Een phishing nulmeting, zodat u weet waar uw organisatie nu staat
Een nulmeting is de eerste phishingtest in uw organisatie, als referentiekader. Daarna weet u waar uw organisatie nu staat, en bij een volgende test ziet u hoe het verbetert. BSM bereidt de phishing nulmeting met u voor, voert hem uit en schrijft het eindrapport.
- Cybersecurity-experts sinds 2004
- Rapport als referentiekader
- Gegevens in Europa
- Geen software nodig
Een phishing nulmeting laat zien hoe uw organisatie nu reageert
Onderzoek laat zien hoeveel medewerkers gemiddeld op een phishingmail klikken en hoe vaak een hack met phishing begint. Hoe uw eigen medewerkers reageren, hangt af van uw organisatie: de systemen die u gebruikt, de mails die binnenkomen en wat medewerkers eerder over phishing hoorden. Dat weet u pas na een eerste meting.
Een nulmeting is die eerste phishingtest. Daarna weet u hoeveel medewerkers klikten, gegevens invulden of terugmailden, en hoeveel er de mail meldden of navraag deden. Bij elke volgende test legt u de uitkomst naast die van de nulmeting, en ziet u of uw organisatie verbetert.
Een nulmeting en een volgende test laten samen zien dat u aan de bewustwording van medewerkers werkt, en wat dat oplevert. Dat helpt aantonen voor ISO 27001, NEN 7510, de BIO2 of de Cyberbeveiligingswet.
medewerkers klikte op een generieke phishingmail, in een Nederlands experiment onder 33.016 medewerkers
Voor een nulmeting adviseren wij meestal semi-maatwerk, met een makkelijke test
Bij semi-maatwerk vertrekken wij vanuit een beproefd scenario en maken het samen met u op maat. Er is één groep: iedereen krijgt dezelfde mail van dezelfde ogenschijnlijke afzender, druppelsgewijs verstuurd. De afzender, wel of geen spoofing en de starttijd bepalen wij samen.
In de mail zitten dan drie tot vijf herkenningspunten, zoals een afzenderadres dat net afwijkt of een link naar een ander domein. Voor een nulmeting kiezen wij punten die goed te vinden zijn. Omdat een herkenbaar onderwerp de test moeilijker maakt, kiezen wij soms bewust een algemener scenario. Zo krijgt iedereen een eerlijke kans. Bij een volgende test bepalen wij samen hoe subtiel de punten zijn.
Wilt u meteen weten hoe uw medewerkers reageren op een nagebouwde versie van uw eigen inlogpagina, dan kan de nulmeting ook als volledig maatwerk. In de intake adviseren wij wat bij uw organisatie past.
- Een beproefd scenario, samen met u op maat gemaakt
- Eén groep, dezelfde mail, druppelsgewijs verstuurd
- Drie tot vijf herkenningspunten die goed te vinden zijn
- Soms bewust een algemener onderwerp
Aankondigen of niet: voor een nulmeting kiest u dat bewust
Meestal adviseren wij om vooraf aan te kondigen dat er een phishingtest komt. Die aankondiging is al een leermoment, omdat medewerkers weer even stilstaan bij phishing.
Voor een nulmeting kunt u er bewust voor kiezen niets aan te kondigen. Dan meet de test hoe medewerkers reageren op een gewone werkdag, zonder dat zij extra opletten. Alleen de mensen die u kiest, weten ervan, zoals uw helpdesk en de ogenschijnlijke afzender. Zij krijgen van ons vooraf een document met tips om op vragen van collega’s te reageren.
Uw ondernemingsraad adviseren wij in beide gevallen vooraf te informeren. Wij leggen uit wie welke uitkomsten ziet, en lichten dat zo nodig zelf toe aan uw OR.
Wat de nulmeting meet: drie routes, en wie niets deed
Een nulmeting kijkt verder dan de klik. Wij beschrijven drie routes, dezelfde als bij elke volgende test. Zo ziet u ook of uw medewerkers uw phishingprotocol kennen.
Route 1, de phishingpagina: wie klikt of gegevens invult
Wij registreren wie alleen op de link klikte (route 1.1) en wie daarna ook gegevens invulde (route 1.2). Een ingevuld wachtwoord wordt al in de browser afgekapt; wij leggen alleen de eerste twee tekens en de lengte vast.
Route 2, de hackermailbox: wie op de mail antwoordt
Wie antwoordt, denkt een collega te mailen en mailt zo met de ‘hackers’. Die medewerker kan het adres van de ‘hackers’ ook opslaan. Daarom is dit het grootste risico.
Route 3, melden en navraag: wie meldt of navraag doet
Wie de mail meldt bij de IT-helpdesk, daar navraag doet of de ogenschijnlijke afzender benadert, ziet BSM niet zelf. Uw organisatie houdt dat bij en stuurt ons na afloop een verslag. Een verdachte mail hoort altijd direct gemeld te worden bij de juiste persoon.
