Hoe vaak een phishingtest: meestal één tot vier keer per jaar

In een Nederlands experiment van het NCSC en het Digital Trust Center onder 33.016 medewerkers klikten mensen die ongeveer een maand eerder een testmail hadden gekregen, significant minder vaak op de volgende. Na tweeënhalve maand was dat effect niet meer aantoonbaar. Wie medewerkers alert wil houden, herhaalt de phishingtest dus, steeds met een ander scenario. Het ritme kiest u zelf; wij geven geen vast advies.

Hoe vaak een phishingtest: wat organisaties kiezen

Het juiste aantal verschilt per organisatie. Organisaties kiezen bijvoorbeeld:

• Eén keer per jaar: rond een audit, zodat er elk jaar een actueel eindrapport ligt
• Twee tot vier keer per jaar: om medewerkers scherp te houden en voortgang te volgen
• Elke maand: om het onderwerp voortdurend onder de aandacht te houden
• Eén losse test: als eerste test of als nulmeting, het referentiekader voor elke volgende test

Welk ritme bij u past, hangt af van wat u wilt bereiken. Moet u voor ISO 27001, NEN 7510, de BIO2 of de Cyberbeveiligingswet laten zien dat u aan bewustwording werkt, dan helpt een vaste test per jaar, ruim voor de audit. Waren de uitkomsten van de vorige test zorgelijk, dan kan een volgende test eerder komen. Veel nieuwe medewerkers of een recent incident in uw omgeving zijn ook redenen om vaker te testen. In de intake bespreken wij wat bij uw organisatie past; de keuze is aan u.

Wat het onderzoek van NCSC en Digital Trust Center liet zien

Tussen mei en oktober 2021 kregen 33.016 medewerkers van 667 bedrijven twee nagemaakte phishingmails. Het onderzoek werd uitgevoerd door het Behavioural Insights Team van het ministerie van Economische Zaken en Klimaat, in opdracht van het Digital Trust Center en het Regionaal Platform Criminaliteitsbeheersing Noord-Holland. Het NCSC publiceerde de uitkomsten op 29 juni 2022.

• Ruim 1 op de 5 medewerkers klikte op de link in een generieke phishingmail.
• Wie ongeveer een maand eerder een phishingmail kreeg, klikte daarna significant minder vaak.
• Na ongeveer tweeënhalve en drieënhalve maand was er geen aantoonbaar effect meer.
• Wie zei het afgelopen jaar geen phishingmails te hebben ontvangen, klikte gemiddeld vaker.

Herhalen laat zien of uw organisatie vooruitgaat

Wij beoordelen elke test met hetzelfde risicomodel, zodat u het eindrapport van een volgende test naast het vorige kunt leggen. U ziet per route wat er veranderde: hoeveel medewerkers klikten of gegevens invulden op de phishingpagina, hoeveel op de mail antwoordden en dus met de 'hackers' mailden, en hoeveel de mail meldden of navraag deden. Die meldingen en vragen houdt uw organisatie tijdens de test zelf bij; het verslag stuurt u ons na afloop. Zo ziet u ook of uw phishingprotocol beter bekend raakt.

Elke phishingtest een ander scenario

Wie twee keer dezelfde mail krijgt, leert alleen die ene mail herkennen. Daarom krijgt elke test een ander scenario. Het scenario kan aansluiten op het werk van uw medewerkers, op de actualiteit of op een partij waarmee uw organisatie te maken heeft. Hoe herkenbaarder het onderwerp, hoe moeilijker de test.

Bij semi-maatwerk zitten drie tot vijf herkenningspunten in de mail: signalen waaraan een oplettende medewerker kan zien dat de mail niet klopt, zoals een afzenderadres dat net afwijkt of een link naar een ander domein. Bij een volgende test bepalen wij samen met u hoe subtiel de punten zijn. Begint u met semi-maatwerk, dan kunt u later kiezen voor volledig maatwerk, met een nagebouwde inlogpagina op een domeinnaam die op de uwe lijkt. Ook een sms of een telefoontje kan, als advanced-scenario na een intake.

Phishing as a service: de phishingtest als dienst

Bij BSM heet stap 3 van het programma phishing as a service: de phishingtest als dienst, waarbij wij het werk doen, zonder jaarabonnement en zonder minimale looptijd. Elke test heeft zijn eigen vaste prijs; wat dat per jaar betekent, leest u in wat kost een phishingtest. Hoe een ronde verloopt, staat op Zo ziet een phishingtest van BSM eruit; over de training tussen twee rondes leest u meer op phishing training.

Bron

• NCSC, 1 op de 5 medewerkers valt voor phishingmail (29 juni 2022), onderzoek in opdracht van het Digital Trust Center en het RPC Noord-Holland