Phishing simulatie zelf doen of uitbesteden: de verschillen

Wie een phishing simulatie zelf organiseert, heeft een tool en uren van de eigen IT-afdeling nodig: scenario’s kiezen of schrijven, de whitelisting inrichten, mails versturen, vragen beantwoorden en de uitkomsten uitleggen. Wie hem uitbesteedt aan BSM, legt dat bij ons neer, en krijgt een scenario dat onze specialisten samen met u op maat maken, zoals een kwaadwillende het ook zou doen. Een combinatie van beide kan ook.

Drie manieren om een phishing simulatie te doen

• Een gratis tool. GoPhish is open-sourcesoftware waarmee u zelf phishingmails verstuurt en bijhoudt wie klikt. De software kost niets. U regelt wel zelf een server, een domeinnaam, de mails, de pagina’s waar de links naartoe gaan en de beveiliging van de gegevens.
• Een platform per medewerker. Platforms zoals KnowBe4 bieden een bibliotheek met sjablonen, e-learning en rapportages. U betaalt een licentie per gebruiker en uw eigen team zet de campagnes op.
• Uitbesteden. Bij BSM is de phishingtest een dienst: phishing as a service. Wij werken met onze eigen, zelfontwikkelde software, maken het scenario samen met u en doen het werk. U betaalt één vaste prijs per test.

Wie het werk doet als u een phishing simulatie zelf doet

Bij een tool of platform krijgt u software. Het werk eromheen blijft bij uw eigen organisatie:

• Een scenario kiezen of schrijven dat past bij uw organisatie
• De pagina bouwen of instellen waar de link naartoe gaat
• De whitelisting in uw mailfilter inrichten en bijhouden
• Deelnemerslijsten bijhouden en de verzending plannen
• Uw helpdesk voorbereiden op vragen van collega’s
• Antwoorden op de mail lezen en zorgvuldig afhandelen
• De uitkomsten verwerken en aan medewerkers en directie uitleggen

Meestal doet IT dat naast het gewone werk. Bij een gratis tool komt daar het technische beheer bij: een eigen server, een domeinnaam die niet direct opvalt en de beveiliging van alles wat medewerkers invullen.

Wie het werk doet als u de phishing simulatie uitbesteedt

Bij BSM richten wij de test in, doen wij al het werk en begeleiden wij u tot en met het eindrapport. Wij schrijven het scenario, bouwen de pagina, sturen uw IT-beheerder de instructies voor de whitelisting, bellen u vlak voor de start en geven uw helpdesk en de ogenschijnlijke afzender vooraf een document met tips. Na afloop ontvangen alle medewerkers de herkenningsbrief phishing, en schrijven onze specialisten het eindrapport.

Van u vragen wij vier dingen: een contactpersoon die met ons meedenkt, een deelnemerslijst met namen en e-mailadressen, uw akkoord op de testmail, en een IT-beheerder die de whitelisting instelt met onze instructies. De doorlooptijd is gemiddeld twee tot vier weken.

Wilt u vaak testen, dan kan dat ook als u uitbesteedt. Meestal testen organisaties één tot vier keer per jaar, en elke maand kan ook, steeds met een ander scenario. Elke test, ook een maandelijkse, voeren wij voor u uit.

Hoe realistisch de test is

Een test leert medewerkers alleen iets als hij lijkt op wat er echt binnenkomt. Platforms bieden een bibliotheek met sjablonen. Bij BSM sluit het hele scenario aan op uw organisatie: de ogenschijnlijke afzender, het onderwerp, de starttijd en het uiterlijk van de mail en de pagina.

Onze specialisten onderzoeken als cybersecurity-experts sinds 2004 incidenten bij organisaties die slachtoffer werden van phishing en ransomware. Wat wij daar zien, verwerken wij in onze scenario’s. Het scenario kan aansluiten op het werk van uw medewerkers, op de actualiteit of op een partij waarmee uw organisatie te maken heeft.

