Een phishingtest helpt awareness training aantonen voor de audit

Een phishingtest kan deel uitmaken van uw awareness training. ISO 27001, NEN 7510, de BIO2 en de Cyberbeveiligingswet vragen bewustwording en training van medewerkers, zonder een vorm voor te schrijven. Een test in de eigen inbox, gevolgd door de herkenningsbrief phishing en desgewenst een training door onze eigen trainers, valt daaronder. Een norm kan daarnaast om een aparte training vragen, en wat de auditor accepteert, bepaalt de auditor. Met een eindrapport toont u bovendien of de training effect heeft.

Wat normen en wetten onder training verstaan

De kaders die een auditor gebruikt, vragen allemaal hetzelfde: medewerkers krijgen de kennis die bij hun werk past, die kennis wordt regelmatig bijgewerkt, en u kunt laten zien dat dat gebeurt.

• ISO 27001: maatregel A.6.3, en nagaan of uw acties effect hebben
• NEN 7510: dezelfde eisen, in de zorgnorm op basis van ISO 27001
• BIO2: aantoonbaar een training over informatiebewustzijn, en de meldprocedure kennen
• Cyberbeveiligingswet: cyberhygiëne en training van personeel horen bij de zorgplicht

U kiest wat past bij uw risico's en legt die keuze vast.

Waarom een phishingtest bij uw training past

Bij phishing gaat het in een training om gedrag: een verdachte mail herkennen en direct melden bij de juiste persoon, ook na een klik. Dat gedrag oefent u het best in de situatie waarin het nodig is: een gewone werkdag, met een mail tussen het andere werk.

Een phishingtest doet dat. Samen kiezen wij een scenario dat past bij het niveau van uw organisatie. Meestal adviseren wij om vooraf aan te kondigen dat er getest gaat worden; die aankondiging is al een extra leermoment. Wie de mail krijgt, beslist zelf wat hij ermee doet, en leest daarna wat de juiste reactie was.

In een Nederlands experiment van het NCSC en het Digital Trust Center uit 2022 onder 33.016 medewerkers klikte wie een maand eerder een testmail had gekregen significant minder vaak. Na tweeënhalve maand was dat verschil niet meer aantoonbaar. Een testmail kan het klikken dus verminderen, en het effect vraagt herhaling.

De herkenningsbrief phishing is het lesmateriaal

Na de test ontvangen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon. Die legt uit hoe de testmail in elkaar zat, aan welke punten hij te herkennen was en bij wie een verdachte mail gemeld hoort te worden. Zo leert ook wie niet klikte ervan, en krijgt iedereen dezelfde uitleg. U deelt hem per mail of op intranet; bewaar hem met de datum waarop u dat deed.

Desgewenst volgt een phishing training door onze eigen trainers

Wilt u meer dan de herkenningsbrief, dan volgt een phishing training door onze eigen trainers; op die pagina leest u hoe een training verloopt. De trainers zijn cybersecurity-specialisten die in hun werk incidenten met phishing en ransomware onderzoeken. De uitkomsten van uw eigen phishingtest kunnen in de training anoniem terugkomen.

Uw CISO of leidinggevende krijgt na de training een rapportage over het bewustwordingsniveau van de groep. Een certificaat krijgen deelnemers niet. Wilt u voor de audit per persoon laten zien wie heeft deelgenomen, houd dan zelf een presentielijst bij.

Zo helpt een phishingtest awareness training aantonen bij de auditor

Een auditor wil zien dat bewustwording bij u een vast proces is: gepland, uitgevoerd, gemeten en verbeterd. Na een phishingtest van BSM heeft u voor elk van die stappen een stuk.

• Het plan: uw keuze voor een phishingtest, het niveau en hoe vaak u test
• Het scenario: de testmail en de pagina, met de datum van uw akkoord
• De uitvoering: de starttijd en het aantal deelnemers
• Het lesmateriaal: de herkenningsbrief phishing en de datum waarop u hem deelde
• Het eindrapport: per route wat er gebeurde, met een risicomatrix en advies
• Uw eigen verslag van route 3: wie meldde of navraag deed
• Desgewenst de rapportage van de training en uw presentielijst
• De opvolging: wat u verbeterde, en wanneer de volgende test is

Route 3, melden en navraag, houdt uw organisatie zelf bij; wij beschrijven uw verslag in het eindrapport. De drie routes staan uitgewerkt in het artikel over het phishingprotocol. Het eindrapport noemt geen namen, en of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. Lees welke onderdelen een phishingtest heeft.

Herhalen laat zien dat de training regelmatig wordt bijgewerkt

Alle kaders vragen om regelmaat. Omdat wij elke test met hetzelfde risicomodel beoordelen, legt u een volgend eindrapport naast dit rapport en ziet u of meer medewerkers de mail herkennen en melden. Hoe vaak u test, bepaalt u zelf: één tot vier keer per jaar, of vaker, elke keer met een ander scenario. Wilt u dat wij dit als vast ritme voor u uitvoeren, dan heet dat bij ons phishing as a service.

Een phishingtest is één onderdeel van uw bewustwordingsprogramma. Uitleg bij indiensttreding en de opleiding van bestuurders regelt u daarnaast.

Zo plant u een phishingtest voor uw audit

Begin op tijd: het eindrapport moet vóór de audit klaar zijn, zodat u ook de opvolging kunt tonen. De doorlooptijd is gemiddeld twee tot vier weken. Zo ziet een phishingtest van BSM eruit. Meer over een phishingtest laten uitvoeren of over de hele phishing simulatie leest u op de productpagina's.

Bronnen

• NCSC, 1 op de 5 medewerkers valt voor phishingmail (29 juni 2022), onderzoek van NCSC, Digital Trust Center en RPC Noord-Holland
• ISO, ISO/IEC 27001:2022
• NEN, Informatiebeveiliging in de zorg (NEN 7510)
• NCSC, Cyberbeveiligingswet (NIS2)