Social engineering testen

Voor een fysieke toegangstest op één locatie ligt de vraagprijs bij Nederlandse aanbieders rond €3.750 tot €5.000 exclusief btw, inclusief intake, vooronderzoek en rapport. Een gecombineerd pakket met meerdere kanalen begint rond €1.900 voor een beperkte scope en loopt naar €5.000 voor een uitgebreide variant. Grotere trajecten met veel campagnes en doelgroepen komen boven de €10.000 uit. De meeste aanbieders publiceren geen prijslijst, dus vraag altijd twee of drie offertes op met dezelfde scope.

Omdat de prijs bijna volledig uit uren bestaat. Uurtarieven van €125 tot €200 zijn gangbaar; wie op dagbasis offreert rekent doorgaans hoger, tot €2.500 per dag, omdat voorbereiding, reistijd en rapportage in dat dagtarief zitten. Vergelijk daarom niet op eindbedrag maar op het aantal scenario's en het aantal dagen op locatie, en vraag welke van de twee grondslagen de aanbieder hanteert.

Reken op twee tot vier weken van intake tot rapport. Zelf lever je een schriftelijke opdracht van iemand die bevoegd is die te geven, een afgebakende scope met adressen en tijdvensters, een noodcontact dat 24/7 bereikbaar is, en afspraken over wat absoluut niet mag: geen inbraakschade, geen productieomgeving, geen situaties die een aanhouding uitlokken. Spreek ook af wie er wel op de hoogte is; meestal zijn dat enkele bestuurders en de beveiligingsverantwoordelijke.

Betrek de OR vooraf. Artikel 27 WOR geeft de ondernemingsraad instemmingsrecht bij regelingen over het verwerken en beschermen van persoonsgegevens van medewerkers en bij voorzieningen gericht op waarneming of controle van aanwezigheid, gedrag of prestaties. Een terugkerend testprogramma dat op groepsniveau gedrag meet valt daar redelijkerwijs onder, een eenmalige toets op een gebouw minder snel. Instemming vragen kost weinig en voorkomt dat de uitkomst intern wordt weggezet als een hinderlaag.

Tijdens een test worden onvermijdelijk persoonsgegevens verwerkt: namen uit OSINT, wie welke deur opende, wie de beller doorverbond. Werk daarom met dataminimalisatie, rapporteer op groeps- en procesniveau in plaats van per persoon, en leg vast dat de uitkomst niet gebruikt wordt om individuele medewerkers te sanctioneren. Spreek een bewaartermijn af voor foto's en opnames en leg de verwerkersrol van de aanbieder vast.

Ja. Dat is de schriftelijke machtiging die de testers bij zich dragen en waarmee ze kunnen aantonen dat ze in opdracht handelen, met daarin de scope, de periode, de handtekening van de opdrachtgever en een telefoonnummer dat ter plekke geverifieerd kan worden. Serieuze aanbieders voeren fysieke tests alleen uit met schriftelijke toestemming en vastgelegde rules of engagement. Vraag ook of het bureau onder een POB-vergunning van het ministerie van Justitie en Veiligheid werkt.

Phishing meet één kanaal en test vooral of iemand klikt. Een social engineering test meet of je verificatieprocedure standhoudt als er een mens tegenover staat die druk uitoefent, autoriteit claimt of gewoon vriendelijk meeloopt. De maatregelen die eruit komen zijn ook anders: geen mailfilter, maar een aangescherpt bezoekersproces, een verificatiescript voor de helpdesk en clear desk-afspraken.