{"id":9480,"date":"2026-10-13T12:01:39","date_gmt":"2026-10-13T10:01:39","guid":{"rendered":"https:\/\/evolvingdesk.com\/2026\/10\/13\/werken-phishing-simulaties-eigenlijk\/"},"modified":"2026-10-13T12:03:09","modified_gmt":"2026-10-13T10:03:09","slug":"werken-phishing-simulaties-eigenlijk","status":"publish","type":"post","link":"https:\/\/evolvingdesk.com\/nl\/2026\/10\/13\/werken-phishing-simulaties-eigenlijk\/","title":{"rendered":"Werken phishing simulations echt? Een eerlijke blik"},"content":{"rendered":"

Stuur een nep-phishingmail naar uw personeel, tel wie er klikt en rapporteer het aantal aan het management. Het is een standaardonderdeel geworden van security awareness, en de click rate is de statistiek geworden die iedereen citeert.<\/p>\n

Dit roept een terechte vraag op: verminderen phishing simulations<\/strong> daadwerkelijk de kans op een datalek, of produceren ze vooral een grafiek? Het eerlijke antwoord is dat ze goed kunnen werken, maar dat veel programma’s zo zijn opgezet dat ze gegarandeerd niet werken.<\/p>\n

\"Donker<\/figure>\n

De click rate is het verkeerde getal<\/h2>\n

De click rate is eenvoudig te meten, eenvoudig in een grafiek te zetten en eenvoudig te be\u00efnvloeden. Dat laatste is het probleem. Stuur een overduidelijke test en het percentage daalt. Stuur iets wat echt overtuigend is en het stijgt weer, want met genoeg inspanning kan een aanvaller op een drukke dinsdag bijna iedereen misleiden.<\/p>\n

Een dalende click rate kan betekenen dat uw medewerkers alerter zijn. Het kan evengoed betekenen dat uw phishing simulations makkelijker zijn geworden, of dat mensen het verzendpatroon herkennen, of dat iedereen het stilletjes tegen elkaar heeft verteld in de kantine. Niets daarvan weerspiegelt echte weerbaarheid.<\/p>\n

Het getal dat wel de moeite waard is om bij te houden, is de report rate: welk deel van de mensen het verdachte bericht naar iemand heeft doorgestuurd. En, nog nuttiger, hoe snel de eerste melding binnenkwam.<\/p>\n

Waarom rapportagetijd belangrijker is dan klikken<\/h2>\n

Ga ervan uit dat er iemand zal klikken. In een bedrijf van vijftig personen, gedurende een jaar, met een vastberaden aanvaller, zal er iemand klikken. Uw beveiliging kan er niet van afhangen dat niemand ooit een fout maakt.<\/p>\n

Wat de uitkomst bepaalt, is wat er daarna gebeurt. Als de eerste melding binnen drie minuten binnenkomt, kunt u het bericht uit andere inboxen verwijderen, het account resetten en controleren op verdachte aanmeldingen voordat er iets gebeurt. Als niemand twee dagen lang iets zegt, heeft de aanvaller twee dagen de tijd gehad.<\/p>\n

Op deze manier gemeten worden phishing simulations een test van uw detectie en respons, niet een test van individuele oplettendheid. Dat is een veel nuttiger gegeven om te meten, omdat dit het onderdeel is dat u daadwerkelijk kunt verbeteren.<\/p>\n

Hoe phishing simulations averechts kunnen werken<\/h2>\n

Er is een beproefd recept om de situatie te verergeren, en veel organisaties volgen dit onbedoeld op.<\/p>\n