Social engineering laten testen voordat een aanvaller dat doet

De actieve fase duurt meestal 1 tot 3 dagen. Het hele traject – voorbereiding, uitvoering en rapportage – kost ongeveer 1 tot 2 weken, afhankelijk van het aantal scenario’s en de omvang van de scope.

Nee. Wij testen organisatorische maatregelen, procedures en awareness – geen personen. Resultaten worden uitsluitend geaggregeerd gerapporteerd; individuele medewerkers worden niet beoordeeld of geïdentificeerd. U ontvangt geen namen en geen ranglijst. Dat is ook wat de AVG en een ondernemingsraad van een goed opgezette simulatie verwachten, en het is wat een simulatie bruikbaar maakt: een medewerker die durft te melden is meer waard dan een medewerker die bang is om fouten te maken.

Twee tot vier keer per jaar houdt de alertheid op peil, omdat aanvallers hun tactiek blijven aanpassen. De AVG noemt in artikel 32 lid 1 sub d “een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid” van de beveiligingsmaatregelen – waar passend. Een terugkerende simulatie is de eenvoudigste manier om dat aantoonbaar te maken. De Cyberbeveiligingswet schrijft geen simulatie voor: die vraagt om een risicoanalyse en om passende en evenredige maatregelen.

Technische maatregelen vangen veel af, maar niet het bericht dat er legitiem uitziet, geen bijlage bevat en van een net geregistreerd domein komt – en een telefoongesprek passeert het filter helemaal. Social engineering gaat om de techniek heen en richt zich op de mens. Alleen testen en trainen dicht dat gat. De technische kant dekt een pentest, ook wel penetratietest genoemd; een red teaming-traject combineert de techniek en de mens in één scenario.