De onderdelen van een phishingtest, van testmail tot phishing test rapport
Bij een phishingtest van BSM ontvangt u tips voor uw helpdesk, een testmail, desgewenst een tussentijdse update, de uitkomsten in Excel, de herkenningsbrief phishing en het phishing test rapport. Per onderdeel leest u wanneer u het krijgt, of er namen in staan en wat u aan uw auditor kunt geven.
- Eindrapport zonder namen
- Helpt aantonen bij audits
- Vast risicomodel
- Gegevens in Europa
Waar de onderdelen van een phishingtest in het programma vallen
- 1
Oefenen
De phishingtest, met de documenten vooraf, de update en het Excel-overzicht.
- 2
Leren
De herkenningsbrief phishing voor iedereen, en desgewenst een phishing training.
- 3
Bewust blijven
Eén tot vier keer per jaar opnieuw, of vaker, steeds met een ander scenario.
Alle onderdelen op een rij: wat u ontvangt, wanneer en met of zonder namen
| Onderdeel | Wanneer | Voor wie | Namen van medewerkers |
|---|---|---|---|
| Document met tips voor de IT-helpdesk en de ogenschijnlijke afzender | vooraf | uw IT-helpdesk en de ogenschijnlijke afzender | geen namen |
| Whitelist-gegevens | vooraf | uw technische contactpersoon, bijvoorbeeld uw IT-partner | geen namen |
| De testmail | vooraf, vóór uw akkoord | uw contactpersoon | geen namen |
| Tussentijdse update | desgewenst, na een paar uur | uw contactpersoon | volledig anoniem, of met namen alleen voor uw contactpersoon |
| Excel-overzicht van kliks en ingevulde wachtwoorden | na afloop | wie u vooraf aanwijst | met namen of volledig anoniem, zoals gekozen in de verwerkersovereenkomst |
| Herkenningsbrief phishing, ook als intranettekst | na afloop | alle medewerkers | geen namen |
| Geanonimiseerd eindrapport met risicomatrix en verbeterpunten | na afloop, als laatste onderdeel | u, om intern te delen en voor uw audit | geen namen |
| Phishing training | desgewenst, als vervolg | de hele organisatie of één groep | anoniem verwerkt |
‘Desgewenst’ betekent dat u zelf kiest of u dit onderdeel wilt. Hieronder leest u per onderdeel wat erin staat, in de volgorde van de test.
Vooraf ontvangen uw IT, uw helpdesk en uw contactpersoon wat zij nodig hebben
Voordat de eerste mail uitgaat, leggen wij de afspraken vast en bereiden wij de mensen voor die met de test te maken krijgen. Van u vragen wij een contactpersoon, een deelnemerslijst en uw akkoord op de testmail; uw IT-beheerder stelt met onze instructies de whitelisting in.
Verwerkersovereenkomst en vrijwaring
Wij sluiten een verwerkersovereenkomst. Daarin legt u vast wat er met de gegevens van medewerkers gebeurt en of u de uitkomsten met namen of volledig anoniem ontvangt; grote organisaties kiezen vaak volledig anoniem. Met de vrijwaring geeft u formeel toestemming voor de test.
Whitelist-gegevens
Uw technische contactpersoon, bijvoorbeeld uw IT-partner, krijgt van ons de whitelist-gegevens en stelt daarmee de whitelisting in. Zo blijven de mails niet in een spamfilter hangen. Na de test laten wij weten wanneer de gegevens weer verwijderd kunnen worden.
Document met tips voor de IT-helpdesk en de ogenschijnlijke afzender
Een phishingtest roept reacties op: medewerkers melden de mail, bellen de IT-afdeling of vragen de ogenschijnlijke afzender of het bericht echt is. In dit document staat wat er komt en hoe zij op vragen van collega’s reageren.
De testmail
Wij sturen de testmail naar uw contactpersoon. U ziet hoe de mail eruitziet en waar de link naartoe gaat. Komt hij goed aan, dan werkt de whitelisting. Na uw akkoord bevestigen wij dat alles klaarstaat en wanneer de test begint.
