Een security awareness training voor een advocatenkantoor levert bijna altijd hetzelfde moment op: iemand aan tafel zegt hardop "die mail had ik gewoon geopend". Niet een stagiair, meestal een partner of een senior secretaresse die al vijftien jaar mailt zonder ongelukken. Dat is precies waarom die training er hoort te zijn, en waarom een firewall het gat niet dicht. In deze blog leggen we uit wat wel werkt, wat de vier phishing-patronen zijn die specifiek richting advocaten en notarissen komen, en hoe je je kantoor stap voor stap weerbaarder maakt.
De meeste kantoren waar we binnenkomen hebben hun techniek op orde. Er staat een fatsoenlijke virusscanner op elk apparaat, er is een firewall, de mailfilter vangt de grove bulk-phishing weg. Op papier is dat een net verhaal richting de deken en richting de klant. In de praktijk is het de helft van de verdediging.
Wat we bij die trainingen zien: mensen weten niet waar ze op moeten letten. Iemand krijgt een mail die eruitziet alsof die van een tegenpartij komt, met een link naar een "gedeeld dossier". De pagina die opent is een keurige nabootsing van een inlogscherm. Er wordt geklikt, er worden inloggegevens ingevuld, en op dat moment is het einde zoek. Geen enkele firewall houdt tegen dat een medewerker zelf de deur openzet. En de gevolgen zijn niet klein: dossiers van cliënten die op straat komen, geheimhouding die geschonden is, meldplicht datalekken die in werking treedt, en een reputatieschade waar je jaren aan werkt om die te herstellen.
Wat werkt bij een security awareness training voor een advocatenkantoor
Wat in de praktijk werkt is niet één jaarlijkse sessie waarin iemand een uur uitlegt hoe phishing eruitziet. Dat is het equivalent van één keer per jaar de brandoefening doen en denken dat je personeel weet waar de nooduitgang zit. Bewustzijn zakt weg. Na drie maanden is de helft van wat er in die sessie is verteld verdampt.
Wat wel effect heeft is een combinatie van korte, herhaalde momenten en echte simulaties. Concreet: elk kwartaal een phishing-simulatie waarbij je eigen mensen een nagemaakte mail krijgen, en de mensen die klikken direct een korte uitleg zien van wat ze hadden moeten opmerken. Geen straf, geen naming and shaming, wel een leermoment op het moment dat het brein het onthoudt. Daarnaast twee keer per jaar een klassikale sessie van 45 minuten waarin je met echte voorbeelden uit je eigen sector werkt: de nep-mail van "de rechtbank", het bericht dat lijkt op een notificatie van je eigen dossiersysteem, de factuur die precies op die van je vaste leverancier lijkt.
Wat een firewall wel en niet doet in een juridische omgeving
Er zit een misverstand in veel kantoren over wat IT-beveiliging aan de achterkant afvangt. Wij regelen wat we kunnen regelen: virusscanner op elk apparaat, firewall op de rand van het netwerk, mailfilter dat bekende afzenders en verdachte bijlagen wegvangt, MFA op de werkplek, back-ups die apart staan van het live-systeem. Dat vangt het merendeel van de geautomatiseerde aanvallen weg. Maar op het moment dat een medewerker een link krijgt die door de filter heen glipt, erop klikt, en op een overtuigende pagina inlogt: dan is de technische verdediging omzeild via de voordeur.
Belangrijk om te snappen: aanvallers hoeven niet meer door je muur heen te breken. Ze wachten tot iemand de deur voor ze opent. En bij een kantoor waar dagelijks tientallen dossiers, processtukken en facturen via de mail binnenkomen, zijn de kansen daarvoor groot. Elke medewerker is een potentiële ingang. Dat klinkt hard, maar het is de realiteit waar je je organisatie op moet inrichten.
De vier soorten phishing die we specifiek bij juridische kantoren zien
Er zijn vier types die opvallend vaak binnenkomen bij advocaten en notarissen. Eén: de nagemaakte tegenpartij-mail met een "aangepast processtuk" in de bijlage. Twee: de nep-uitnodiging voor een gedeeld document, meestal via een naam die op SharePoint of OneDrive lijkt. Drie: de factuur die precies lijkt op die van een vaste leverancier, met een gewijzigd rekeningnummer, vaak rond kwartaaleinde wanneer de administratie druk is. Vier: de "urgente" mail namens een partner aan een secretaresse, waarin gevraagd wordt snel iets over te maken of inloggegevens door te sturen. Dit type, CEO-fraude, richt zich structureel op kantoren waar de hiërarchie duidelijk is en waar mensen niet snel terugvragen bij een partner. De aanvallers weten precies hoe een advocatenkantoor werkt, en ze gebruiken die kennis tegen jou.
Wat een training doet, is die vier patronen inslijpen tot ze herkenbaar worden op het moment dat de mail binnenkomt. Niet als theoretische kennis, wel als reflex. En die reflex bouw je alleen op door herhaling en door mensen af en toe te laten struikelen in een veilige omgeving, zodat ze op de echte mail wel opletten. Kantoren die dit twee jaar consistent doen, zien in onze ervaring de klikpercentages op simulaties zakken van rond de 25 procent bij de eerste ronde naar onder de 5 procent na een jaar of vier rondes. Dat is het verschil tussen een kantoor waar één op de vier medewerkers een deur openzet, en een kantoor waar de aanval bij bijna iedereen strandt.
Hoe je een trainingsprogramma opbouwt dat blijft hangen
De valkuil bij kantoren die serieus aan de slag willen is dat er te groot wordt begonnen. Een compleet e-learningplatform, een uitgebreid beleid, een handboek van dertig pagina's, en na drie maanden ligt alles stil omdat niemand tijd heeft. Wat wel werkt is klein en concreet beginnen. Kies één maand waarin je de nulmeting doet: een eerste phishing-simulatie zonder dat iemand het weet, om te zien waar je staat. Die uitkomst is bijna altijd een schok, en dat is precies de reden dat er daarna wel budget en tijd voor is.
Vervolgens bouw je een jaarritme op: kwartaalsimulaties met oplopende moeilijkheidsgraad, twee klassikale sessies per jaar, en één keer per jaar een korte update voor nieuwe medewerkers en stagiairs binnen hun eerste werkweek. Leg de resultaten vast, deel ze geanonimiseerd met het team, en bespreek ze in het maatschapsoverleg. Op het moment dat security awareness onderdeel wordt van het gewone gesprek, is de belangrijkste slag gewonnen. Het is dan geen IT-feestje meer, maar iets waar de partners eigenaarschap over voelen. En dat is precies waar het bij een advocatenkantoor om draait: als de top het serieus neemt, doet de rest het ook.
De grootste risico's op een advocatenkantoor zitten niet in de techniek die je hebt ingekocht, maar in de mensen die er elke dag mee werken. Techniek koop je één keer in, bewustzijn bouw je op en houd je bij. Wie zijn kantoor serieus wil beveiligen, plant de eerste simulatie in en zet security awareness op de agenda naast de virusscanner en de back-up. Wij helpen kantoren daar structuur in te brengen, met trainingen en phishing-campagnes die aansluiten op hoe juridische professionals daadwerkelijk werken.
