Phishing as a service: de phishingtest als dienst, zo vaak als u wilt
Phishing as a service betekent bij BSM dat wij uw phishingtest als dienst uitvoeren. Wij doen het werk; u installeert geen software en bedient geen platform. Hoe vaak u test, bepaalt u. U hoeft geen jaarabonnement af te sluiten en er is geen minimale looptijd.
- Geen software nodig
- Geen minimale looptijd
- Eén vaste contactpersoon
- Gegevens in Europa
U kiest de vorm: één losse phishingtest, een vast ritme of vaker
Hoe vaak uw organisatie test en of er een training bij komt, bepaalt u zelf, en dat kunt u na elke test opnieuw beslissen. De meeste organisaties kiezen één tot vier keer per jaar; elke maand kan ook.
Eén losse phishingtest
Om te zien hoe uw organisatie op phishing reageert, bijvoorbeeld als nulmeting, of om bij een audit te helpen aantonen dat u aan bewustwording werkt.
Eén phishingtest per jaar
Bijvoorbeeld afgestemd op uw jaarlijkse audit. Elk jaar krijgt uw organisatie een ander scenario, en u vergelijkt de uitkomsten met die van vorig jaar.
Twee keer per jaar of vaker
Elk halfjaar, elk kwartaal of zelfs elke maand. Zo komt phishing geregeld terug, steeds met een ander scenario en desgewenst op een ander niveau.
Met of zonder phishing training
Na een test kan een phishing training volgen, door onze eigen trainers, met de uitkomsten anoniem verwerkt. U kunt de training ook later toevoegen.
Wij doen het werk van elke phishingtest, ook als u vaak test
Bij phishing as a service richten wij elke test opnieuw voor u in en voeren hem uit, met onze eigen, zelfontwikkelde software. U heeft één vaste contactpersoon bij BSM. Van uw organisatie vragen wij per test vier dingen.
Wat wij per test regelen
Vooraf
- Advies over een nieuw scenario dat bij uw organisatie past
- De testmail en de pagina achter de link, om vooraf te bekijken
- Een document met tips voor uw helpdesk en de ogenschijnlijke afzender
Tijdens
- Wij bellen uw contactpersoon vlak voor de start
- Wij registreren wie klikt, gegevens invult of terugmailt
- Desgewenst een tussentijdse update na een paar uur
Achteraf
- De herkenningsbrief phishing voor alle medewerkers
- Een geanonimiseerd eindrapport van onze specialisten
- Advies over de volgende test
Wat wij per test van u vragen
- 1Een contactpersoon die met ons meedenkt
- 2Een actuele deelnemerslijst met namen en e-mailadressen
- 3Uw akkoord op de testmail
- 4Een IT-beheerder die de whitelisting instelt met onze instructies
Zo werkt phishing as a service: van de eerste test naar de volgende
Elke test volgt dezelfde werkwijze. De doorlooptijd is gemiddeld twee tot vier weken. Wat per test verandert, is het scenario.
Gratis intake
U vertelt wat u wilt bereiken, bijvoorbeeld bewustwording aantonen voor een audit of een betere phishingtest dan nu. Wij adviseren een vorm, een niveau en een eerste scenario. Daarna ontvangt u een offerte.
De eerste test als referentiekader
De eerste phishingtest laat zien waar uw organisatie nu staat. Daarna ontvangen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon, en kiest u of er een phishing training volgt. De uitkomst is uw vertrekpunt.
De volgende test, met een ander scenario
Op een starttijd die u kiest, volgt een nieuwe test met een ander scenario. Hoe subtiel de herkenningspunten zijn, bepalen wij samen met u. Na een paar tests kan ook een ander niveau passen, zoals volledig maatwerk.
Een ander scenario per test, met hetzelfde risicomodel
Na elke test schrijven de specialisten die hem uitvoerden een eindrapport zonder namen. Het volgt drie routes: de phishingpagina (wie klikte, en wie daarna gegevens invulde), de hackermailbox (wie terugmailde naar de ‘hackers’) en melden en navraag (wie de helpdesk of de ogenschijnlijke afzender benaderde). Die derde route houdt uw organisatie zelf bij; u stuurt ons na afloop het verslag. Ook wie niets deed, staat in het rapport.
Wij beoordelen elke test met hetzelfde risicomodel en vatten de uitkomsten samen in een risicomatrix. Daardoor kunt u opeenvolgende tests naast elkaar leggen, ook als het scenario steeds anders is. U ziet of meer medewerkers de mail herkennen en melden.
Zo helpen de rapporten aantonen dat u structureel aan de bewustwording van uw medewerkers werkt, bijvoorbeeld voor ISO 27001, NEN 7510, de BIO2 of de Cyberbeveiligingswet.
