General technical conditions

Hier vindt u de General Technical Conditions voor het gebruik van onze producten.

Huidige versie: 26 november 2024

1 Algemene technische voorwaarden voor het gebruik van onze producten

Dit document beschrijft de algemene technische voorwaarden voor het gebruik van onze producten. Raadpleeg uw Feature Matrix om na te gaan of een product is opgenomen in uw dienstenpakket.

De General Technical Conditions voor het gebruik van onze producten kunnen worden gewijzigd. SoSafe behoudt zich het recht voor de General Technical Conditions zonder voorafgaande kennisgeving bij te werken. Controleer regelmatig de meest recente versie op https://link.sosafe-awareness.com/general-technical_conditions-en .

2 Ondersteunde browsers

De volgende browsers worden ondersteund en zijn daarmee een vereiste voor de dienstverlening: Google Chrome, Mozilla Firefox, Apple Safari en Microsoft Edge.

Sinds april 2023 ondersteunen wij Microsoft Internet Explorer 11 niet meer voor de Manager en E-Learning. Voor de Phishing Report Button verwijzen wij u naar sectie 3.2.2: Ondersteunde webbrowsers.

3 Servicemodules

De volgende secties beschrijven de diensten die SoSafe aanbiedt en definiëren de processen en organisatorische interfaces die vereist zijn voor de dienstverlening.

Bij de implementatie van deze servicemodules is de klant in het algemeen verplicht mee te werken om de dienstverlening door SoSafe te waarborgen.

3.1 Phishing simulatie

De servicemodule phishing simulatie omvat het verzenden van een bepaald aantal (vooraf afgesproken) e-mails aan gebruikers gedurende de serviceperiode. Deze e-mails simuleren echte phishing-e-mails om het bewustzijn van gebruikers over cyberbeveiligingsrisico's als gevolg van phishing-aanvallen te vergroten. Wanneer een gebruiker klikt op een phishing-element (afbeelding, link, enz.) in een van de gesimuleerde phishing-e-mails of wordt doorgestuurd naar een landingspagina (zoals de inlogpagina), wordt een webpagina opgeroepen (hierna aangeduid als de "leerpagina"), die de gebruiker informeert over de simulatie en concrete informatie geeft over hoe de betreffende e-mail herkend had kunnen worden als een phishing-poging.

3.1.1 Phishing Simulation Options

• Voor de Basic phishing-simulatie kunnen klanten een eenvoudige basissimulatie opzetten waarbij phishing-e-mails worden verstuurd naar alle gebruikers binnen hun organisatie. Eindgebruikers ontvangen willekeurig phishing-e-mails gedurende de simulatieperiode die door de klant wordt bepaald.
• Spear phishing-simulatie: Alle e-mails worden geïndividualiseerd voor de desbetreffende ontvanger met behulp van standaard phishing-placeholders (zoals "Geachte heer Miller, ...") en bevatten in sommige gevallen ook details zoals de naam of locatie van de klant.
• Gepersonaliseerde spear phishing-simulatie: Indien geboekt, kunnen klanten drie extra gesimuleerde phishing-e-mails versturen die wij samen met u speciaal voor uw organisatie opstellen (zoals een simulatie van CEO-fraude). De individueel gecreëerde phishing-e-mails worden aangeboden in het Engels en Duits.
• Naast de basissimulatie kunt u gerichte of gedragsgebaseerde phishing toevoegen:
  • Targeted phishing biedt een eenvoudige opzet waarbij klanten contextueel relevante templates kunnen versturen naar specifieke gebruikersgroepen, zoals financiën, IT, HR of dynamische groepen zoals gebruikers in 'Sales Leadership'. Om dit mogelijk te maken zijn specifieke gebruikersgroepen nodig die deze focusgroepen weerspiegelen.
  • Simulation Studio - Sofie AI - Binnen de Targeted phishing-simulatie hebben klanten de mogelijkheid om eigen templates te maken en door SoSafe gemaakte templates te kopiëren en aan te passen aan hun eigen specifieke behoeften.
  • Behavior-based phishing: De phishing-simulatie wordt afgestemd op het relevante moeilijkheidsniveau en het juiste tempo voor elke individuele gebruiker om zowel de betrokkenheid als de leereffectiviteit te verbeteren. Als een eindgebruiker bijvoorbeeld een laag bewustzijn heeft van phishing-dreigingen, ontvangt hij gesimuleerde phishing-e-mails op het niveau 'eenvoudig'. Als een gebruiker een hoog dreigingsbewustzijn heeft, ontvangt hij gesimuleerde phishing-e-mails op het niveau 'moeilijk'. We bevelen deze aanpak aan als de meest effectieve manier om het risico voor uw organisatie te verminderen.
    Om deze mogelijkheden te laten werken, moet u een actieve Entra ID-verbinding instellen en gepersonaliseerde tracking activeren.

