de lange termijn.
6. Voeg beveiligingsmaatregelen ter voorkoming van gegevensverlies toe aan e-mail en het delen van bestanden. Geautomatiseerde controles die gevoelige gegevens signaleren of blokkeren die via het verkeerde kanaal worden verzonden, voorkomen dat de gegevens verkeerd worden afgeleverd voordat ze tot een datalek leiden.
7. Builddetectie als vangnet, niet als eerste verdedigingslinie. Ga ervan uit dat er fouten door de bovenstaande controles heen zullen glippen en investeer in de procedures voor anomaliedetectie en audits die in de vorige sectie zijn beschreven, zodat een fout binnen enkele uren wordt ontdekt, in plaats van maanden.

Welke technische beheersmaatregel compenseert het beste elke categorie menselijke fouten?

Categorie menselijke fouten	Typisch voorbeeld	Technische controle die de afhankelijkheid van waakzaamheid vermindert.
vatbaarheid voor phishing	Het klikken op een schadelijke link of het goedkeuren van een frauduleuze MFA-pushmelding.	Phishingbestendige MFA (FIDO2/WebAuthn, certificaatgebaseerde authenticatie)
Hergebruik van inloggegevens en zwakke wachtwoorden	Hetzelfde wachtwoord wordt gebruikt voor zowel privé- als werkaccounts.	Wachtwoordloze of certificaatgebaseerde authenticatie, afgedwongen wachtwoordbeheerbeleid
Verkeerde configuratie	Openbaar toegankelijke opslagbucket of te ruime toegangsrechten	Toegangscontrole op basis van minimale bevoegdheden, geautomatiseerde configuratieaudits
Verkeerde levering en onjuiste gegevensverwerking	Gevoelige gegevens naar de verkeerde ontvanger verzonden	Hulpmiddelen voor gegevensverliespreventie (DLP), encryptie tijdens overdracht en opslag.
Sociale manipulatie (pretexting, lokken, imitatie)	Een oplichter doet zich voor als IT-ondersteuning of een leverancier om inloggegevens te bemachtigen.	Geverifieerde out-of-band bevestigingsworkflows, continue training in beveiligingsbewustzijn
Niet-beheerde of nooit verlopende inloggegevens	SSH-sleutel of -certificaat dat niemand vergeet te vernieuwen of in te trekken.	Geautomatiseerd beheer van de levenscyclus van sleutels en certificaten

Wat zijn de beperkingen van programma's ter vermindering van menselijke fouten?

Geen enkele combinatie van training en technische beheersmaatregelen kan menselijke fouten tot nul reduceren, en het beschouwen van een enkel cijfer, inclusief de 62 procent DBIR-statistiek die in dit artikel herhaaldelijk wordt aangehaald, als een nauwkeurige meting van uw eigen omgeving, overdrijft wat de data ondersteunen. Enkele beperkingen die het waard zijn om direct te benoemen:

• De DBIR-cijfers zijn gebaseerd op een grote, vrijwillige steekproef van deelnemende organisaties; ze beschrijven een patroon voor de hele sector, en zijn geen voorspelling voor een specifiek bedrijf.
• Phishingbestendige MFA en wachtwoordloze authenticatie elimineren wachtwoordgerelateerde risico's, maar sluiten niet alle mogelijkheden voor social engineering uit; een aanvaller die bijvoorbeeld een helpdeskmedewerker overhaalt om persoonlijk een authenticatiefactor te resetten, omzeilt de technische beveiliging volledig.
• Geautomatiseerde tools voor de levenscyclus van sleutels en certificaten verminderen fouten bij handmatige controle, maar zijn nog steeds afhankelijk van een correcte initiële configuratie en reikwijdte; een slecht afgebakende automatisering kan een fout sneller verspreiden dan een handmatig proces.
• Training verbetert de rapportage en de bewustwording, maar gepubliceerd onderzoek naar bewustwordingsprogramma's toont aan dat het effect sterk varieert per organisatie, functie en de manier waarop de training wordt gegeven; het is een risicoverminderende laag, geen garantie.

Updatelogboek

Dit artikel werd voor het eerst gepubliceerd in juni 2022 en ingrijpend bijgewerkt in augustus 2026. De update van augustus 2026 bevatte de meest recente Verizon DBIR-statistieken (edities 2025 en 2026), een sectie over blootstelling aan en impact van technologie, een sectie over detectie- en actieplannen, een genummerde checklist voor herstelmaatregelen gekoppeld aan specifieke technische beheersmaatregelen, een tabel met beslissingen over menselijke fouten versus beheersmaatregelen, een sectie over beperkingen, een FAQ-sectie met bijbehorende gestructureerde gegevens en bijgewerkte interne links naar de actuele bronnen van Encryption Consulting over authenticatie en sleutelbeheer. Verouderde informatie (niet-geattribueerde statistieken, een algemeen cijfer van "95 procent") werd vervangen door gedocumenteerde, gedateerde cijfers.

Wat zou Encryption Consulting aanbevelen?