• Semi-maatwerk: een beproefd scenario op maat, met drie tot vijf herkenningspunten
• Volledig maatwerk: een nagebouwde inlogpagina op een domeinnaam die op de uwe lijkt
• Advanced: een gerichte aanval, alleen met uw schriftelijke akkoord

Semi-maatwerk is vaak al een betere phishingtest dan de huidige test van uw aanbieder. Bij volledig maatwerk werken wij met tot vijf groepen, verspreid over dagen. Advanced kan spear phishing, een telefoontje of een remote sessie zijn, en waar dat past ook het omzeilen van tweestapsverificatie.

Wat er gemeten wordt

Platforms registreren meestal wie klikt, wie gegevens invult en wie meldt via een meldknop. Een phishingtest van BSM volgt drie routes: de phishingpagina, de hackermailbox, en melden en navraag. Route 3 houdt uw organisatie zelf bij; het verslag stuurt u ons na afloop. De routes staan uitgewerkt in het artikel over het phishingprotocol.

Onze specialisten schrijven het eindrapport in gewone taal, met een risicomatrix en advies over wat u kunt verbeteren. Omdat wij elke test met hetzelfde risicomodel beoordelen, kunt u tests naast elkaar leggen.

Waar de gegevens staan

Vraag bij elke aanbieder waar de gegevens van uw medewerkers staan en wie erbij kan. Bij een gratis tool bent u zelf verantwoordelijk voor de server en de beveiliging.

Bij BSM blijven de gegevens in Europa, op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat. Wachtwoorden worden al in de browser afgekapt: wij leggen alleen de eerste twee tekens en de lengte vast. Of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. BSM is een vergund onderzoeksbureau (POB 1104) en al onze medewerkers zijn gescreend.

Wat het kost

Een gratis tool kost geen licentie en vraagt uren van uw eigen mensen. Een platform vraagt een licentie per gebruiker, plus de uren om het te bedienen. Wie uitbesteedt aan BSM, betaalt één vaste prijs per test, zonder licentie per medewerker per maand, en een jaarabonnement is niet nodig. Het bedrag hoort u na de gratis intake. Vergelijk dus de totale kosten: de prijs van de software of de test, plus de tijd van uw eigen mensen. Welke vier factoren de prijs van een test bepalen, leest u in wat kost een phishingtest.

KnowBe4 en een phishingtest door BSM combineren

Zelf doen en uitbesteden kunt u combineren. BSM is sinds 2023 reseller en partner van KnowBe4. Gebruikt u KnowBe4 voor e-learning en eigen campagnes, dan kunt u daarnaast een phishingtest op maat aan ons uitbesteden, bijvoorbeeld voor uw audit of om uw phishingprotocol te toetsen. De starttijd stemmen wij af op uw campagnes in KnowBe4. Kiest u voor het platform, dan helpen wij ook met de inrichting en ondersteuning; hoeveel tijd dat kost, hangt af van de grootte van uw organisatie en uw wensen. Meer daarover leest u op KnowBe4 via BSM.

Phishing simulatie zelf doen of uitbesteden: wanneer wat past

Zelf doen past bij een organisatie met een eigen securityteam dat de tijd en kennis heeft om scenario’s te schrijven, de tool te bedienen en de uitkomsten uit te leggen. Uitbesteden past als uw IT-afdeling het al vol heeft, als u een betere phishingtest dan nu wilt, of als u een eindrapport nodig heeft dat helpt aantonen dat u aan bewustwording werkt. Heeft u nog nooit getest, dan geeft een eerste test door BSM, een nulmeting, een referentiekader voor elke volgende test.

Lees meer over een phishing simulatie door BSM of over een phishingtest laten uitvoeren, of bekijk Zo ziet een phishingtest van BSM eruit. Twijfelt u welke aanpak bij u past? Plan een gratis intake.