Daarnaast: wie niets deed
Ook wie de mail liet liggen, telt mee in de nulmeting. Een melding van deze groep had collega’s en IT eerder kunnen waarschuwen.
Wat u na de nulmeting in handen heeft
Na afloop krijgen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon: hoe de testmail eruitzag, aan welke punten zij hem hadden kunnen herkennen en bij wie zij een verdachte mail melden. Zo is de nulmeting voor iedereen meteen een eerste leermoment.
Voor u schrijven onze specialisten het eindrapport. Het beschrijft per route wat er gebeurde, vat de uitkomsten samen in een risicomatrix en noemt wat u kunt verbeteren. Wij beoordelen elke phishingtest met hetzelfde risicomodel. Daardoor is dit rapport uw referentiekader.
Of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. Grote organisaties kiezen vaak voor volledig anoniem. Het eindrapport en de herkenningsbrief phishing noemen niemand.
- Herkenningsbrief phishing voor alle medewerkers
- Eindrapport met de drie routes en een risicomatrix
- Hetzelfde risicomodel bij elke test, dus vergelijkbaar
- Met namen of volledig anoniem, zoals u kiest
Zo verloopt een phishing test als nulmeting
Na de gratis intake doen wij het meeste werk. Bij elke stap staat wat wij van u vragen.
De voorbereiding
In het startgesprek, na uw akkoord op de offerte, kiest u met ons het scenario. Daarna levert u de deelnemerslijst aan, en stelt uw IT-beheerder de whitelisting in met onze instructies. Pas als de testmail goed aankomt, geeft u akkoord.
De nulmeting zelf
Wij bellen uw contactpersoon vlak voor de start en versturen de mails. Desgewenst ontvangt u na een paar uur een tussentijdse update.
Brief, eindrapport en nabespreking
Onze specialisten schrijven het eindrapport. In de nabespreking lopen wij de uitkomst met u door en bespreken wij wat u kunt verbeteren.
Een nulmeting is betaald, alleen de intake is gratis
Een gratis phishingtest voeren wij niet uit, ook niet als nulmeting. Elke nulmeting is maatwerk: een scenario dat bij uw organisatie past, de whitelisting met uw IT-beheerder, begeleiding tijdens de test en een eindrapport van onze specialisten. Daarnaast vraagt de zorg voor uw medewerkers en hun gegevens tijd en aandacht, en daarop willen wij niet bezuinigen.
Gratis is de intake. In dat gesprek bespreken wij uw situatie, adviseren wij een scenario en een moeilijkheid en beantwoorden wij uw vragen, ook die van uw OR of privacy officer. Daarna beslist u of u de nulmeting laat uitvoeren.
Na de nulmeting: leren, en de phishingtest herhalen
Na de nulmeting kunt u eerst een phishing training laten geven en de phishingtest daarna herhalen. Welke stap u zet, en wanneer, beslist u zelf.
Leren: een phishing training
Onze eigen trainers geven de training op locatie, in groepen tot vijfentwintig mensen. De uitkomsten van de nulmeting kunnen daarin anoniem terugkomen.
Meer over phishing trainingBewust blijven: phishing as a service
Herhaal de phishingtest één tot vier keer per jaar, of vaker, steeds met een ander scenario. Wij doen het werk, zonder verplicht jaarabonnement of minimale looptijd.
Meer over phishing as a serviceVragen over een nulmeting
Is een nulmeting iets anders dan een eerste phishingtest?
Een nulmeting is een eerste phishingtest die u gebruikt als referentiekader. U krijgt dezelfde voorbereiding, begeleiding, herkenningsbrief phishing en hetzelfde eindrapport. Wat een nulmeting kenmerkt, zijn de keuzes: meestal een makkelijke test, en soms bewust geen vooraankondiging.
Zitten wij na de nulmeting ergens aan vast?
Nee. Na het eindrapport beslist u zelf of en hoe u verdergaat. Herhaalt u de phishingtest, dan kiest u ook de vorm: een losse test, een jaarlijkse of een tweejaarlijkse test, of vaker, eventueel met training.
Voelen medewerkers zich na een nulmeting gepakt?
Wij houden het een leermoment voor iedereen: samen leren, niet met de vinger wijzen. Iedereen krijgt dezelfde herkenningsbrief phishing, met de boodschap dat melden altijd goed is, ook na een klik.
Waar blijven de gegevens van onze medewerkers?
Op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat; de gegevens blijven in Europa. Vóór de start tekenen wij samen een verwerkersovereenkomst. BSM is een vergund onderzoeksbureau (POB 1104), en al onze medewerkers zijn gescreend en hebben een wettelijke geheimhoudingsplicht.
Hoe lang duurt een nulmeting?
De doorlooptijd is gemiddeld twee tot vier weken. Het tempo hangt vooral af van wanneer de deelnemerslijst, de whitelisting en uw akkoord rond zijn.
Plan een gratis intake voor uw nulmeting
Laat uw gegevens achter, dan bellen wij u om de intake te plannen. Na de intake ontvangt u een offerte voor de nulmeting.