3.1.2 Whitelisting

Om ervoor te zorgen dat alle gesimuleerde phishing-e-mails worden afgeleverd bij alle gebruikers die deelnemen aan de training, is de klant verplicht een whitelisting in te stellen. Dit is een samenwerkingsverplichting van de klant, zonder welke SoSafe de dienstverlening niet kan garanderen. De klant is er dan ook verantwoordelijk voor dat de gesimuleerde phishing-e-mails daadwerkelijk in hun volledige vorm in de mailboxen van de gebruikers aankomen en kunnen worden gebruikt binnen het kader van de trainingsmaatregel. Als de klant de whitelisting niet zelf kan beïnvloeden (bijvoorbeeld omdat de klant een IT-dienstverlener heeft ingeschakeld voor het beheer van zijn IT-systemen), moet de klant ervoor zorgen dat de whitelisting desondanks wordt uitgevoerd.

De volgende stappen moeten worden ondernomen voor whitelisting:

• De e-mailservers van SoSafe moeten worden gewhitelist in het ontvangende e-mailsysteem om de weigering van inkomende e-mails te voorkomen.
• Bestaande filtersystemen (zoals een secure mail gateway) moeten zo worden geconfigureerd dat de gesimuleerde phishing-e-mails niet worden gemarkeerd als "ongewenste e-mail" of "spam" en de bezorging aan de gebruikers kan worden gegarandeerd.
• Bestaande systemen van de klant ter bescherming van de internettoegang vanaf de eindapparaten van gebruikers (zoals webgateways, proxy's en beveiligingsinstellingen van het besturingssysteem) moeten zo worden geconfigureerd dat de onvervalste weergave van de gesimuleerde phishing-e-mails in de e-mailprogramma's van de gebruiker is gegarandeerd. Bovendien moeten deze systemen zo worden geconfigureerd dat de leerpagina's via een webbrowser kunnen worden weergegeven.
• Daarnaast kunnen klanten ook het volgende whitelisten:
  • envelope-afzenderadressen
  • lijst van gebruikte domeinen
  • imageserver

SoSafe biedt instructies voor de implementatie van deze stappen voor geselecteerde tools. De instructies bevatten ook alle benodigde technische informatie, zoals IP-adressen en servernamen van de e-mailservers, URL's die moeten worden vrijgegeven voor filtersystemen, en systemen voor toegangsbeveiliging. Houd er rekening mee dat voor sommige diensten van derden ondersteuning van die partijen vereist is.

3.2 Phishing Report Button

De servicemodule Phishing Report Button is een functionaliteit waarmee gebruikers e-mails kunnen melden die mogelijk een phishing-aanval zijn. De melding wordt verzonden naar een door de klant opgegeven e-mailadres in de vorm van een doorsturen van de verdachte e-mail. Gesimuleerde phishing-e-mails van SoSafe worden niet doorgestuurd, maar worden in plaats daarvan bij SoSafe gemeld. De klant moet een e-mailadres opgeven waarnaar het doorsturen moet plaatsvinden.

De functionaliteit wordt aangeboden in de vorm van een Microsoft Office-invoegtoepassing. Om de Outlook-invoegtoepassing correct te laten laden en functioneren, moet aan verschillende vereisten worden voldaan aan de server- en clientzijde. De Phishing Report Button kan ook worden gebruikt met Google Workspace, zij het met bepaalde beperkingen.

3.2.1 Clientvereisten

• De client moet een van de ondersteunde toepassingen voor Outlook-invoegtoepassingen zijn. De volgende clients ondersteunen invoegtoepassingen:
  • Outlook 2013 of hoger op Windows
  • Outlook 2016 of hoger op Mac
  • Outlook voor iOS
  • Outlook voor Android
  • Outlook op het web voor Exchange 2016 of hoger en Office 365
  • http://outlook.com
• De client moet rechtstreeks zijn verbonden met een Exchange-server of met Office 365. Bij het configureren van de client moet de gebruiker Exchange, Office 365 of http://outlook.com selecteren als accounttype. Als voor de client een POP3- of IMAP-verbinding is geconfigureerd, worden invoegtoepassingen niet geladen.
• Als alternatief: Google Workspace

3.2.2 Ondersteunde webbrowsers

• Microsoft Edge v1
• Microsoft Edge v2
• Chrome
• Safari
• Firefox
• Internet Explorer 11
  • Vanaf 15-06-2022 heeft Internet Explorer 11 (IE11) het einde van zijn levenscyclus bereikt. Deze wijziging is voornamelijk van invloed op gebruikers met MS Outlook-versies 2013 en 2016. Vanaf 16-11-2023 ontvangen klanten die IE11 gebruiken geen nieuwe functie-updates meer voor de Phishing Report Button, hoewel kritieke bugfixes nog steeds worden verholpen. Klanten die moderne versies van Outlook gebruiken, profiteren van versnelde updates en nieuwe functies. Wij adviseren klanten die nog steeds IE11 gebruiken over te stappen op ondersteunde browsers voor een optimale ervaring en ondersteuning.

