Kennis die er dinsdag nog is.
Toen we zelf verantwoordelijk waren voor de beveiliging, maten we hoeveel mensen de jaarlijkse cursus hadden doorgeklikt. Dat was wat we konden meten. Het cijfer zag er goed uit in het rapport. Het zei niets over wat mensen deden toen de mail echt binnenkwam.
Robustium is gebouwd op wat we toen leerden. Elke les is een korte situatie uit het werk. De medewerker maakt zelf een keuze en krijgt uitleg. De week erna komt hetzelfde terug in een nieuwe situatie. Veiligheid is een gewoonte, en gewoonten bouw je in kleine stappen die terugkomen.
Phishingtests, in cijfers.
Wat het onderzoek ondersteunt.
Elke les gebruikt vier principes met sterke steun in het onderzoek.
Uitleg
10×effectEen uitleg heeft tien keer zoveel effect als alleen goed of fout.
Elk antwoord heeft een eigen uitleg.
Concreet advies
2.024personenBoodschappen over wat je moet doen werkten beter dan dreiging, en de dreiging voegde niets toe.
Elke les eindigt met één ding om te doen.
Controlegroep
1,7procentpuntZoveel voegde de training toe. De moeilijkheid van de e-mails liet het aandeel dat klikte variëren tussen 1,8 en 30,8 %.
We meten tegen een groep die nog niet is begonnen.
Fouten meteen rechtzetten
Een fout die meteen wordt rechtgezet, leert meer dan foutloos lezen.
De foute antwoorden zijn vergissingen die echt gebeuren.
Ondertiteling
Ondertiteling helpt vooral wie in een tweede taal werkt.
Gesproken en korte tekst, niets decoratiefs.
Bronnen
- Latimier e.a. 2021: gespreide herhaling.
- Yang e.a. 2021: zelf antwoorden in plaats van lezen, 48.478 leerlingen.
- Van der Kleij e.a. 2015: feedback die uitlegt.
- Brunmair & Richter 2019: gemengde situaties, 59 studies.
- Ho e.a. 2025: 19.789 medewerkers, tien testcampagnes in acht maanden.
- van Bavel e.a. 2019: experimenten met 2.024 personen in vijf EU-landen, waaronder Zweden.
- Metcalfe 2017: leren van rechtgezette fouten.
- Noetel e.a. 2022: spraak, tekst en beeld in het onderwijs.
Alle bevindingen.
Van training die nauwelijks werkt, via vakbonden die tests met nepbonussen stopten, tot een op de drie die zweeg over een veiligheidsrisico. En in de productie staat meer dan IT op het spel.
Wat de methode oplevert.
- Het doel is medewerkers die beter worden in het verdedigen van zichzelf en de organisatie. De methode bouwt op wat gecontroleerde studies in de zorg en de luchtvaart lieten zien: wat je traint, zie je terug in het werk bij korte oefeningen met feedback, herhaald met tussenpozen, in situaties uit het werk.
- Onderbouwing voor de verantwoordelijkheid van de directie onder de Zweedse cyberbeveiligingswet (cybersäkerhetslagen): elke voltooide training wordt vastgelegd, zodat je kunt laten zien wie wat heeft gedaan.
Zo meten we.
We volgen hoeveel mensen de lessen doen en hoe goed de antwoorden standhouden in nieuwe situaties. Dat resultaat vergelijken we met een groep die nog niet begonnen is. Zo zie je wat de training echt doet.
Nano, micro of een hele cursus?
Drie manieren om training in te richten en wat ze meestal kenmerkt.
| Kenmerk |  NanotrainingDe korte lessen van Robustium |
 MicrolearningKorte modules |
 Traditionele cursusE-learning of trainingsdag |
|---|---|---|---|
| Duur | 1–3 minuten, vraag inbegrepen | 5–15 minuten | 30 minuten tot een hele dag |
| Hoe vaak | Elke week | Eens per maand of zo | Eens per jaar |
| Eigen keuze | In elke les, in een nieuwe situatie | Soms | Meestal in een eindtoets |
| Herhaling | De week erna: een nieuw vraagstuk over de training die je deed | Zelden ingebouwd | Volgend jaar |
| Past bij | Tussen vergaderingen, bij de ploegwissel, op de telefoon | Aan het bureau | Als iedereen tegelijk tijd kan vrijmaken |
| Wordt vaak gemeten als | Hoeveel mensen de lessen doen en hoe goed de antwoorden standhouden | Voltooiing | Voltooiing en eindtoets |