Het is een discussie met voorstanders en tegenstanders, maar zelf ben ik nog steeds 1 van de grote voorstanders van het testen van werknemers met phishing testen. Mails om werknemers scherp te houden en niet zomaar alles in hun professionele mailbox te vertrouwen. Is dit de enige methode om de cybersecurity maatregelen in je bedrijf te verhogen? Totaal niet, het dienst best een onderdeel te zijn van een groter geheel, maar het brengt het wel direct naar voor naar de werknemers.
Bij veel van mijn klanten ervaar ik zelf deze testen en moet ik toch wel vaststellen dat phishing steeds beter aan het worden is (zie mijn vele blogposten met voorbeelden) en ook deze phishing testen best goed aan het worden zijn.
Daar ik in 2025 meer opdrachten uitvoer als freelance Privacy Officer/DPO en dit combineer met het geven van in-company security awareness trainingen, ben ikzelf nu ook dieper hierin gedoken.
Het opzetten van phishing testen naar werknemers is nu 1 van die extra services die ik aan het aanbieden ben en dit met leuke en goede resultaten. Best confronterend voor elk bedrijf.
Enkele tips en inzichten die ik leerde uit deze phishing testen
- Zorg voor een correcte opzet en authenticatie. Phishing emails die in de spamfilters terechtkomen gaan hun doel volledig voorbij. (Email authenticatie is trouwens steeds moeilijker en daar krijg ik dan ook nog steeds vragen over).
- Start zonder waarschuwing en geef nadien een security awareness training. De combinatie is zoveel sterker om werknemers mee te krijgen.
- Mijn persoonlijke favorieten zijn phishing emails vanuit een onverwacht persoonlijk standpunt (collega x is nu met jou geconnecteerd op Strava,…), maar toch zie je uit die real-life testen dat de traditionele eBox, Liantis, bPost emails het beste blijven werken.
- Zorg voor een grote variatie aan templates en gespreide verzending van de testemails. 1 email naar een heel bedrijf sturen op hetzelfde moment, gaat al snel ervoor zorgen dat er iemand intern op Team/Slack alarm gaat slagen (wat daarnaast geen slechte awareness is).
- De kostprijs/licentie van de opzet van een platform voor phishing testen naar werknemers bij een kleine en gemiddelde KMO is meestal lager dan de meetings hierover (zoals we wel met meer tools en services zien). 🤷♂️
- Kies voor een Belgisch platform met phishing templates gericht op onze Belgische situatie. Ikzelf heb gekozen om het platform van Outkept aan te bieden (en dus de configuratie op te zetten voor bedrijven). IT/security studenten ga ik nu ook zeker aanmoedigen om zelf ook phishing templates te gaan aanleveren voor dit platform. Geen betere manier om zelf iets bij te leren over phishing en security.