Tijdens de test: desgewenst een tussentijdse update na een paar uur
Op de dag van de start houden wij uw contactpersoon op de hoogte. Op de dag van de test zijn wij telefonisch bereikbaar. Gaat er iets mis, of is er een andere reden, dan pauzeren of stoppen wij de test direct.
Vlak voor de start
Wij nemen contact op om te bevestigen dat de test kan beginnen. Daarna controleren wij of de mails aankomen en krijgt uw contactpersoon een seintje dat de test is gestart.
Tussentijdse update
Na een paar uur sturen wij de eerste resultaten en bevindingen. De update kan volledig anoniem zijn. Wilt u namen, bijvoorbeeld om medewerkers persoonlijk te begeleiden, dan gaan die alleen naar uw contactpersoon. Welke vorm u kiest, bespreken wij vooraf.
Samen bijsturen
Daarna bellen wij uw contactpersoon over hoe het in de organisatie gaat. Samen bepalen wij hoe lang de test nog loopt en wanneer u de herkenningsbrief phishing met iedereen deelt.
Uw verslag van meldingen
Aan uw kant houdt u bij wie de mail meldt bij de IT-helpdesk, daar navraag doet of de ogenschijnlijke afzender benadert. Dat verslag stuurt u ons na afloop, voor het eindrapport.
Na afloop: een Excel-overzicht van kliks en wachtwoorden
Als de test is afgelopen, ontvangt u de definitieve resultaten in een Excel-overzicht: per deelnemer of die op de link klikte en of die een wachtwoord invulde, met namen of volledig anoniem, zoals afgesproken in de verwerkersovereenkomst.
Van elk ingevuld wachtwoord ziet u alleen de lengte en de eerste twee tekens. Het wachtwoord wordt al in de browser afgekapt, zodat wij het volledige wachtwoord nooit ontvangen. Zo ziet u bijvoorbeeld of iemand een standaardwachtwoord nog gebruikt.
- Per deelnemer: klik en ingevuld wachtwoord
- Van een wachtwoord alleen de lengte en de eerste twee tekens
- Gegevens blijven in Europa, op eigen servers in Duitsland
- Datacenters met een ISO 27001-certificaat
De herkenningsbrief phishing: uitleg voor alle medewerkers
De herkenningsbrief phishing is het eerste leermoment na de test. Wij schrijven hem voor u, en u deelt hem intern met alle medewerkers, per mail of als tekst op uw intranet. De brief legt uit waarom de test is gedaan, waaraan de mail te herkennen was en wat medewerkers de volgende keer doen.
Heeft uw organisatie al procedures, bijvoorbeeld voor het melden van een verdachte mail, dan verwerken wij die in de brief. Zo leest iedereen bij wie een verdachte mail gemeld hoort te worden. De brief is in een opbouwende toon geschreven en noemt geen namen. Het doel is samen leren, zonder met de vinger te wijzen.
- Waarom de test is gedaan
- De herkenningspunten van deze mail
- Wat medewerkers de volgende keer doen
- Uw eigen procedures, als u die heeft
Het phishing test rapport beschrijft drie routes en wie niets deed
Tot slot schrijven onze specialisten, dezelfde mensen die uw test uitvoerden, een uitgebreid en geanonimiseerd eindrapport. Het beschrijft het scenario, de technische bevindingen en wat er per route gebeurde.
Route 1, de phishingpagina: wie klikte en wie gegevens invulde
Route 1.1 is wie alleen op de link klikte. Route 1.2 is wie klikte én op de pagina gegevens invulde, zoals een wachtwoord.
Route 2, de hackermailbox: wie op de mail antwoordde
Wie op de phishingmail antwoordt, denkt een collega te mailen en mailt zo met de ‘hackers’. Wie terugmailt, kan ook hun adres opslaan; daarom is dit het grootste risico. Antwoorden die voor een echte collega bedoeld waren, houden wij binnen BSM.
Route 3, melden en navraag: wie de helpdesk of de ogenschijnlijke afzender benaderde
Wie de mail meldt bij de IT-helpdesk, daar navraag doet of de ogenschijnlijke afzender benadert, ziet BSM niet zelf. Deze route komt uit het verslag dat uw organisatie na afloop aanlevert. Wij beschrijven hem in het eindrapport, meestal in tekst en zonder grafieken.
