Zorg ervoor dat je niet overkomt als iemand met een wijzend vingertje "dat heb je niet goed gedaan jongen!" - dat werkt uiteraard averechts. Verzorg eerst awareness zonder die phishing campagne. Vertel wat phishing mails zijn, hoe ze die kunnen melden, enz. Zorg dat je beleid up-to-date is en bekend is (zou moeten zijn) onder de medewerkers. Vertel dan dat je bedrijf ook phishing testen gaat doen, maar niet wanneer. Maar ook dat je let op clean-desk policy, computer vergrendelen, en dat soort dingen. Bouw niet zelf phishing testen (misschien heb je heel veel capaciteit over?) maar gebruik een leverancier. Wij hebben goede ervaringen met KnowB4, ProofPoint, Ninjio maar er zijn zat aanbieders, ook in Nederland denk ik. Denk vantevoren na over wat je gaat meten (bv. click-rate, report rate), wij hebben geen aparte nulmeting gedaan, de eerste phishing test jaren terug was eigenlijk de "nul-meting". Anyway, iedere phishing test is anders en daardoor is de clickrate ook niet helemaal te vergelijken. Denk na over ...