3.2.3 Outlook vereist een bepaalde browserengine voor het uitvoeren van invoegtoepassingen

De browser die Outlook (intern) gebruikt, wordt bepaald door de systeemconfiguratie. Bepaalde Outlook-versies met bepaalde systeemconfiguraties vereisen dat specifieke browsers zijn geïnstalleerd en ingeschakeld. Neem contact met ons op voor een gedetailleerde uitleg en een compatibiliteitstabel.

3.2.4 E-mailserververeisten

Als de gebruiker is verbonden met Google Workspace, Office 365 of http://outlook.com, wordt al aan alle vereisten voor de e-mailserver voldaan. Voor gebruikers die zijn verbonden met een on-premises Exchange Server-installatie gelden echter de volgende vereisten:

• De server moet Exchange 2016 of later zijn.
• Exchange Web Services (EWS) moet zijn ingeschakeld en toegankelijk zijn via internet. Veel invoegtoepassingen vereisen EWS om correct te functioneren.
• De server moet een geldig verificatiecertificaat hebben om geldige identiteitstokens uit te geven. Nieuwe Exchange Server-installaties bevatten een standaard verificatiecertificaat.
• De clienttoegangsservers moeten kunnen communiceren met AppSource om invoegtoepassingen van Microsoft AppSource te kunnen openen.
• Op de M365-server moeten "verbonden ervaringen" zijn geactiveerd.
• Er zijn bepaalde URL's waarmee klanten verbinding moeten kunnen maken
  • https://reporter.sosafe.de/
  • https://api.sosafe.de/
  • https://sentry.sosafe.de/
  • https://appsforoffice.microsoft.com/
  • https://ajax.aspnetcdn.com/

Een succesvolle installatie en een vlotte uitrol van de invoegtoepassing kunnen alleen worden gegarandeerd als de klant de standaardinstellingen van het betreffende programma gebruikt en geen toepassing van derden in gebruik heeft die de functionaliteit van de invoegtoepassing beïnvloedt. Individuele ondersteuning door SoSafe bij het instellen van de invoegtoepassing in een niet-standaard infrastructuur is uitdrukkelijk uitgesloten. Als optionele dienst kunnen resources met de vereiste expertise worden geregeld. Hiervoor is een afzonderlijke en uitdrukkelijke overeenkomst tussen de betrokken partijen vereist.

3.2.5 Client / Server API-compatibiliteit

De Outlook-invoegtoepassing maakt gebruik van Exchange Web Services (EWS) of de Outlook REST API om gegevens op te halen uit het Outlook-postvak van de gebruiker. In de volgende secties wordt de beschikbaarheid van EWS, REST en Graph API beschreven voor alle ondersteunde combinaties van Exchange Server/Outlook-client en het effect daarvan op doorsturen.

Exchange On-Premise

Voor alle Exchange On-Premise-servers (geen hybride implementatie) kan alleen EWS worden ondersteund.

Exchange Online / hybride serverimplementaties

Voor Exchange Online en hybride implementaties van Exchange-servers ondersteunen we de volgende beschikbaarheid van EWS, REST en Graph API voor de respectieve client/server-combinaties:

• REST: alleen REST API
• EWS: alleen EWS
• Graph: alleen Graph API
• All: EWS + REST API + Graph API

Windows

macOS

Overig

¹ Microsoft Office 365-abonnement
² verbonden met Exchange Online (hybride implementatie)
Graph MSAL pop-up: Elke keer dat een gebruiker de Phishing Report Button opent, ziet de gebruiker kort een MSAL pop-up voor het inloggen via Graph

Verschillen in doorsturen via EWS en REST/Graph API

Doorsturen kan worden gedaan in de modus ".eml" of "split", die op de volgende manieren van elkaar verschillen. Afhankelijk van de beschikbare API en de geconfigureerde doorstuurmodus worden de volgende bestanden doorgestuurd naar de e-mailadressen van de klant:

³ Als de e-mail bijlagen bevat

3.2.6 Threat Inbox

Threat Inbox is een geautomatiseerd feedbackmechanisme voor meldingen van e-mails die zijn gerapporteerd via de Phishing Report Button (PRB). De functie deelt het analyseresultaat van een gerapporteerde e-mail automatisch met de gebruiker die de melding heeft gedaan. In de huidige vorm biedt de functie geen geautomatiseerde analysemogelijkheden.

De functie kan worden gebruikt met of zonder integratie in een ticketsysteem.

Threat Inbox kan worden geïntegreerd met Jira Service Management en ServiceNow. SoSafe levert hiervoor de implementatiestappen aan.

Disclaimer: Het interne team van de klant is verantwoordelijk voor het classificeren van de e-mailrapporten via de Phishing Report Button (PRB). De resultaten van deze beoordelingen, zoals aangeleverd door de klant, worden door SoSafe verwerkt in de feedbacke-mails die naar de eindgebruiker (de melder) worden verzonden. SoSafe garandeert niet de volledigheid of nauwkeurigheid van de analyseresultaten van de klant. De klant erkent en aanvaardt daarom dat SoSafe niet aansprakelijk is voor de volledigheid of juistheid van de analyseresultaten die door SoSafe in de feedbacke-mail van de eindgebruiker zijn opgenomen, noch voor eventuele schade die daaruit kan voortvloeien.