De meeste organisaties bieden al trainingen aan op het gebied van beveiligingsbewustzijn. Veel minder organisaties hebben het wachtwoord echter niet langer als belangrijkste zwakke plek aangemerkt, terwijl dit de verandering is met het grootste meetbare effect op phishing en het risico op hergebruik van inloggegevens. Onze aanbeveling, in volgorde:

1. Begin met de inloggegevens, niet met de persoon. Zet bevoegde en, na verloop van tijd, alle gebruikersauthenticatie over naar certificaatgebaseerde, wachtwoordloze aanmelding. CertSecure ManagerEr blijft dus geen wachtwoord over dat een medewerker opnieuw kan gebruiken of dat een aanvaller kan proberen te achterhalen via phishing.
2. Hanteer dezelfde regels voor SSH-sleutels. Statische, nooit verlopende SSH-sleutels zijn een van de meest voorkomende oorzaken waardoor een jarenoude menselijke beslissing tot een actueel beveiligingslek kan leiden. SSH beveiligd Het automatiseert de uitgifte, rotatie en intrekking van sleutels, waardoor eigendom en vervaldatum worden afgedwongen in plaats van bijgehouden in een spreadsheet.
3. Bouw de certificeringsinfrastructuur zo op dat beide op grote schaal ondersteund worden, zonder extra operationele lasten voor je team te creëren. PKI-as-a-Service Dit biedt u een beheerde infrastructuur voor openbare sleutels, waardoor authenticatie op basis van certificaten en geautomatiseerd beheer van de sleutellevenscyclus mogelijk zijn zonder dat u een eigen certificeringsinstantie (CA) hoeft op te zetten en te bemensen.
4. Ga door met trainen, maar beschouw het als één onderdeel van een groter programma, niet als het complete trainingsprogramma.

Encryption Consulting is ISO/IEC 27001:2022 gecertificeerd en SOC 2-conform. Ons adviesteam heeft authenticatie- en sleutelbeheerprogramma's ontworpen voor organisaties in diverse gereguleerde sectoren. Wilt u een second opinion over de huidige stand van uw programma? Dan is een dergelijke beoordeling een nuttige eerste stap voordat u overgaat tot een wijziging van de tools.

Conclusie

Menselijke fouten zullen niet verdwijnen, en geen enkel trainingsprogramma zal dat doen. Wat wel is veranderd sinds dit artikel voor het eerst verscheen in 2022, is de mate waarin dit risico nu uit het systeem kan worden geëlimineerd in plaats van uit de persoon te worden getraind. Authenticatie op basis van certificaten elimineert het wachtwoord dat een aanvaller kan achterhalen via phishing. Geautomatiseerd beheer van de levenscyclus van sleutels en certificaten elimineert de handmatige stap die iemand vergeet. Toegang met minimale bevoegdheden beperkt de impact van één enkele fout. Niets hiervan elimineert menselijke fouten volledig, maar samen verkleinen ze het aantal momenten waarop een slechte dag van één persoon leidt tot een datalek voor de hele organisatie.

Gerelateerde artikelen: Waarom is preventie van gegevensverlies essentieel en wat zijn de voordelen voor uw organisatie?, Versterk uw MFA met hardwarebeveiligingsmodules (HSM's) , Waarom SSH-sleutels met een onbeperkte geldigheidsduur een beveiligingsrisico vormen , en Wat is Zero Trust-beveiliging?

Veelgestelde Vragen / FAQ

Welk percentage van de datalekken is te wijten aan menselijke fouten?
Het Verizon Data Breach Investigations Report 2026 toonde aan dat de menselijke factor een rol speelde in 62 procent van de datalekken, een stijging ten opzichte van 60 procent in het rapport van 2025. Dit omvat phishing, misbruik van inloggegevens, verkeerde configuratie en fouten, naast datalekken die voornamelijk werden veroorzaakt door misbruikte technische kwetsbaarheden.

Is training in beveiligingsbewustzijn voldoende om inbreuken door menselijke fouten te voorkomen?
Nee. Training verbetert meetbaar het aantal meldingen van phishing en het algemene bewustzijn, maar het neemt niet het onderliggende risico weg dat iemand onder druk misleid kan worden. Door training te combineren met technische maatregelen die de beslissingsbevoegdheid van de gebruiker wegnemen, zoals phishingbestendige MFA en authenticatie zonder wachtwoord, wordt het gat gedicht dat training alleen openlaat.

Wat is phishingbestendige MFA en waarom is het belangrijker dan standaard MFA?
Phishingbestendige MFA, zoals FIDO2/WebAuthn-beveiligingssleutels of certificaatgebaseerde authenticatie, koppelt de inlogpoging cryptografisch aan de legitieme website, waardoor gestolen inloggegevens niet elders kunnen worden gebruikt. Standaard MFA-methoden zoals eenmalige codes en pushmeldingen kunnen nog steeds worden misbruikt via realtime relay-aanvallen of per ongeluk worden goedgekeurd door pushmeldingenoverbelasting.

Hoe vermindert authenticatie zonder wachtwoord het risico op menselijke fouten?
Authenticatie zonder wachtwoord vervangt een getypt, gedeeld geheim door een aan het apparaat gebonden cryptografische sleutel of certificaat. Omdat er geen wachtwoord is dat hergebruikt, geraden of via phishing verkregen kan worden, worden complete categorieën menselijke fouten (zwakke wachtwoorden, hergebruik van wachtwoorden, phishing van inloggegevens) uit het dreigingsmodel verwijderd in plaats van achteraf te worden aangepakt.

Wat is het verschil tussen een menselijke fout en een interne dreiging?
Menselijke fouten zijn onbedoeld: een medewerker maakt een fout zonder de intentie om schade te veroorzaken. Een interne dreiging, in de kwaadaardige vorm, houdt in dat iemand opzettelijk misbruik maakt van legitieme toegang. Beide vallen onder de bredere term interne risico's, maar vereisen verschillende beheersmaatregelen: menselijke fouten kunnen het beste worden aangepakt met training en technische beveiligingsmaatregelen, terwijl kwaadaardige interne activiteiten monitoring, toegangscontrole en functiescheiding vereisen.

Referenties

• Verizon, “Rapport over datalekonderzoeken in 2026”, https://www.verizon.com/business/resources/reports/dbir/
• Verizon, “Rapport over datalekonderzoeken in 2025”, https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf