Phishingtest voor medewerkers: zo doet u het goed en AVG-proof
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
Een phishingtest (phishingsimulatie) is een nagemaakte nepmail die u met toestemming naar uw eigen medewerkers stuurt. Zo meet u wie klikt en wie het meldt. Gebruik het als leermiddel, niet als afrekening. Kondig het beleid vooraf aan en betrek de ondernemingsraad als u die heeft. Rapporteer alleen op groepsniveau.
In dit artikel (6 delen)
Wat is een phishingtest voor medewerkers?
Bij een phishingtest stuurt u, of een partij die u inhuurt, een nagemaakte phishingmail naar uw eigen personeel. De mail lijkt op wat criminelen echt sturen. Bijvoorbeeld een factuur, een pakketmelding of een verzoek “van de directeur”. Er gebeurt niets ergs als iemand klikt. Wie klikt, ziet een korte uitleg over de signalen die hij had kunnen zien.
Het doel is niet om mensen te betrappen. Het doel is meten hoe weerbaar uw organisatie is. En mensen leren op het moment dat het onderwerp écht persoonlijk is: vlak na de klik.
Waarom juist het mkb een phishingtest nodig heeft
Phishing is de goedkoopste aanval die er is. Eén klik op een nagemaakte inlogpagina van Microsoft 365 is genoeg. Dan leest een crimineel uw mail mee, stuurt facturen met een ander rekeningnummer of zet ransomware klaar. KvK waarschuwt webshops er specifiek voor. Klachtenmails met een “foto” van een kapot product kunnen malware bevatten.
Sinds AI de spelfouten uit nepmails heeft gehaald, werkt de oude tip “let op slecht Nederlands” niet meer. Uw team moet andere signalen leren zien. Een afzender die net niet klopt. Haast. Een link naar een vreemd domein. Of een verzoek om iets buiten de normale route te betalen.
Mag een phishingtest van de AVG en de ondernemingsraad?
Ja, als u het zorgvuldig inricht. Bij een phishingtest verwerkt u gegevens van medewerkers: wie klikte, wie gegevens invulde en wie meldde. Volgens de Wet op de ondernemingsraden heeft de or instemmingsrecht bij regelingen waarbij persoonsgegevens van werknemers worden verwerkt. Dat geldt ook voor voorzieningen die gedrag of prestaties van medewerkers kunnen controleren. De SER en de Autoriteit Persoonsgegevens leggen dat uit voor de ondernemingsraad. Heeft u een or, betrek hem dan vooraf.
Drie afspraken maken het verschil. Leg vast dat u dit soort tests doet en vertel het uw medewerkers vooraf. Niet wanneer, wel dát. Rapporteer op groepsniveau, nooit met namen. En gebruik de uitkomst nooit in een beoordeling of tegen een medewerker. Dit is geen juridisch advies. Heeft u een or of twijfelt u, laat het dan toetsen.
Zo zet u een phishingtest op
Kies een scenario dat bij uw bedrijf past. Bijvoorbeeld een factuur van een leverancier die u echt gebruikt, of een melding van een pakketdienst. Begin herkenbaar, met duidelijke signalen. Een test die niemand kan doorzien, levert alleen frustratie op.
Zorg dat melden makkelijker is dan klikken: één vast adres of een meldknop in de mail. Houd de pagina na de klik vriendelijk en kort, met drie signalen die in de mail zaten. Vermijd gevoelige onderwerpen als ontslag, bonus of gezondheid. Dat werkt technisch goed, maar kost u het vertrouwen van uw team.
Wat u meet en wat een goed resultaat is
Meet drie dingen. Hoeveel mensen klikten. Hoeveel er ook gegevens invulden. En hoeveel de mail meldden. Dat laatste getal is het belangrijkste. Een team waar niemand klikt maar ook niemand meldt, is niet veilig. Bij een echte aanval wilt u de eerste melding binnen minuten.
Eén losse test zegt weinig. Herhaal het een paar keer per jaar met wisselende scenario’s, en kijk of het aantal meldingen stijgt. Daalt het aantal klikken niet, dan ligt het aan de uitleg en niet aan uw mensen.
De Phishing-proef van Blackbox Cyber
Met De Phishing-proef sturen wij één nagemaakte phishingmail naar uw personeel, met een scenario dat bij uw bedrijf past. U krijgt een rapport op groepsniveau, zonder namen. Achteraf krijgt uw team een korte uitleg. De prijs is € 495 vast, excl. btw. Wij doen dit alleen met schriftelijke toestemming van de directie. De mail gaat alleen naar adressen binnen uw eigen organisatie.
Wilt u daarnaast weten of iemand mail kan versturen uit naam van uw domein? Dat is een ander probleem met een andere oplossing: SPF, DKIM en DMARC. Die controleert u gratis met onze mailcheck.
Veelgestelde vragen
Hoe vaak moet ik een phishingtest doen?
Eén losse test zegt weinig. Een paar keer per jaar, met wisselende scenario’s en oplopende moeilijkheid, laat zien of uw team beter wordt. Kijk vooral of het aantal meldingen stijgt.
Wat doe ik als een medewerker op een echte phishingmail heeft geklikt?
Laat diegene het direct melden, zonder verwijt. Verander het wachtwoord van het account en zet tweestapsverificatie aan. Controleer of er doorstuurregels in de mailbox zijn gezet. Kijk ook of er vanuit dat account mail is verstuurd.
Mag ik mijn medewerkers testen met een nepmail?
Ja, als u het vooraf als beleid aankondigt en de ondernemingsraad betrekt als u die heeft. Rapporteer alleen op groepsniveau en gebruik de uitkomst niet in beoordelingen. Laat het bij twijfel juridisch toetsen.
Wat kost een phishingtest voor medewerkers?
De Phishing-proef van Blackbox Cyber kost € 495 vast, excl. btw: één nagemaakte mail, een rapport op groepsniveau en uitleg achteraf.
Zien jullie wie er geklikt heeft?
Wij rapporteren alleen op groepsniveau, zonder namen. Zo blijft het een leermiddel en geen afrekening, en blijven mensen ook na de test verdachte mails melden.
Is een phishingtest verplicht onder NIS2?
De Cyberbeveiligingswet noemt phishingtests niet letterlijk. Organisaties die eronder vallen, moeten wel zorgen voor beveiligingsbewustzijn en training. Een phishingtest is een praktische manier om aan te tonen dat die training werkt.
Verder lezen
Bronnen
- SER: medezeggenschap bij privacy van medewerkersser.nl
- Autoriteit Persoonsgegevens: het OR-privacyboekjeautoriteitpersoonsgegevens.nl
- KVK: 7 tips voor een veilige webshop (phishing)kvk.nl
- NCSC: Testen van technische veiligheidsmaatregelen (testen van mensen en processen)ncsc.nl
- Veilig Internetten: phishingveiliginternetten.nl