3.3 Reporting Nudges

Reporting Nudges is een functie van de Phishing Report Button, ontworpen om gebruikers te helpen bij het identificeren van mogelijk schadelijke e-mails. Het primaire doel is gebruikers te informeren over de kritische factoren die zij moeten beoordelen bij het evalueren van e-mails op mogelijke bedreigingen.

3.3.1 Beoordelingscriteria van Reporting Nudges

Reporting Nudges maakt gebruik van een beoordeling op basis van vijf sleutelfactoren om het potentiële risico van een e-mail vast te stellen:

• E-mailauthenticatie: Er worden controles uitgevoerd op SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) en DMARC (Domain-based Message Authentication, Reporting & Conformance) om de bron van de e-mail te verifiëren. Let op: deze risicofactor is essentieel voor de evaluatie, maar wordt niet expliciet weergegeven aan gebruikers in de gebruikersinterface.
• Afzenderinformatie: Zowel het domein als de naam van de afzender worden onderzocht om de legitimiteit te bevestigen.
• E-mailbijlagen: Reporting Nudges onderzoekt de typen bijlagen in de e-mail en geeft feedback als typen worden gedetecteerd die doorgaans worden geassocieerd met beveiligingsrisico's.
• Ingesloten links: Alle ingesloten links worden geanalyseerd op kenmerken die doorgaans wijzen op phishingpogingen.
• E-mailinhoud: De inhoud van de e-mail wordt beoordeeld op termen die vaak voorkomen in phishingberichten.

De huidige implementatie van Reporting Nudges werkt volledig binnen de e-mailclient van de gebruiker. Dit garandeert dat er geen e-mailgegevens extern worden verzonden, waardoor Reporting Nudges impliciet voldoet aan de GDPR-vereisten (General Data Protection Regulation).

3.3.2 Toelichting op de werking van Reporting Nudges

Reporting Nudges is een hulpmiddel dat primair is ontworpen om de bewustwording en waakzaamheid van gebruikers bij het identificeren van mogelijke e-mailbedreigingen te vergroten. Het is belangrijk te begrijpen dat Reporting Nudges een e-mail niet definitief categoriseert als volledig veilig of als bevestigde phishingpoging. In plaats daarvan wil het gebruikers begeleiden bij het herkennen van de typische kenmerken die vaak worden geassocieerd met schadelijke e-mails.

Tijdens het beoordelingsproces analyseert Reporting Nudges de links in de e-mail, specifiek hun kenmerken, zonder deze te openen of te volgen. Deze aanpak helpt bij het identificeren van eigenschappen die doorgaans worden geassocieerd met phishingpogingen.

Ook de beoordeling van e-mailbijlagen is uitsluitend gebaseerd op het bestandstype. De inhoud van deze bijlagen wordt niet geopend of geanalyseerd in een Sandbox-omgeving om mogelijke schadelijkheid te bepalen.

3.3.3 Client / Server API-compatibiliteit van Reporting Nudges

Opmerking: Deze tabel bevat informatie over de compatibiliteit van Reporting Nudges met verschillende besturingssystemen en Office-versies, en of Edge WebView2 (op Chromium gebaseerd) is geïnstalleerd. De vermeldingen "Niet van toepassing" en "Niet van belang" geven aan dat een bepaald criterium niet relevant is voor een specifieke combinatie van besturingssysteem en Office-versie.

3.3.4 Uitsluiting van aansprakelijkheid

SoSafe wijst uitdrukkelijk elke aansprakelijkheid af die voortvloeit uit situaties waarbij de beoordelingsgegevens gegenereerd door Reporting Nudges worden gebruikt als enige basis voor beslissingen over e-mailbeveiliging, en waarbij vervolgens een cyberbeveiligingsincident optreedt. Reporting Nudges is bedoeld als educatief hulpmiddel ter vergroting van de bewustwording en het beoordelingsvermogen van gebruikers, en biedt geen absolute garantie voor e-mailveiligheid.

3.4 Phishing Report Button met Sofie AI

De Phishing Report Button (PRB) met Sofie AI is een geavanceerd, door AI aangestuurd hulpmiddel voor phishinggeleiding, ontworpen om het beveiligingsbewustzijn te vergroten door contextgerichte e-mailondersteuning rechtstreeks in de Microsoft Outlook-client aan te bieden.

Beperkingen & compatibiliteit

• De PRB met Sofie AI is uitsluitend beschikbaar voor Microsoft Outlook-versies 7.1.0 en later.
• De functie is niet compatibel met verouderde Outlook-omgevingen die afhankelijk zijn van Internet Explorer 11 (IE11) of de oorspronkelijke Microsoft Edge (Edge v1). Ondersteuning voor deze platforms wordt niet geïmplementeerd.
• Activering van de PRB met Sofie AI vindt momenteel plaats op organisatieniveau. De functie kan niet worden beperkt tot specifieke groepen of subsets van gebruikers binnen een organisatie.
• Reporting Nudges en Sofie AI-functionaliteiten kunnen niet gelijktijdig worden ingeschakeld. Organisaties moeten op een gegeven moment kiezen voor een van deze functies.

3.5 E-Learning

De E-Learning-servicemodule biedt alle geautoriseerde gebruikers van een klant de mogelijkheid om toegang te krijgen tot het overeengekomen aantal lessen binnen het kader van de dienstverlening. De lessen dragen kennis over op het gebied van cyberbeveiliging en behandelen een breed scala aan subonderwerpen en verwante gebieden. De geboekte lessen zijn toegankelijk via het eigen leerplatform van SoSafe of kunnen via SCORM-streaming worden geïntegreerd in het bestaande leerbeheersysteem (LMS) van de klant. De lessen zijn onderverdeeld in leervideo's en interactieve lessen.

De leervideo's kunnen worden gebruikt met of zonder geluid (dit kan lokaal worden ingesteld via het besturingssysteem of de browser van de gebruiker). Alle taalversies (zie de sectie "Meertalig pakket") van de leervideo's beschikken over een audiotrack en ondertitels. Voor een optimale leerervaring raden we aan de lessen in de volledige schermmodus te volgen. Sommige lessen zijn niet geoptimaliseerd voor weergave op mobiele apparaten.

3.5.1 Toegang via het leerplatform

Het eigen leerplatform van SoSafe is beschikbaar op https://elearning.sosafe.de . Gebruikers kunnen zich registreren met hun zakelijke e-mailadressen. Als alternatief kan een anonieme toegangscode worden gebruikt.

• Kernpersonalisatie: Kernpersonalisatie van gebruikerstrajecten wordt bepaald door factoren zoals doelstellingen, duur, voltooiingsmijlpalen, taalvoorkeuren, geselecteerde lessen en inzichten uit de Risk Assessment Survey. Toekomstige personalisatieparameters zijn afhankelijk van het gekozen pakket. De functies Risk Assessment Survey en Awareness Assessments zijn uitsluitend compatibel met de kernpersonalisatie.
  Sommige aanvullende E-Learning-functies zijn momenteel niet compatibel met kernpersonalisatie (Policy Management, Manager Escalation).
• Voor e-learning kan het overeengekomen aantal leerlessen en leervideo's worden geactiveerd voor alle gebruikers van de klant, uit de beschikbare interactieve leerlessen over cyberbeveiliging. Een herinneringsfunctie herinnert gebruikers die zich nog niet hebben geregistreerd of die afzonderlijke lessen nog niet hebben voltooid via e-mail aan registratie of voltooiing.
• Bij gebruik van het SoSafe-leerplatform ontvangen gebruikers een certificaat voor alle voltooide leerlessen.
• Gamification: Op het SoSafe-leerplatform doorlopen gebruikers niveaus, verzamelen ze badges en kunnen ze hun voortgang bekijken in een persoonlijk succesoverzicht.
• Content Management:
  • Customization Engine - Via het gebruik van content placeholders kan de inhoud op het leerplatform worden aangepast aan de behoeften en regelgeving van uw organisatie.
  • Policy Management - Upload beleidsdocumenten, presenteer deze aan uw medewerkers en volg de acceptatie ervan met downloadbare rapporten.
  • Custom Modules/ Bring your own content - Upload uw eigen SCORM 1.2-inhoud over cyberbeveiliging en speel deze af op ons leerplatform. De technische vereisten zijn:
    • Bepaalde authoring tools zijn compatibel
    • Uploadlimieten: 350 MB voor lessen, 10 MB voor afbeeldingen
    • De quiz moet worden gehaald met >75%
    • Beperkte lescategorisatie en taalbundeling
    • We ondersteunen statische SCORM 1.2-lessen
• Manager Escalation - Plan e-mailupdates voor leidinggevenden en houd hen op de hoogte van de e-learningvoortgang van hun team.
  Manager Escalation is momenteel beschikbaar onder de volgende voorwaarden:
  • Geen actieve kernpersonalisatie
  • Kernpersonalisatie en Sofie Copilot actief.
• Voor registratie op het SoSafe-leerplatform is het ook mogelijk om gebruik te maken van Single Sign-On via Microsoft Entra ID, Google of Okta. Om het leerplatform in staat te stellen zich te authenticeren bij de identiteitsprovider, is een identiteitsprovider in de cloud vereist (hybride opstelling is mogelijk). Het gebruikte protocol is OAuth 2.0 of SAML 2.0, dat bij uitstek geschikt is voor gebruik in webapplicaties. Alleen een eenmalige autorisatie van onze webapplicatie door de beheerder van de klant is vereist. De technische vereisten voor Single Sign-On zijn te raadplegen op http://support.sosafe.de .

3.5.2 Toegang via de LMS van de klant

De leerlessen worden aangeleverd in de standaard SCORM 1.2 als containerbestanden. Deze containerbestanden kunnen worden geïntegreerd in de LMS. De inhoud van de leerlessen wordt op het moment van toegang geleverd door een streamingserver van SoSafe. Hiervoor moet toegang tot de streamingserver op lms.sosafe.de zijn gegarandeerd. Voor oudere installaties kan toegang tot lms0.sosafe.de vereist zijn.

Individuele ondersteuning door SoSafe bij het instellen van de leerlessen in een externe LMS is uitdrukkelijk uitgesloten; hiervoor wordt verwezen naar de ondersteuning van de externe leveranciers.

3.6 SoSafe Manager

De SoSafe Manager is voor de klant toegankelijk via https://manager.sosafe.de en is beschikbaar in het Engels, Duits en Frans. De SoSafe Manager is het portaal voor het beheer van awareness-maatregelen. Via het rapportagedashboard op het portaal kan de klant verschillende kerncijfers bekijken over de afgenomen servicecomponenten, zoals algemene klikpercentages van gesimuleerde phishing-e-mails, de algehele e-learningvoortgang en — afhankelijk van de serviceovereenkomst — de individuele e-learningresultaten van medewerkers. Welke gegevens precies kunnen worden ingezien en verwerkt, is geregeld in een afzonderlijke Data Processing Agreement. De toegang kan optioneel worden beveiligd via MFA.

• Branding: Het logo van de klant wordt weergegeven bovenaan de leerpagina's die gekoppeld zijn aan de phishingsimulatie, en ook op het SoSafe-leerplatform. De knoppen en kleurdesignelementen van de leerpagina's en het leerplatform kunnen worden aangepast aan de huisstijl van de klant. Daarnaast kan de informatietekst op de leerpagina's (niet-specifiek, onafhankelijk van de e-mail) worden aangemaakt of aangepast op basis van de wensen van de klant. Als het logo en de kleurstelling vrij beschikbaar zijn, kan de instelling door SoSafe worden gedaan. Anders worden de betreffende gegevens door de klant aangeleverd. De klant garandeert voor de integratie dat hij de gebruiksrechten op het logo bezit en is aansprakelijk voor eventuele schending van rechten van derden.
• Ondersteunend awarenessmateriaal: U ontvangt ondersteunend digitaal materiaal voor uw awarenesscampagne, zoals posters, screensavers, flyers en communicatietemplates.
• Meertalig pakket: Phishing-mailtemplates, leerpagina's en leerinhoud zijn beschikbaar in aanvullende talen. Momenteel zijn er tot 30 talen beschikbaar; een actuele lijst wordt op verzoek verstrekt.
• Beheer van beheerders: Afhankelijk van het geboekte pakket kunt u een bepaald aantal gebruikers met beheerdersrechten toevoegen. Deze gebruikers moeten een e-maildomein hebben dat deel uitmaakt van uw organisatie.

3.6.1 Gebruikersgegevens inrichten

Er zijn twee manieren om gebruikersgegevens over te dragen: via een gebruikerslijst of automatisch via een SCIM-verbinding. De klant moet ervoor zorgen dat alleen e-mailadressen waarvan het domein eigendom is van de klant worden overgedragen.

• Met het User Management kunnen klanten eenvoudig een gebruikerslijst uploaden voor de phishingsimulatie en/of e-learning. Hiervoor wordt een template (Excel-bestand) beschikbaar gesteld. De verzending van de gebruikerslijst naar SoSafe verloopt via een beveiligde dataverbinding. De klant ontvangt hiervoor een gebruikersaccount. Het werkelijke aantal gebruikers in het systeem mag het gelicentieerde aantal gebruikers (contractueel overeengekomen bovengrens) niet overschrijden.
• De klant kan de gebruikerslijst via de eerder genoemde toegang tot het SoSafe Manager Portal op elk gewenst moment zelfstandig bijwerken bij wijzigingen als gevolg van verloop, enzovoort.
• Automatisch gebruikers inrichten: We ondersteunen automatisch gebruikers inrichten via een directe integratie, via een SCIM-verbinding of via de subverwerker Kombo. Directe integraties worden ondersteund voor Google Workspace. Integraties via SCIM-verbindingen worden ondersteund voor Microsoft Entra, Okta en Jumpcloud. De subverwerker Kombo ondersteunt meer dan 30 integraties die zijn vermeld in het betreffende artikel op http://support.sosafe.de .
  • De SCIM-verbinding met de SoSafe Manager ondersteunt alleen gegevensoverdrachten vanuit Microsoft Entra ID; on-premise Active Directories worden niet ondersteund.
  • Alle integraties ondersteunen uitsluitend de verbinding met één brontenant. Alle over te dragen gebruikersgegevens moeten door de klant in één tenant worden beheerd. Verbinding met meerdere tenants wordt niet ondersteund.
  • Als een gebruikersinrichtingsverbinding met de SoSafe Manager tot stand is gebracht, wordt het gebruikersbeheer uitsluitend uitgevoerd via het bronsysteem aan de kant van de klant; het is niet mogelijk om verschillende inrichtingsmethoden te combineren en/of gebruikers handmatig te uploaden.
  • Geneste groepen worden niet ondersteund
  • Elke persoon kan tegelijkertijd slechts in precies één gebruikersgroep zijn
  • De technische vereisten voor het inrichten van gebruikers zijn te raadplegen op http://support.sosafe.de .
• Gebruikersgroepering: De functionaliteit om nieuwe op profielen gebaseerde gebruikersgroepen samen te stellen biedt een meer dynamische aanpak voor gerichte uitrol en analytics. Deze groepen kunnen momenteel worden gebruikt voor gerichte uitrol van phishingsimulaties en e-learning.
  • Zichtbaarheid van op profielen gebaseerde gebruikersgroepen in Analytics is momenteel niet beschikbaar.
  • De functionaliteit voor op gebruikersprofiel gebaseerde gebruikersgroepen is alleen beschikbaar voor automatisch ingerichte gebruikersgegevens, niet voor handmatig toegevoegde gebruikersgegevens.

