Phishingtraining: wat werkt en wat je moet meten

Wat phishingtraining wel en niet oplost

Techniek onderschept het grootste deel van de rommel. Wat overblijft is precies het bericht dat door de filters komt omdat het op echt werk lijkt, en dat komt bij een medewerker terecht die op dat moment tien andere dingen aan zijn hoofd heeft. Phishingtraining gaat over die laatste meter.

Daarbij helpt het om het doel scherp te stellen. Een organisatie waar niemand ooit klikt bestaat niet, en een programma dat daarop stuurt gaat vanzelf cijfers optimaliseren in plaats van gedrag. Wat wel haalbaar is, is dat een medewerker twijfelt, dat hij meldt, en dat de securityafdeling binnen enkele minuten weet dat er een campagne loopt.

Waarom je niet op het klikpercentage moet sturen

Het klikpercentage is het cijfer dat het makkelijkst te beïnvloeden is en het minst zegt. Wie een simpele nepmail met een vreemd afzenderadres verstuurt, haalt een laag percentage. Wie een bericht nabouwt dat lijkt op de eigen salarisadministratie, haalt een hoog percentage. Het verschil zit in de moeilijkheid van de test, niet in de weerbaarheid van de organisatie.

Ook de reflex om een klikker meteen een lesje te geven, verdient een kanttekening. Onderzoekers van ETH Zürich volgden vijftien maanden lang ruim veertienduizend medewerkers van één organisatie tijdens echte phishingsimulaties. Hun conclusie is ongemakkelijk voor de gangbare praktijk, want training die direct na een klik wordt getoond maakt medewerkers niet weerbaarder en kan zelfs een tegengesteld effect hebben.

Dat betekent niet dat je niets doet na een klik. Het betekent dat het lesmoment losstaat van het strafmoment, en dat je een klik behandelt als informatie over je organisatie in plaats van als een fout van één persoon.

Meldgedrag is de graadmeter die er wel toe doet

Uit hetzelfde onderzoek komt een tweede bevinding, en die is een stuk bruikbaarder. Medewerkers samen inzetten als detectiemechanisme werkt in de praktijk. De onderzoekers zagen dat nieuwe campagnes daardoor snel werden opgemerkt, dat de werklast voor de organisatie te dragen bleef en dat mensen ook na lange tijd bleven melden.

Daarmee heb je een graadmeter die je niet kunt masseren met een makkelijke test. Kijk naar het aandeel ontvangers dat een verdacht bericht meldt, naar de tijd tussen de eerste ontvangst en de eerste melding, en naar het verschil daarin tussen afdelingen. Een afdeling die vaak klikt maar ook snel meldt, is minder kwetsbaar dan een afdeling waar het stil blijft.

Zorg dan wel dat melden moeiteloos is. Een knop in de mailomgeving die met één handeling werkt, levert meer op dan een postbus waarvan het adres in een intranetdocument staat. Wie moet nadenken over hoe hij meldt, meldt niet.

Hoe je een phishingtraining opzet die blijft werken

Begin met een nulmeting die je niet gebruikt om af te rekenen. Je wilt weten waar je staat en welke afdelingen andere risico's lopen, want de inkoopafdeling krijgt andere verleidingen te zien dan de servicebalie of de directie.

Bouw daarna een ritme in plaats van een campagne. Korte lesmomenten die een paar keer per jaar terugkomen doen meer dan één jaarlijkse module van een uur, omdat herkenning slijt en aanvallers hun verhaal aanpassen. Wissel de vorm af, zodat het onderwerp niet voorspelbaar wordt.

Laat de simulaties in moeilijkheid oplopen en stem ze af op de doelgroep. Een eerste ronde met een herkenbare truc laat mensen wennen aan het melden. Pas daarna wordt het interessant om te oefenen met berichten die lijken op de systemen die een team echt gebruikt. Hoe dat in de praktijk uitpakt staat in hoe phishing-simulaties in trainingen werken.

Spreek tot slot vooraf af wat er gebeurt na een klik en na een melding. Een melder krijgt een korte bevestiging en hoort wat ermee is gedaan. Iemand die klikt krijgt uitleg op een rustig moment, niet als publieke terechtwijzing. Dat verschil bepaalt of mensen de volgende keer nog melden.

Waar het meestal misgaat

De meest voorkomende fout is de eenmalige campagne die als afvinkoefening wordt ingepland en waarvan de uitkomst in een presentatie verdwijnt. Een tweede fout is iedereen dezelfde nepmail sturen, waardoor de eerste ontvanger zijn collega's waarschuwt en je vooral meet hoe snel het gerucht rondgaat.

Riskanter is de omgang met de mensen die erin trappen. Zodra klikkers herkenbaar in een lijstje belanden of hun leidinggevende een naam doorkrijgt, verschuift het doel van veilig gedrag naar niet betrapt worden. Melden wordt dan riskant, en juist dat is het gedrag dat je nodig hebt. Wanneer een programma om die reden averechts uitpakt, staat beschreven in wanneer phishing-simulaties averechts werken.

