Social engineering in de praktijk testen
Social engineering maakt gebruik van vertrouwen, behulpzaamheid, tijdsdruk, autoriteit of nieuwsgierigheid. Een test laat zien of medewerkers procedures blijven volgen wanneer een verzoek geloofwaardig en sociaal overtuigend wordt gebracht.
Ik stem de test af op je werkomgeving. Bij een receptie kan het gaan om bezoekerscontrole, bij een servicedesk om telefonische verificatie en op een kantoorlocatie om toegang tot werkplekken of vertrouwelijke informatie.
Wat onderzoekt een social engineering onderzoek?
Een social engineering onderzoek brengt in kaart hoe mensen, procedures en beveiligingsmaatregelen samen reageren op een geloofwaardig verzoek. Afhankelijk van de onderzoeksvraag kan ik onder meer kijken naar:
- menselijk gedrag onder tijdsdruk of bij een beroep op behulpzaamheid;
- receptie, bezoekersregistratie en fysieke toegangscontrole;
- vragen om interne, persoonlijke of vertrouwelijke informatie;
- pretexting, tailgating en shoulder surfing;
- fysieke scenario’s en, als dat is afgesproken, digitale of telefonische stappen;
- meldgedrag, verificatie en de opvolging van een verdacht verzoek.
Je krijgt terug wat er gebeurde, hoe ver het scenario kwam en welke aanpassing medewerkers in de praktijk helpt.
Voorbeelden van scenario’s
- Een leverancier vraagt om toegang tot een technische ruimte.
- Een nieuwe collega lijkt zijn toegangspas te zijn vergeten.
- Een bezorger wil een pakket persoonlijk afleveren.
- Een IT-medewerker vraagt om een handeling op een werkplek.
- Een bezoeker gebruikt tailgating om mee naar binnen te lopen.
Processen en omstandigheden tellen mee
Ik kijk naar de ondersteuning die medewerkers op dat moment hebben. Zijn regels werkbaar, is verificatie snel genoeg en is duidelijk wie kan helpen bij twijfel?
Een medewerker kan de procedure kennen en toch vastlopen op een onduidelijke bezoekersroute, onderbezetting of een controle die veel tijd kost. Die context hoort bij de uitkomst.
Zo bereid ik de test voor
In de intake bepalen we wat je wilt weten, waar ik mag testen en welke medewerkersgroepen betrokken zijn. Daarna leggen we de toegestane identiteit, contactkanalen, handelingen en stopvoorwaarden schriftelijk vast.
Ik kies een herkenbare situatie en gebruik alleen de druk of informatie die nodig is om de afgesproken controle te beproeven. Privacy en veiligheid blijven daarbij leidend.
Van observatie naar werkbare afspraak
Ik maak onderscheid tussen gedrag, procedures, fysieke inrichting en technische ondersteuning. Zo is duidelijk wie iets kan verbeteren en waar medewerkers juist al goed werden geholpen door de bestaande werkwijze.
In een nabespreking of workshop vertalen we de uitkomsten naar afspraken die tijdens een drukke werkdag uitvoerbaar blijven. Een hertest kan later laten zien of die aanpak werkt.
Verdiepende uitleg vind je in de kennisbank over phishingtests, vishing, shoulder surfing en pretexting. Een mystery guest securitytest kan meerdere fysieke en menselijke onderzoeksthema’s binnen één afgesproken scope combineren.