- Hetzelfde risicomodel bij elke test
- Een risicomatrix over de drie routes
- Met namen of volledig anoniem: dat kiest u in de verwerkersovereenkomst
- Gegevens blijven in Europa, op eigen servers in Duitsland
Waarom herhalen helpt: het effect van één phishingtest is na een paar maanden weg
Wat medewerkers van een phishingtest leren, blijft niet vanzelf hangen. In een Nederlands experiment onder 33.016 medewerkers klikte wie een maand eerder een testmail had gekregen minder vaak. Na een paar maanden was dat verschil weg (NCSC en Digital Trust Center, 2022).
Daarom komt het onderwerp bij phishing as a service terug met een nieuwe test, steeds met een ander scenario. Zo leren medewerkers phishing herkennen aan de herkenningspunten, ook als de mail er telkens anders uitziet.
Herhalen laat ook zien of uw phishingprotocol werkt: of een verdachte mail direct gemeld wordt bij de juiste persoon, en of dat bij elke test beter gaat.
medewerkers klikte op een generieke phishingmail, in hetzelfde experiment
Het verschil tussen phishing as a service en phishing simulatie software
Met phishing simulatie software, meestal een platform met een licentie per medewerker, test uw organisatie zelf. Voor sommige organisaties past dat goed. Dit zijn de verschillen.
Wie het werk doet
Met software doet uw eigen team het werk: gebruikers bijhouden, scenario’s kiezen, campagnes versturen, de whitelisting onderhouden en de uitkomsten uitleggen. Dat komt meestal bij IT terecht. Bij phishing as a service doen onze specialisten dat werk, voor elke test opnieuw.
Hoe het scenario ontstaat
Software biedt meestal scenario’s waaruit u zelf kiest. Bij BSM maken onze specialisten elk scenario samen met u op maat, op basis van echte incidenten die wij onderzoeken. Ook semi-maatwerk is daardoor vaak al een betere phishingtest dan wat uw huidige software verstuurt.
Wanneer een platform beter past
Een platform past bij organisaties met een eigen securityteam dat zelf vaak wil testen en e-learning wil inzetten. BSM is reseller en partner van KnowBe4 sinds 2023 en helpt met de inrichting en ondersteuning. Een phishingtest op maat door BSM kan daarnaast, bijvoorbeeld voor uw audit.
Wat het kost: één vaste prijs per test, ook als u vaker test
Bij phishing as a service betaalt u per test die u afneemt. De prijs hangt af van vier dingen: het aantal medewerkers, het niveau, het aantal groepen en starttijden, en of er een training bij komt.
Voorbereiding, uitvoering, begeleiding, de herkenningsbrief phishing en het eindrapport zitten in elke test. Zo betaalt u alleen voor wat u afneemt.
Vragen over phishing as a service
Kunnen wij met één test beginnen en later vaker testen?
Ja. U kunt met één losse phishingtest beginnen en daarna kiezen of en hoe vaak u verder test.
Hoe vaak raadt BSM aan te testen?
Daar geven wij geen vast advies over, omdat het afhangt van wat u wilt bereiken. Een test per jaar kan passen bij een jaarlijkse audit. Wilt u dat phishing vaker terugkomt, dan test u vaker, tot elke maand. In de intake denken wij mee over wat bij uw organisatie past.
Krijgen medewerkers bij elke test hetzelfde soort mail?
Nee. Elke test krijgt een ander scenario, dat u samen met onze specialisten kiest. Het scenario kan aansluiten op het werk van uw medewerkers, de actualiteit of een partij waarmee uw organisatie te maken heeft. Hoe herkenbaarder het onderwerp, hoe moeilijker de test.
Kondigt u elke test vooraf aan?
Meestal adviseren wij een vooraankondiging, omdat die al een leermoment is. Kiest u bewust voor een test zonder aankondiging, bijvoorbeeld voor een moeilijkere test, dan weten alleen de mensen die u kiest ervan, zoals de helpdesk en de ogenschijnlijke afzender.
Wat als er medewerkers bij komen of vertrekken?
U levert voor elke test een actuele deelnemerslijst aan. Nieuwe medewerkers doen zo vanaf de eerstvolgende test mee.
Hoeveel werk heeft onze IT-afdeling per test?
Weinig. Uw IT-beheerder zorgt met onze instructies dat de testmail door het filter komt. Wij sturen eerst een testmail naar uw contactpersoon, en pas als die goed aankomt, starten wij.
Begin met een gratis intake over de vorm die bij u past
In de intake bespreken wij hoe vaak u wilt testen, welk niveau past en wat uw OR of privacy officer wil weten. Daarna ontvangt u een offerte. Bellen kan ook: +31 (0)20 820 36 93.