De duurste beveiligingstechniek verliest het van één overtuigende nepmail. De meeste incidenten beginnen bij een medewerker die iets aanklikt, en daarom staat training als apart onderwerp in de wet.
Wat telt als bewustwordingstraining?
Een jaarlijks moment waarop alle medewerkers leren waar ze op moeten letten: phishing herkennen, wachtwoorden en wachtwoordmanagers, wat te doen bij een verdachte melding. De vorm is vrij; een online module, een lunchsessie of een externe trainer telt allemaal.
Twee details maken het aantoonbaar. Iedereen doet mee, dus ook de mensen zonder computer op hun bureau en de flexkrachten. En er is een deelnemerslijst, want die lijst is het bewijs dat een klantaudit wil zien.
Werken phishingtests echt?
Oefenen werkt aantoonbaar beter dan alleen een presentatie geven. Een of twee keer per jaar een testmail sturen en de uitkomsten bespreken houdt het onderwerp levend, en de trend over de jaren (steeds minder klikken, steeds meer meldingen) is een sterk verhaal richting klanten.
De toon doet ertoe: het doel is dat mensen verdachte mail durven melden, niet dat wie klikt aan de schandpaal gaat. Wie melden afstraft, traint mensen in zwijgen.
Welke regels moeten er op papier staan?
Een beknopt gebruikersreglement: hoe gaan we om met wachtwoorden, thuiswerken, privégebruik van zakelijke apparaten en zakelijk gebruik van privéapparaten. Vastgelegd, door medewerkers ondertekend en jaarlijks herhaald. Het gaat er niet om dat de regels streng zijn, maar dat ze bekend zijn en niet alleen in het hoofd van de ICT-er bestaan.
Moet de directie zelf ook getraind worden?
Ja, en dit is het minst bekende deel van de wet: voor organisaties die er rechtstreeks onder vallen, is bestuurderstraining een expliciete verplichting. Bestuurders moeten de risico's kunnen beoordelen waarvoor ze persoonlijk aansprakelijk zijn. Klanten nemen die vraag over in hun vragenlijsten, dus bewaar het bewijs van deelname.
Bekijk ook de andere negen maatregelen of meet uw stand met de gratis scan.