Security awareness training voor een klein team: medewerkers leren phishing herkennen met korte sessies, oefenmails en een meldknop, zonder schuldcultuur.
De beste training tegen phishing is kort, vaak en praktisch: een paar keer per jaar een half uur met echte voorbeelden, af en toe een oefenmail, en één duidelijke plek waar iedereen verdachte mail meldt. Een eenmalige lange cursus beklijft slecht.
Techniek houdt veel tegen, maar niet alles. Een overtuigende mail of een telefoontje van een ‘collega’ komt soms toch door. Dan maakt het verschil of je medewerker even twijfelt en het meldt, of doorklikt. Daar train je op, en daarbij hoort ook dat melden nooit tot straf leidt.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Zet eerst tweestapsverificatie aan op alle mailaccounts en beheerportalen. Dan is een gestolen wachtwoord alleen nog niet genoeg om binnen te komen. Training werkt het best bovenop die basis.
Laat in een half uur echte phishingmails zien die je bedrijf heeft ontvangen: een nepfactuur, een ‘wachtwoord verloopt’-mail, een gedeeld document. Leg uit waar je op let: afzenderadres, link naar een vreemd domein, haast, onverwachte bijlage. Gebruik Phishingmail herkennen als hand-out.
Spreek één manier af om verdachte mail te melden, bijvoorbeeld de knop Melden in Outlook of een vast mailadres. Reageer op elke melding, ook als het loos alarm was. Zo blijft melden normaal.
Spreek vooraf met de directie af dat er oefenmails komen, en wat je met de uitkomst doet. Wie klikt, krijgt meteen een korte uitleg in plaats van een berisping. In Microsoft 365 met de juiste licentie kan dat met de ingebouwde aanvalssimulatie; er zijn ook losse diensten voor.
Plan elk kwartaal tien tot vijftien minuten in een teamoverleg: één nieuw voorbeeld, één tip. Denk aan CEO-fraude, nep-helpdesks die bellen en QR-codes in mails.
Kijk niet alleen hoeveel mensen klikken, maar vooral hoeveel er melden en hoe snel. Een stijgend aantal meldingen is een goed teken.
Iedereen moet weten wat hij direct doet: wachtwoord wijzigen, IT inlichten en niets wissen. Hoe sneller iemand het zegt, hoe kleiner de schade.
Let op: Doe nooit oefenmails die over salaris, ontslag of persoonlijke zaken gaan. Dat schaadt het vertrouwen in je team meer dan het oplevert.
Een training werkt het best als hij over jullie eigen situatie gaat, niet over algemene voorbeelden.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Liever vaak kort dan één keer lang. Een korte herhaling per kwartaal en af en toe een oefenmail werkt in de praktijk beter.
Spreek het af met de directie en, als je die hebt, de ondernemingsraad. Vertel medewerkers dat er oefeningen komen, zonder te zeggen wanneer, en gebruik de resultaten niet om mensen af te rekenen.
Direct het wachtwoord wijzigen, alle sessies afmelden en controleren of er doorstuurregels zijn aangemaakt. Zie Mailaccount gehackt.
Voor organisaties onder NIS2 hoort training van bestuur en medewerkers bij de maatregelen. Voor andere bedrijven is het niet verplicht, maar wel een van de goedkoopste maatregelen.
Ja. We maken een korte sessie met voorbeelden uit jullie eigen mailbox en zetten de meldknop en tweestapsverificatie goed.
Hulp nodig van een mens? IT-beveiliging in jouw plaats · IT-consultancy · Microsoft 365-hulp · Alle oplossingen
Website: IT Live