Een phishingprotocol opstellen: wie meldt wat bij wie

Een goed phishingprotocol past op één pagina: één meldpunt, een paar heldere afspraken voor wie twijfelt over een mail, en een plan voor wat het meldpunt daarna doet. Het opstellen is het makkelijke deel. Of het werkt, blijkt pas als er een verdachte mail binnenkomt. Een oefening laat dat zien: uw organisatie houdt bij wie de mail meldt of navraag doet, en BSM ziet wie erop antwoordt. Die terugmailers zijn het grootste risico.

Wat een phishingprotocol regelt

Een phishingprotocol bevat vijf afspraken: wat de medewerker doet, wat het meldpunt doet en wie beslist als het om een echte aanval gaat.

1. Eén meldpunt. Eén e-mailadres, knop of telefoonnummer, meestal de IT-helpdesk of het securityteam. Medewerkers hoeven niet te kiezen tussen hun leidinggevende, een collega en IT.
2. Melden is altijd goed. Ook na een klik, ook na een ingevuld wachtwoord, ook als de mail achteraf echt bleek. Wie meldt, krijgt geen verwijt. Het doel is samen leren.
3. Wat de medewerker doet. Niet op de link klikken, geen bijlage openen, niet op de mail antwoorden en de mail niet doorsturen naar collega’s. Twijfelt een medewerker over de ogenschijnlijke afzender, dan belt hij die op een nummer dat hij al kende.
4. Wat het meldpunt doet. De melding beoordelen, de melder laten weten wat er met de melding gebeurt en zo nodig collega’s waarschuwen of de mail uit alle mailboxen verwijderen.
5. Wie beslist bij een echte aanval. Wie het incident beoordeelt, wanneer een account wordt geblokkeerd of een wachtwoord gewijzigd, wie de directie informeert en wie meldt bij de toezichthouder of de Autoriteit Persoonsgegevens.

Het NCSC adviseert hetzelfde: zorg dat medewerkers verdachte e-mails eenvoudig kunnen melden, werk aan een laagdrempelige meldcultuur, bespreek incidenten zonder de schuldvraag en moedig melden aan, ook wanneer iemand al op een link heeft geklikt. Snel melden beperkt de schade.

Een phishingprotocol opstellen in vijf stappen

1. Kies het meldpunt. Spreek met uw helpdesk af hoe meldingen binnenkomen, wie ze leest en hoe snel de melder antwoord krijgt.
2. Schrijf de afspraken voor medewerkers kort op. Vijf regels zijn genoeg, zodat medewerkers ze terugvinden als het nodig is.
3. Leg vast wat er na een klik gebeurt. Wie een wachtwoord heeft ingevuld, moet weten dat hij direct meldt en het wachtwoord wijzigt. Het meldpunt moet weten welke stappen daarna volgen.
4. Maak het protocol bekend. Op intranet, bij de start van nieuwe medewerkers en in de uitleg na elke phishingtest.
5. Toets of het werkt. Een protocol op papier zegt weinig over wat medewerkers doen als er echt een verdachte mail binnenkomt. Dat ziet u in een oefening.

Valt uw organisatie onder de Cyberbeveiligingswet, dan heeft het protocol een extra functie. Voor een significant incident geldt een vroegtijdige waarschuwing uiterlijk binnen 24 uur na kennisname. Dat lukt alleen als de medewerker die de mail kreeg, die intern meteen meldt.

Waar een phishingprotocol in de praktijk vastloopt

Een protocol kan op papier kloppen en toch niet werken. Medewerkers weten niet waar het meldpunt is, of melden liever niet uit angst dat zij iets fout hebben gedaan. Sommigen sturen de mail door naar een collega met de vraag of hij echt is. Daarmee komt de mail bij nog iemand in de inbox, terwijl het meldpunt van niets weet.

Wie een verdachte mail laat liggen, loopt zelf geen risico. Toch had een melding van deze medewerker collega’s en IT eerder kunnen waarschuwen. Een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon.

Terugmailers zijn het grootste risico voor uw phishingprotocol

Het grootste risico zit bij medewerkers die op de mail antwoorden. Zij denken een collega of een bekende partij te mailen en mailen in werkelijkheid met de 'hackers'. Wie terugmailt, kan bovendien het e-mailadres van de 'hackers' opslaan.

Neem daarom in uw phishingprotocol uitdrukkelijk op dat medewerkers nooit op een verdachte mail antwoorden, ook niet met een vraag. Twijfelt iemand, dan neemt hij contact op via een adres of nummer dat hij al kende, of meldt hij de mail bij het meldpunt.

Hoe een phishingtest uw phishingprotocol toetst

Een phishingtest van BSM volgt drie routes, zoals ze in het eindrapport staan:

• Route 1, de phishingpagina: wie alleen op de link klikte (1.1) en wie klikte én gegevens invulde (1.2)
• Route 2, de hackermailbox: wie op de mail antwoordde en dus met de 'hackers' mailde
• Route 3, melden en navraag: wie de mail meldde bij de IT-helpdesk, daar navraag deed of de ogenschijnlijke afzender benaderde
• Daarnaast: wie niets deed

Route 1 en route 2 registreren wij zelf. Route 3 toetst uw phishingprotocol. Wat daar gebeurt, speelt zich af binnen uw eigen organisatie, en BSM ziet die meldingen niet zelf. Uw helpdesk en de ogenschijnlijke afzender krijgen vooraf van ons een document met tips, en houden tijdens de test bij wie meldt of navraag doet. Na afloop levert uw organisatie daarvan een verslag aan, meestal zonder grafieken. Wij beschrijven het in het eindrapport, naast de routes die wij zelf zagen.

Zo ziet u in één rapport hoeveel medewerkers het protocol volgden, of meldingen bij het juiste meldpunt aankwamen, en hoeveel medewerkers op de mail antwoordden in plaats van te melden. Het eindrapport noemt geen namen; of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. In de herkenningsbrief phishing komt niemand met naam voor.

Wilt u weten hoe zo’n test verloopt, lees dan Zo ziet een phishingtest van BSM eruit of meer over een phishingtest laten uitvoeren.

Na de test: het protocol bijstellen en uitleggen

Na de phishingtest ontvangen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon. Die legt uit waaraan de mail te herkennen was en bij wie een verdachte mail gemeld hoort te worden. Zo is de test voor iedereen een leermoment, ook voor wie niet klikte.

Het eindrapport geeft advies over wat u kunt verbeteren, bijvoorbeeld een meldpunt dat beter vindbaar moet zijn of een afspraak die extra uitleg nodig heeft. In een phishing training door onze eigen trainers, op locatie en in groepen van maximaal vijfentwintig deelnemers, behandelen wij desgewenst uw eigen protocol: deelnemers oefenen met de stappen die bij u gelden. De uitkomsten van uw eigen test kunnen daarin anoniem terugkomen. Na afloop ontvangt uw CISO of leidinggevende een rapportage over het bewustwordingsniveau van de groep. Een certificaat krijgen deelnemers niet; de training doen zij voor hun eigen kennis. Bij een volgende test ziet u of meer medewerkers melden en minder medewerkers terugmailen. Zo wordt uw phishingprotocol onderdeel van een phishing simulatie in drie stappen: oefenen, leren en bewust blijven.

Bronnen

• NCSC, Aan de slag tegen phishing
• NCTV, Cyberbeveiligingswet: vragen en antwoorden