3.6.2 Analytics

Een Analytics- en rapportagedashboard met belangrijke gedragsstatistieken, waaronder phishing- en e-learningprestaties.

• Gebruikersfeedback: U kunt gebruikersfeedback inzien.
• De evaluatie bevat benchmarks voor alle kerncijfers vergeleken met het klantengemiddelde.
• ISO 27001-rapportage: De gegevens worden geëvalueerd op een wijze die voldoet aan een ISO 27001-audit.
• Deskundig onderzoek: Naast de bepalingen met betrekking tot de gebruikerslijst kan de lijst worden aangevuld met aanvullende classificaties. Dit kunnen bijvoorbeeld gebruikersgroepen zijn op basis van de organisatie-eenheden of locaties van de klant. De evaluaties op het rapportagedashboard worden vervolgens gedifferentieerd op basis van deze classificatie. Bij het definiëren van de classificatie door de klant moeten de overeengekomen bepalingen van de Data Processing Agreement altijd in acht worden genomen; zo mag de minimale omvang van een gebruikersgroep om privacyredenen niet minder dan 5 personen bedragen.
• Deskundige benchmarking: De evaluatie bevat aanvullende benchmarks, zoals over de branche en bedrijfsomvang van de klant. Dit kan worden aangevraagd bij de betreffende Customer Success Manager.
• Gegevensexport: U kunt evaluatiegegevens downloaden als Excel- of CSV-bestand.

• Analytics Integrations: We bieden de mogelijkheid om uw bestanden automatisch te exporteren naar OneDrive, Power BI, Vanta of elk ander hulpprogramma waarop u de SoSafe API kunt aansluiten.

  • OneDrive: Exporteer uw gegevens naadloos naar Excel met onze Microsoft OneDrive-integratie. Geniet van veilige, directe toegang tot uw bestanden, altijd en overal. Vereenvoudig uw werkproces met dagelijkse synchronisatie en opslag. Vereisten:
    • Data: De OneDrive-integratie kan zowel E-Learning als Phishing Simulation synchroniseren naar een map naar keuze voor verdere verwerking.​
    • Toegang tot de Integrations-pagina van SoSafe Manager en OneDrive​
    • Toegang tot door een beheerder verleende rechten in Microsoft Entra ID of wachten op goedkeuring van een IT-beheerder
  • PowerBI: Verbind uw account met Power BI om uw datasets, dataflows en rapporten in Power BI te beheren en de productiviteit van uw team te verhogen door uw Power BI-account actueel te houden – zonder handmatige gegevensinvoer. Vereisten:
    • Data: De Power BI-integratie kan zowel E-Learning- als Phishing Simulation-gegevens in uw Power BI-account implementeren.​
    • Power BI Pro-licentie of hoger​
    • Toegang tot door een beheerder verleende rechten in Microsoft Entra ID of wachten op goedkeuring van een IT-beheerder​
    • Het account dat in SoSafe wordt gebruikt, moet datasets kunnen aanmaken in de Power BI-werkruimte​
  • Vanta: Deze integratie automatiseert het verzamelen van bewijs voor voltooide cyberbeveiligings- en bewustzijnstrainingsstatussen van medewerkers in de GRC-tool Vanta. ​Vereisten:
    • Data: De Vanta-integratie kan E-Learning-voltooiingsgegevens in uw Vanta-dashboard implementeren om de voortgang van compliance bij te houden.​
    • Vanta-licentie​
    • E-Learning ingesteld in de Personalized Learning-engine​
    • Gepersonaliseerde tracking ingeschakeld.
  • SoSafe API: De SoSafe API stelt bedrijven in staat om belangrijke informatie over hun cyberbeveiligings-e-learnings rechtstreeks van SoSafe op te halen, zonder dat ze handmatig moeten inloggen en rapporten moeten downloaden in de manager. ​Vereisten:
    • Data: Het E-Learning-endpoint maakt het mogelijk om de voortgang van gebruikers met betrekking tot toegewezen trainingsmodules en Campaigns op te halen. Nadat de gegevens zijn geretourneerd, kunnen ze worden gefilterd om specifieke informatie te extraheren zoals vereist.​
    • Toegang tot de API Key Management-pagina van SoSafe Manager​
    • Technische kennis over het werken met API