Daarnaast: wie niets deed
Deze groep liep geen risico. Toch hoort een verdachte mail altijd direct gemeld te worden bij de juiste persoon, dus ook hier valt winst te behalen.
Een risicomatrix en verbeterpunten, met elke keer hetzelfde risicomodel
Een risicomatrix vat de uitkomsten samen en laat zien waar het risico voor uw organisatie het grootst is. Daarbij beschrijven onze specialisten wat u kunt verbeteren, bijvoorbeeld in uw phishingprotocol of voor groepen die extra aandacht nodig hebben. Het eindrapport is in het Nederlands en in gewone taal geschreven.
Wij beoordelen elke test met hetzelfde risicomodel. Daardoor kunt u een volgende test naast deze leggen, ook als het scenario dan anders is, en ziet u of meer medewerkers de mail herkennen en melden. Zo is het eindrapport ook uw meetpunt voor de volgende phishingtest.
Deze stukken helpen bij uw audit aantonen dat u aan bewustwording werkt
ISO 27001, NEN 7510, de BIO2 en de Cyberbeveiligingswet vragen dat u aan de bewustwording van uw medewerkers werkt, bij ISO 27001 bijvoorbeeld in maatregel A.6.3. Een phishingtest is zelf een oefening, en de stukken die u ervan overhoudt, helpen aantonen dat u oefent en meet of het werkt. Wat uw auditor precies wil zien, bespreken wij in de intake.
- Het geanonimiseerde eindrapport: wat er is getest, de uitkomsten per route en de verbeterpunten
- De herkenningsbrief phishing: de uitleg die alle medewerkers na de test kregen
- Eindrapporten van opeenvolgende tests met hetzelfde risicomodel, om de ontwikkeling te laten zien
- De verwerkersovereenkomst: hoe de gegevens van uw medewerkers beschermd zijn
- Na een phishing training: de rapportage over het bewustwordingsniveau van de groep
- Het Excel-overzicht, met namen of volledig anoniem, voor uw eigen dossier
Daarna desgewenst een phishing training, afgestemd op de uitkomsten van uw test
Om het leermoment groter te maken, kan een phishing training door onze eigen trainers volgen. Wij stemmen die af op de resultaten van de test en nemen onderwerpen mee waarvan u denkt dat er nog veel mist. De training kan voor de hele organisatie zijn of voor één groep, bijvoorbeeld de directie. Dat hangt af van uw wensen en budget.
Vragen over het eindrapport en de andere onderdelen
Mogen wij het eindrapport aan onze auditor geven?
Ja. Het eindrapport noemt geen namen, dus u kunt het delen met uw auditor, met de directie of in een teamoverleg. Welke stukken uw auditor verder wil zien, verschilt per norm en per audit; in de intake kijken wij daar met u naar.
Wat als wij niet bijhouden wie meldt of navraag doet?
Dan loopt de test gewoon door. In het eindrapport ontbreekt dan route 3, en juist die route laat zien of uw phishingprotocol werkt: komt een verdachte mail bij de juiste persoon terecht?
Wanneer ontvangen wij het eindrapport?
Het eindrapport is het laatste onderdeel. U ontvangt het nadat de test is afgesloten en u ons het verslag van meldingen en navraag heeft gestuurd. De doorlooptijd is gemiddeld twee tot vier weken.
Krijgen wij bij elk niveau dezelfde onderdelen?
Bij semi-maatwerk en volledig maatwerk wel; het verschil zit in het scenario en in wat wij voor u nabouwen. Een advanced-scenario krijgt een eigen rapport. Ingevulde wachtwoorden ontvangen wij bij advanced alleen met uw schriftelijke akkoord, en na afloop verwijderen wij ze.
Zitten al deze onderdelen in de prijs?
Ja, alle onderdelen behalve de training. U betaalt één vaste prijs per test, zonder licentie per medewerker per maand. De prijs hangt af van het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt.
Bespreek in een gratis intake wat uw audit nodig heeft
In de intake bespreken wij wat uw auditor wil zien, of u met namen of volledig anoniem wilt werken en welk niveau bij u past. Daarna ontvangt u een offerte. Bellen kan ook: +31 (0)20 820 36 93.