Defence Strategy Verdedigingsstrategie
Effective defence against social engineering is never based on a single measure. It requires a layered approach also known as Defence in Depth where human, procedural, and technical layers reinforce each other.
Effectieve verdediging tegen social engineering is nooit gebaseerd op één enkele maatregel. Het vereist een gelaagde aanpak ook wel Defence in Depth genoemd waarbij menselijke, procedurele en technische lagen elkaar versterken.
Technology cannot secure an open door that an employee has deliberately held open. The human factor is the most critical security layer.
Technologie kan geen open deur beveiligen die een medewerker bewust heeft opengehouden. De menselijke factor is de meest kritieke beveiligingslaag.
HumanMenselijk
Awareness, training, behaviour change, and a security culture that empowers employees to report suspicious behaviour.
Bewustzijn, training, gedragsverandering en een beveiligingscultuur die medewerkers stimuleert verdacht gedrag te melden.
ProceduralProcedureel
Policy, verification procedures, escalation processes, and clear guidelines for handling unusual requests.
Beleid, verificatieprocedures, escalatieprocessen en duidelijke richtlijnen voor het afhandelen van ongewone verzoeken.
TechnicalTechnisch
Email filters, MFA, endpoint security, logging, and monitoring that detect and block attacks.
E-mailfilters, MFA, endpointbeveiliging, logging en monitoring die aanvallen detecteren en blokkeren.
Awareness Training Bewustzijnstraining
Security awareness training is the most effective investment in defence against social engineering. Employees who recognise attacks are an active line of defence.
Beveiligingsbewustzijnstraining is de meest effectieve investering in verdediging tegen social engineering. Medewerkers die aanvallen herkennen vormen een actieve verdedigingslinie.
Principles of effective trainingPrincipes van effectieve training
- Continuous rather than one-off: Annual training is not enough. Continuous, short micro-learnings are more effective
- Continu in plaats van eenmalig: Jaarlijkse training is niet genoeg. Doorlopende, korte micro-learnings zijn effectiever
- Practice-based: Simulations and scenarios based on real attacks from the sector
- Praktijkgericht: Simulaties en scenario's op basis van echte aanvallen uit de sector
- Positive reinforcement: Reward employees who report suspicious behaviour do not punish those who click on a test phishing
- Positieve bekrachtiging: Beloon medewerkers die verdacht gedrag melden bestraf niet degenen die op een testphishing klikken
- Role-based: Finance, HR, IT, and management each receive training tailored to their role
- Rolgebaseerd: Finance, HR, IT en management ontvangen elk training afgestemd op hun rol
- Measure results: Track click rates, reporting rates, and knowledge levels
- Resultaten meten: Volg klikpercentages, meldingspercentages en kennisniveaus
Awareness training topicsOnderwerpen bewustzijnstraining
| TopicOnderwerp | Target groupDoelgroep | FrequencyFrequentie |
|---|---|---|
| Phishing recognitionPhishing herkenning | All employeesAlle medewerkers | |
| Vishing awarenessVishing bewustzijn | Reception, helpdesk, financeReceptie, helpdesk, finance | |
| Password policy & MFAWachtwoordbeleid & MFA | All employeesAlle medewerkers | |
| Physical securityFysieke beveiliging | All employeesAlle medewerkers | |
| Data classificationDataclassificatie | All employeesAlle medewerkers | |
| BEC / CEO fraudBEC / CEO-fraude | Finance, managementFinance, management | |
| Social media risksRisico's social media | All employeesAlle medewerkers |
Policy & Procedures Beleid & Procedures
Clear policy and unambiguous procedures reduce the room for social manipulation. Attackers exploit ambiguity clear rules leave less room for improvisation.
Duidelijk beleid en ondubbelzinnige procedures verminderen de ruimte voor sociale manipulatie. Aanvallers maken gebruik van onduidelijkheid heldere regels laten minder ruimte voor improvisatie.
Essential policiesEssentieel beleid
- Identity Verification Policy: Procedure for verifying identities during telephone or in-person contact
- Identiteitsverificatiebeleid: Procedure voor het verifiëren van identiteiten bij telefonisch of persoonlijk contact
- Need-to-know Principle: Information is shared only with those who need it for their role
- Need-to-know principe: Informatie wordt alleen gedeeld met degenen die het nodig hebben voor hun rol
- Two-person Rule: Critical actions (payments, access grants) require approval from two people
- Vier-ogenprincipe: Kritieke handelingen (betalingen, toegangsverlening) vereisen goedkeuring van twee personen
- Out-of-band Verification: Financial requests by email must always be confirmed by phone via known numbers
- Out-of-band verificatie: Financiële verzoeken per e-mail moeten altijd telefonisch worden bevestigd via bekende nummers
- Document Destruction: All documents containing company information are shredded before disposal
- Documentvernietiging: Alle documenten met bedrijfsinformatie worden voor verwijdering vernietigd
- Visitor Procedure: All visitors are registered, their ID checked, and they are escorted
- Bezoekersprocedure: Alle bezoekers worden geregistreerd, hun ID gecontroleerd en zij worden begeleid
- Clean Desk Policy: No sensitive documents left unattended on desk or screen
- Clean Desk Policy: Geen gevoelige documenten onbeheerd op bureau of scherm achterlaten
Reporting cultureMeldcultuur
One of the most valuable defensive measures is a culture where employees report suspicious interactions without fear. This requires:
Een van de meest waardevolle verdedigingsmaatregelen is een cultuur waarbij medewerkers verdachte interacties zonder angst melden. Dit vereist:
- A clear reporting point (email, internal platform, or phone number)
- Een duidelijk meldpunt (e-mail, intern platform of telefoonnummer)
- Guarantee of anonymity for those who wish it
- Garantie van anonimiteit voor degenen die dat wensen
- Prompt follow-up and feedback after reports
- Snelle opvolging en terugkoppeling na meldingen
- No blame culture for victims of attacks
- Geen schuldcultuur voor slachtoffers van aanvallen
Technical Countermeasures Technische Tegenmaatregelen
Multi-Factor AuthenticationMulti-Factor Authenticatie
MFA is the most effective technical measure. Even with stolen credentials, MFA prevents unauthorised access in most cases.
