Aankoopgids Phishing Simulatie & Testen

Voor een doorlopend programma betaal je grofweg €8 tot €40 per gebruiker per jaar aan licentie, afhankelijk van of je alleen simulaties wilt of ook een volledige trainingsbibliotheek, SSO en compliance-rapportage. Bij grotere aantallen zakt de prijs per gebruiker fors. Reken erop dat begeleiding, implementatie en managed service apart geoffreerd worden en bij kleine organisaties zwaarder wegen dan de licentie zelf.

Een eenmalige nulmeting kun je binnen een tot vier weken laten uitvoeren, inclusief rapport. Voor gedragsverandering is een enkele test te weinig; aanbieders werken met maandelijkse of kwartaalcampagnes over minimaal twaalf maanden. In benchmarkcijfers zit de grootste verbetering juist tussen maand drie en maand twaalf, dus een programma korter dan een jaar meet vooral je startpunt.

Een actuele lijst met medewerkers en e-mailadressen, iemand die eigenaar is van het programma, en toestemming van je IT-beheer om de simulatiedomeinen door je mailfilter te laten. Microsoft publiceert bijvoorbeeld de volledige lijst met simulatie-URL's die je moet toestaan. Verder een besluit vooraf over wie de resultaten mag zien, want dat is het punt waar het intern misgaat.

Een phishing-simulatie verwerkt persoonsgegevens en meet gedrag van medewerkers, dus het valt onder de AVG en onder het instemmingsrecht van de ondernemingsraad. De SER wijst expliciet op artikel 27 WOR voor regelingen waarvoor persoonsgegevens van werknemers worden verwerkt en voor systemen die aanwezigheid, gedrag of prestaties monitoren. Praktisch: leg grondslag en doel vast, informeer medewerkers dát er getest wordt (niet wanneer), rapporteer op groepsniveau en haal instemming op voordat je start.

Zonder training klikt ruwweg een op de drie medewerkers. In de KnowBe4-benchmark ligt de gemiddelde startwaarde op 33,2 procent, die na twaalf maanden doorlopende training zakt naar 4,2 procent. Hoxhunt hanteert als vuistregel 25 tot 35 procent zonder training, 10 tot 20 procent bij een jong programma en 5 tot 10 procent bij een volwassen programma. Kijk niet alleen naar klikken: het meldpercentage is minstens zo belangrijk.

Als je Microsoft 365 E5 hebt of Microsoft Defender for Office 365 Plan 2 als add-on, dan heb je Attack Simulation Training al, met technieken als credential harvest, malware-bijlage, QR-code-phishing en gekoppelde trainingscampagnes. Let op twee dingen: de licentie is nodig voor elke medewerker die je test, en E3-klanten krijgen alleen een uitgeklede proefvariant met één payloadtype. Voor veel organisaties is dit genoeg om te starten zonder extra leverancier.