Er is ook een formele kant. Een simulatie verwerkt gegevens over het gedrag van herkenbare medewerkers, dus leg vooraf vast waarvoor je die gebruikt, hoe lang je ze bewaart en op welk niveau je rapporteert. Bespreek de opzet met de ondernemingsraad voordat de eerste ronde vertrekt, niet erna.

Wat je aan je bestuur laat zien

Een bestuur heeft weinig aan een klikpercentage zonder context. Er zijn wel cijfers waarop het kan sturen: het aandeel medewerkers dat meldt, de tijd tot de eerste melding, het aantal mensen dat herhaaldelijk klikt zonder te melden, en de deelname aan de lesmomenten per afdeling. Dat zijn cijfers die een besluit ondersteunen over waar je extra oefent.

Die betrokkenheid is geen formaliteit. In een overzichtsstudie van 58 onderzoeken naar cybersecuritycultuur noemen Uchendu en collega's steun van het hoogste management, samen met beleid en awareness, als bepalend voor het slagen ervan. Een programma dat alleen bij de securityafdeling hangt, verzandt zodra het druk wordt.

Welke cijfers de moeite waard zijn en welke vooral ruis opleveren, staat uitgewerkt in phishing-KPI's die echt iets zeggen.

Checklist voor de praktijk

• Spreek af welk gedrag je wilt zien en zet het meldpercentage bovenaan in plaats van het klikpercentage.
• Zorg dat melden met één handeling kan, vanuit de mailomgeving zelf.
• Verdeel medewerkers in doelgroepen en gebruik voorbeelden uit hun eigen werk.
• Plan meerdere korte momenten per jaar en laat de moeilijkheid oplopen.
• Leg vast wat er na een klik en na een melding gebeurt, en houd namen buiten de rapportage.
• Bespreek de opzet met de ondernemingsraad voordat de eerste simulatie vertrekt.
• Rapporteer per afdeling aan het bestuur en koppel er een besluit aan.

Bronnen

• Lain, Kostiainen en Čapkun (2022), Phishing in Organizations: Findings from a Large-Scale and Long-Term Study, ETH Zürich. Vijftien maanden onderzoek onder ruim veertienduizend medewerkers.
• Uchendu, Nurse, Bada en Furnell (2021), Developing a cyber security culture: Current practices and future needs, Computers & Security 109.
• Bada, Sasse en Nurse (2015), Cyber Security Awareness Campaigns: Why do they fail to change behaviour?
• CISA, Avoiding social engineering and phishing attacks.

Gerelateerde artikelen

Waarom medewerkers op phishing klikken · Phishing herkennen: de belangrijkste signalen · Waarom phishing-simulaties werken · Spear phishing voorbeelden uit de praktijk

FAQ

Hoe vaak moet je phishingtraining herhalen?

Een paar keer per jaar een kort moment werkt beter dan één lange module. Herkenning slijt en aanvallers passen hun verhaal aan, dus een vast ritme met wisselende vormen houdt het onderwerp levend zonder dat het gaat vervelen.

Is een phishingsimulatie hetzelfde als phishingtraining?

Nee. De simulatie is de oefening waarmee je meet hoe mensen reageren, de training is de uitleg en het gesprek eromheen. Een simulatie zonder training levert cijfers op zonder verbetering, en training zonder simulatie levert kennis op waarvan je niet weet of die standhoudt onder werkdruk.

Wat is een goed meldpercentage?

Er is geen norm die voor elke organisatie klopt, want die hangt af van de moeilijkheid van je test en van hoe makkelijk melden is. Vergelijk daarom vooral met je eigen vorige ronde en met andere afdelingen, en kijk of de tijd tot de eerste melding korter wordt.

Mag je medewerkers zomaar testen met een nepmail?

Je verwerkt er gegevens over herkenbare medewerkers mee, dus je legt vooraf het doel, de bewaartermijn en het rapportageniveau vast, en je bespreekt de opzet met de ondernemingsraad. Rapporteren op afdelingsniveau in plaats van op naam voorkomt de meeste bezwaren en houdt het gedrag zuiver.

Werkt training direct na een klik?

Uit het onderzoek van ETH Zürich blijkt van niet. Lesmateriaal dat meteen na een klik verschijnt maakte medewerkers niet weerbaarder en kon zelfs averechts werken. Geef de uitleg daarom op een rustiger moment en houd hem los van de terechtwijzing.

Wanneer is een demo zinvol?

Zodra je wilt zien hoe lesmomenten, simulaties en rapportage in één programma samenkomen. In een demo van een halfuur laten we zien hoe je doelgroepen inricht, hoe meldgedrag zichtbaar wordt en wat je bestuur uiteindelijk te zien krijgt.