Instructie geven aan twaalf mensen
Dit is de maatregel waar mensen het meest van zuchten en die het meest oplevert. De meeste inbraken beginnen bij iemand die op iets klikt.
Je hoeft geen e-learning te kopen. Een halfuur in de kantine, twee keer per jaar, met echte voorbeelden uit je eigen mailbox, werkt beter dan een module die iedereen doorklikt.
Het vastleggen is het deel dat vaak vergeten wordt, en het is precies waar je opdrachtgever naar vraagt. Een instructie zonder deelnemerslijst is niet aan te tonen.
Een security-instructie geven en de deelname vastleggen
Houd het klein en concreet. Laat drie phishingmails zien die jullie zelf hebben gekregen. Vertel wat er gebeurt als iemand klikt, en bij wie ze het melden. Dat laatste is het belangrijkste: mensen die bang zijn voor gedoe, melden niets.
Zeg er expliciet bij dat iemand die klikt geen probleem krijgt. Snel melden is meer waard dan nooit klikken, want klikken gebeurt vroeg of laat toch.
Leg de deelname vast: datum, onderwerp, wie erbij was. Een regel per keer. Dat lijstje is wat je aan je opdrachtgever laat zien.
Een keer per jaar is het minimum. Twee keer werkt beter, want de eerste keer is nieuw en de tweede keer blijft hangen.
- 01Verzamel drie echte phishingmails uit je eigen postvak.
- 02Plan een halfuur waarin iedereen er toch is.
- 03Behandel: hoe herken je het, wat doe je als je toch klikt, bij wie meld je het.
- 04Noteer datum, onderwerp en deelnemers.
- 05Zet de volgende ronde meteen in de agenda.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt wanneer de laatste instructie was en wie erbij was. Twee regels uit je lijstje zijn het hele antwoord.
Nieuwe medewerkers instructie geven voordat zij toegang krijgen
Iemand die op maandag begint en op maandag een mailbox krijgt, moet op maandag ook weten wat hij met verdachte mail doet. Instructie in de volgende ronde, over vier maanden, is te laat.
Het hoeft geen apart programma te zijn. Tien minuten bij de rondleiding, samen met de sleutel en de laptop. Zet het op het inwerklijstje dat je waarschijnlijk al hebt.
Leg ook hier de datum vast. Een handtekening onder een half A4 is genoeg, en dat vel gaat in het personeelsdossier.
- 01Zet security-instructie op het inwerklijstje, boven het uitreiken van accounts.
- 02Maak een half A4 met de vijf dingen die iemand op dag een moet weten.
- 03Laat het tekenen en bewaar het bij de indienstpapieren.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Hoe vaak moet ik security-instructie geven?
- Een keer per jaar is het minimum, twee keer werkt beter. Daarnaast krijgt iedere nieuwe medewerker instructie voordat hij accounts krijgt. Leg elke keer datum, onderwerp en deelnemers vast.
- Moet ik een e-learning aanschaffen?
- Nee. Een halfuur in de kantine met drie echte phishingmails uit je eigen postvak werkt beter dan een module die iedereen doorklikt. Wat je opdrachtgever wil zien is dat het gebeurd is en wie erbij was.
- Moet ik phishingtesten doen bij mijn eigen mensen?
- Het hoeft niet, en het helpt wel. Doe je het, kondig dan aan dat je het ergens in het jaar gaat doen, en straf niemand die erin trapt. Een test die als valstrik voelt, zorgt dat mensen daarna niets meer melden.
- Wat moet een nieuwe medewerker op dag een weten?
- Hoe hij verdachte mail herkent, bij wie hij meldt, dat hij geen wachtwoorden deelt, dat zijn account op zijn naam staat, en wat er met bedrijfsgegevens op zijn telefoon mag. Dat past op een half A4.
- Hoe leg ik de deelname vast zonder gedoe?
- Een regel per instructie in een spreadsheet: datum, onderwerp, namen. Voor nieuwe medewerkers een getekend half A4 in het personeelsdossier. Meer administratie levert niets extra's op.