Phishingsimulatie

Een phishingsimulatie is een nagemaakte phishingmail die u zelf naar uw medewerkers stuurt om te zien wie erop klikt. Goed uitgevoerd is het de meest leerzame oefening die u kunt doen. Verkeerd uitgevoerd levert het wantrouwen op en, erger nog, medewerkers die daarna niets meer melden.

Waarom het meer leert dan uitleg

Iemand die net op een nepmail heeft geklikt, onthoudt in dertig seconden meer dan in een uur presentatie. Het moment van de klik is het enige moment waarop het onderwerp echt persoonlijk is. Daar zit de hele waarde van de oefening.

Dat betekent ook dat de landingspagina na de klik het belangrijkste onderdeel is, niet de mail zelf. Leg daar in drie regels uit welke signalen er in de mail zaten, en houd het vriendelijk.

Hoe u hem opzet

• Kondig vooraf aan dat u dit soort tests doet, als beleid. Niet wanneer, wel dat.
• Begin makkelijk. Een test die niemand doorziet levert alleen frustratie op.
• Gebruik een scenario dat bij uw organisatie past: een factuur, een pakketmelding, een verzoek van een leidinggevende.
• Maak melden makkelijker dan klikken, bijvoorbeeld met een meldknop in de mailomgeving.
• Meet twee dingen: wie klikte, en wie meldde. Dat tweede getal is het belangrijkste.

Wat u vooral niet doet

• Resultaten herleidbaar delen met leidinggevenden. Dat maakt het een beoordelingsinstrument in plaats van een leermiddel.
• Gevoelige onderwerpen gebruiken als bonussen, ontslag of gezondheid. Technisch effectief, en het kost u het vertrouwen van uw hele organisatie.
• Consequenties verbinden aan een klik. Wie bang is om fouten te maken, meldt er ook geen meer.
• Blijven testen zonder iets te veranderen. Als de klikpercentages niet dalen, ligt het aan uw programma en niet aan uw mensen.

De juridische kant

U mag dit doen, mits u het zorgvuldig inricht. Drie punten:

• Leg het vast als beleid en informeer medewerkers dat dit soort tests plaatsvinden.
• Betrek de ondernemingsraad; monitoring van medewerkers raakt hun instemmingsrecht.
• Verwerk de resultaten op groepsniveau. Individuele scores bewaart u niet langer dan nodig en gebruikt u niet in beoordelingen.

Wat een goed resultaat is

Die laatste rij is de belangrijkste en wordt het vaakst genegeerd. Een organisatie waar niemand klikt maar ook niemand meldt, is niet veilig. Melden is wat u nodig heeft bij een echte aanval.

Verhouding tot NIS2

De wet noemt phishingsimulaties niet met zoveel woorden, maar ze vallen onder de opleidingseis en leveren precies het bewijs dat een toezichthouder zoekt: dat uw programma werkt en dat u erop bijstuurt. Zie security awareness training en maatregel 7.

Hoe u een jaarprogramma opbouwt

Eén losse test zegt weinig. Waardevol wordt het pas als u een reeks opbouwt die in moeilijkheid toeneemt: begin met een herkenbaar scenario met duidelijke signalen, en maak latere rondes geloofwaardiger naarmate mensen beter worden. Plan de rondes vooraf voor het hele jaar, met wisselende scenario's die aansluiten bij uw eigen organisatie: een factuur, een verzoek namens een leidinggevende, een pakketmelding. Herhaal nooit hetzelfde scenario twee keer achter elkaar, dat leert niemand meer iets.

Zelf bouwen of een platform gebruiken

Met een handvol medewerkers kunt u een simulatie prima zelf opzetten met een los verstuurde mail en een eenvoudige landingspagina. Bij grotere aantallen wordt dat onwerkbaar: dan wilt u geautomatiseerd kunnen versturen, meten wie klikte en wie meldde, en dat kunnen herhalen zonder elke keer handwerk. Een platform kost tijd om in te richten maar bespaart die tijd daarna ruimschoots terug. Voor de meeste mkb-organisaties is de knop meestal: onder de vijftig medewerkers vaak zelf te doen, daarboven weegt een platform op tegen het handwerk.

Wat er in de praktijk misgaat

• Het testdomein whitelisten in de mailfilter. Dan komt de test altijd door, terwijl een echte phishingmail misschien wel wordt tegengehouden.
• Vergeten de aankondiging als beleid te doen. Zonder die aankondiging vooraf ontstaat er onnodige onrust zodra iemand het doorheeft.
• Een scenario dat niet bij de organisatie past. Een test die door iedereen meteen wordt doorzien, leert niets.
• Geen opvolging na de test. De resultaten belanden in een spreadsheet die niemand meer opent.

Waar het overgaat in de training

Een simulatie test en meet, het verandert zelf niets. De uitkomst hoort de agenda te bepalen van uw security awareness training: klikt de administratie vaker op betaalverzoeken, dan is dat het onderwerp van de volgende sessie voor die groep. Zonder die koppeling blijft de simulatie een geïsoleerde meting in plaats van een sturingsinstrument. Zie ook maatregel 7 van de zorgplicht.

Wat het kost aan tijd

Het opzetten van de eerste ronde kost het meeste werk: scenario bedenken, landingspagina schrijven, en de juridische kant afstemmen met de ondernemingsraad. Reken op een paar dagen verspreid werk voor die eerste keer. Elke volgende ronde kost aanmerkelijk minder, vaak een dagdeel, omdat de opzet en de afspraken al staan.

Veelgestelde vragen

Hoe vaak moet ik een simulatie doen?

Twee tot vier keer per jaar werkt goed. Vaker leidt tot gewenning aan de tests zelf.

Mag ik dit zonder toestemming van medewerkers?

Individuele toestemming is niet nodig, aankondiging als beleid wel, en betrek de ondernemingsraad.

Moet ik mensen die klikken apart trainen?

Aanbieden mag, verplichten werkt averechts. Directe uitleg op de landingspagina levert het meeste op.

Wat als de directie zelf klikt?

Dat gebeurt regelmatig en het is nuttige informatie. Behandel het net als bij iedereen: geen namen naar buiten, wel meenemen in het programma.

Wat kost een simulatieprogramma ons ongeveer?

Vooral tijd. Een platform brengt meestal een beperkte licentiekost met zich mee, die bij grotere aantallen medewerkers wordt terugverdiend op het handwerk dat u anders zelf zou doen.

Moeten wij zelf de mails bouwen of een tool gebruiken?

Bij kleine aantallen kunt u het zelf doen. Vanaf enkele tientallen medewerkers is een tool met meting en rapportage praktischer.

Hoe verhoudt dit zich tot de trainingssessies?

De simulatie meet het gedrag, de training verandert het. Gebruik de uitkomsten van de een als onderwerp voor de ander.

Wat als wij te weinig medewerkers hebben voor een representatieve test?

Test dan gewoon iedereen tegelijk. Bij een kleine groep is elke uitkomst al bruikbaar, ook zonder statistische onderbouwing.