De duurste beveiligingstechniek verliest het van één overtuigende nepmail. De meeste incidenten beginnen bij een medewerker die iets aanklikt, en daarom staat training als apart onderwerp in de wet.
Wat telt als bewustwordingstraining?
Een jaarlijks moment waarop alle medewerkers leren waar ze op moeten letten: phishing herkennen, wachtwoorden en wachtwoordmanagers, wat te doen bij een verdachte melding. De vorm is vrij; een online module, een lunchsessie of een externe trainer telt allemaal.
Twee details maken het aantoonbaar. Iedereen doet mee, dus ook de mensen zonder computer op hun bureau en de flexkrachten. En er is een deelnemerslijst, want die lijst is het bewijs dat een klantaudit wil zien.
Werken phishingtests echt?
Oefenen werkt aantoonbaar beter dan alleen een presentatie geven. Een of twee keer per jaar een testmail sturen en de uitkomsten bespreken houdt het onderwerp levend, en de trend over de jaren (steeds minder klikken, steeds meer meldingen) is een sterk verhaal richting klanten.
De toon doet ertoe: het doel is dat mensen verdachte mail durven melden, niet dat wie klikt aan de schandpaal gaat. Wie melden afstraft, traint mensen in zwijgen.
Welke regels moeten er op papier staan?
Een beknopt gebruikersreglement: hoe gaan we om met wachtwoorden, thuiswerken, privégebruik van zakelijke apparaten en zakelijk gebruik van privéapparaten. Vastgelegd, door medewerkers ondertekend en jaarlijks herhaald. Het gaat er niet om dat de regels streng zijn, maar dat ze bekend zijn en niet alleen in het hoofd van de ICT-er bestaan.
Moet de directie zelf ook getraind worden?
Ja, en dit is het minst bekende deel van de wet: voor organisaties die er rechtstreeks onder vallen, is bestuurderstraining een expliciete verplichting. Bestuurders moeten de risico's kunnen beoordelen waarvoor ze persoonlijk aansprakelijk zijn. Klanten nemen die vraag over in hun vragenlijsten, dus bewaar het bewijs van deelname.
Hoe vaak moet training herhaald worden?
Jaarlijks voor iedereen, en daarnaast bij indiensttreding. Dat tweede wordt het vaakst vergeten: iemand die in maart begint terwijl de training in november was, loopt acht maanden zonder. Een korte introductie in de eerste week, met een handtekening onder het gebruikersreglement, lost dat op en is meteen het bewijsstuk.
Wat tussendoor het meeste effect heeft, is niet meer trainen maar korter en vaker herinneren. Eén alinea per kwartaal over een actueel voorbeeld, liefst een dat in uw eigen branche speelde, houdt het onderwerp levend zonder dat er een agenda voor vrijgemaakt hoeft te worden.
Hoe toon ik aan dat de training werkt?
Met de deelname én met een uitkomst. Deelname laat zien dat het gebeurde; de uitkomst laat zien dat het iets deed. Bruikbare cijfers zijn het percentage medewerkers dat op een testmail klikte, het percentage dat hem meldde, en de tijd tot de eerste melding. Die laatste is de interessantste, want die zegt iets over uw incidentprocedure.
Zet de cijfers van dit jaar naast die van vorig jaar en u heeft precies wat het toetsen van effectiviteit vraagt: geen momentopname maar een lijn.
Hoe doe ik dit met een klein team?
Zonder leerplatform en zonder budget, en dat is prima. Voor een team tot een man of vijftien werkt dit: één sessie van een uur per jaar waarin u samen drie echte voorbeelden doorneemt, bij voorkeur mails die uw eigen bedrijf heeft ontvangen. Wie de mail voorleest en de anderen laat zeggen wat er niet klopt, bereikt meer dan een module van veertig dia's.
Leg er drie dingen bij vast: de datum, wie erbij was, en welke drie punten aan bod kwamen. Dat past op een half A4 en is precies het bewijsstuk dat een klantaudit vraagt. Wie liever iets kant-en-klaars gebruikt: de gratis bewustwordingsmaterialen van het Digital Trust Center en het Nationaal Cyber Security Centrum zijn voor dit doel ruim voldoende, en dat u ze niet zelf gemaakt hebt, telt nergens tegen.
Bekijk ook de andere negen maatregelen.