MFA is de meest effectieve technische maatregel. Zelfs met gestolen inloggegevens voorkomt MFA in de meeste gevallen ongeautoriseerde toegang.
Email AuthenticationE-mailauthenticatie
SPF, DKIM, and DMARC prevent attackers from sending emails from your domain name. DMARC reporting provides insight into abuse.
SPF, DKIM en DMARC voorkomen dat aanvallers e-mails versturen vanuit uw domeinnaam. DMARC-rapportage geeft inzicht in misbruik.
URL Scanning & SandboxingURL-scanning & Sandboxing
Automatically analysing links and attachments in emails for malicious content before they reach the end user.
Automatisch analyseren van links en bijlagen in e-mails op schadelijke inhoud voordat ze de eindgebruiker bereiken.
Privileged Access ManagementBeheer van bevoorrechte toegang
Restrict administrative rights to the absolute minimum. Use Just-in-Time access for elevated privileges.
Beperk beheerdersrechten tot het absolute minimum. Gebruik Just-in-Time toegang voor verhoogde bevoegdheden.
SIEM & Anomaly DetectionSIEM & Anomaliedetectie
Detect unusual login patterns, data transfers, or access attempts that may indicate a compromise.
Detecteer ongebruikelijke inlogpatronen, gegevensoverdrachten of toegangspogingen die kunnen wijzen op een inbreuk.
Zero Trust ArchitectureZero Trust Architectuur
Never trust implicitly based on network location. Always verify identity and authorisation, even internally.
Vertrouw nooit impliciet op basis van netwerklocatie. Verifieer altijd identiteit en autorisatie, ook intern.
Phishing Simulations & Red Teaming Phishing Simulaties & Red Teaming
Simulated attacks are an essential part of a mature security programme. They measure the effectiveness of training and identify vulnerable employees or processes.
Gesimuleerde aanvallen zijn een essentieel onderdeel van een volwassen beveiligingsprogramma. Ze meten de effectiviteit van training en identificeren kwetsbare medewerkers of processen.
Conducting phishing simulationsUitvoeren van phishing simulaties
- Define scope: Which employees, which attack variants, time period
- Scope bepalen: Welke medewerkers, welke aanvalsvarianten, tijdsperiode
- Realistic scenarios: Use current, credible pretexts (not obviously fake)
- Realistische scenario's: Gebruik actuele, geloofwaardige pretexten (niet overduidelijk nep)
- Measure: Open rate, click rate, login attempt rate, reporting rate
- Meten: Openingspercentage, klikpercentage, inlogpogingspercentage, meldingspercentage
- Follow-up: Targeted training for those who clicked, positive reinforcement for those who reported
- Opvolging: Gerichte training voor degenen die klikten, positieve bekrachtiging voor degenen die meldden
- Reporting: Track trends and benchmark over time
- Rapportage: Volg trends en benchmark in de tijd
Red Team Social EngineeringRed Team Social Engineering
A full red team engagement also includes social attacks: personalised vishing sessions, physical penetration tests, and spear-phishing campaigns to measure the organisation's actual resilience.
Een volledige red team-opdracht omvat ook sociale aanvallen: gepersonaliseerde vishing-sessies, fysieke penetratietests en spear-phishing campagnes om de werkelijke veerkracht van de organisatie te meten.
See Module 08 for the ethical and legal requirements for conducting such tests.
Zie Module 08 voor de ethische en juridische vereisten voor het uitvoeren van dergelijke tests.
Incident Response Incidentrespons
When a social engineering attack has been successful, fast and coordinated response is essential to limit the damage.
Wanneer een social engineering-aanval succesvol is geweest, is snelle en gecoördineerde respons essentieel om de schade te beperken.
Steps in an SE incidentStappen bij een SE-incident
- Detection & Reporting: Employee reports the incident via the reporting point
- Detectie & Melding: Medewerker meldt het incident via het meldpunt
- Containment: Immediately block affected accounts, systems, or access
- Inperking: Blokkeer onmiddellijk getroffen accounts, systemen of toegang
- Assessment: Determine what was disclosed or compromised
- Beoordeling: Bepaal wat is vrijgegeven of gecompromitteerd
- Notification: Inform relevant parties (internally, customers, regulators if GDPR applies)
- Kennisgeving: Informeer relevante partijen (intern, klanten, toezichthouders indien AVG van toepassing)
- Eradication: Remove malware, reset access, restore processes
- Uitroeiing: Verwijder malware, reset toegang, herstel processen
- Lessons Learned: Root cause analysis and implement improvement measures
- Lessons Learned: Oorzaakanalyse en implementeer verbetermaatregelen
GDPR notification obligationAVG meldplicht
In the event of a data breach caused by social engineering involving personal data, the GDPR notification obligation applies: report to the supervisory authority within 72 hours of discovery. See Module 08.
Bij een datalek veroorzaakt door social engineering waarbij persoonsgegevens betrokken zijn, geldt de AVG-meldplicht: meld bij de toezichthoudende autoriteit binnen 72 uur na ontdekking. Zie Module 08.