  Disclaimer: Het interne team van de klant is als enige verantwoordelijk voor het gebruik van SoSafe met een automatisering die is gebouwd bovenop de Analytics-integratie. De klant erkent en gaat ermee akkoord dat SoSafe niet aansprakelijk is voor dergelijke automatisering, noch voor de volledigheid of juistheid van de Analytics-gegevens in het bestand gedurende de looptijd van de overeenkomst, noch voor eventuele schade die daaruit kan voortvloeien.

3.6.3 Multitenancy

Ons "Multitenancy-pakket" biedt de mogelijkheid om meerdere applicatie-instanties (tenants) te gebruiken per klantaccount. De gegevens van elke tenant zijn geïsoleerd en onzichtbaar voor andere tenants. De configuratie is ook per tenant geïndividualiseerd voor verschillende platform-eigenschappen, waaronder maar niet beperkt tot beheerdersrechten, gebruikerslijsten, Placeholders, Branding, phishing simulation-sjablonen, SCORM-streaming, Phishing Report Button en meer.

3.7 Sofie Copilot

3.7.1 Instant Alerts

Beveiligingsprofessionals kunnen tijdige meldingen rechtstreeks via de MS Teams-bot Sofie verzenden, waarmee ze hun medewerkers 1:1 bereiken en voortdurende bewustwording waarborgen.

Zodra de beheerder van de klant de Microsoft-botconfiguratie via SoSafe's Manager heeft ingevoerd, kunnen beheerders concepten maken of meldingen inplannen om naar de geselecteerde groep gebruikers te verzenden. Instant Alerts is een handige manier om belangrijke berichten aan uw medewerkers te communiceren of relevante nieuwtjes met betrekking tot uw cyberbeveiligingspraktijken of -ontwikkelingen te delen.

3.7.2 Level Zero Support

Transformeer uw beveiligingsondersteuning met conversationele AI. Als vereiste moet de beheerder van de klant de Microsoft-botconfiguratie via SoSafe's Manager implementeren. Daarna kunnen beheerders Sofie definiëren, configureren en trainen. Sofie gebruikt deze kennisbeheerconfiguratie om met uw gebruikers te communiceren.

Hot Topics: De top 10 van trending gespreksonderwerpen is beschikbaar op de Level Zero Support Manager-pagina en geeft inzicht in kennishiaten binnen een organization.

Sofie is nu ook een van de communicatiekanalen die Human Risk OS gebruikt om gedragsverandering te faciliteren. Meer daarover in de HROS-sectie.

Voor meer gedetailleerde instructies over het instellen en beheren van de Microsoft Teams-applicatie, zie onze installatiegids. Sofie installeren op Microsoft Teams

Disclaimer: Uitsluitend bedoeld voor informatieve doeleinden. Door gebruik te maken van Sofie Level Zero Support erkent de klant en gaat ermee akkoord dat de reacties van de chatbot uitsluitend voor informatieve doeleinden worden verstrekt en geen professioneel advies vormen of vervangen. Van gebruikers wordt verwacht dat zij hun eigen oordeel gebruiken bij het handelen naar het advies van de chatbot en indien nodig professionele begeleiding zoeken.

4 Aanvullende inhoud

4.1 Content Add-Ons

Aanvullende inhoud naast cyberbeveiligingslessen die een breed scala aan compliance-onderwerpen behandelt. Een overzicht van lessen en beschikbare talen is beschikbaar in de Feature Matrix en de overzichtsdocumenten voor talen en inhoud.

4.2 Rolgebaseerde inhoud

Wij bieden gespecialiseerde inhoud die is afgestemd op verschillende functies binnen een bedrijf. Controleer de meest recente taalbeschikbaarheid in ons taaloverzicht. De uitrol is afhankelijk van de User groups van de klant en is momenteel mogelijk zonder de personalisatiefunctie.
De volgende rolgebaseerde inhoud is beschikbaar:

• IT-professionals: Het overeengekomen aantal interactieve cyberbeveiligingslessen voor IT-professionals kan worden geactiveerd voor alle gebruikers.
• Managers: Het overeengekomen aantal interactieve cyberbeveiligingslessen voor managers kan worden geactiveerd voor alle gebruikers.
• Finance: Het overeengekomen aantal interactieve cyberbeveiligingslessen voor Finance-professionals kan worden geactiveerd voor alle gebruikers.
• Blue-collar workers: Deze specifieke training wordt aangeboden als een afdrukbaar pdf-pakket. Het bevat gedetailleerde instructies om managers te helpen bij het communiceren van cyberbeveiligingspraktijken, evenals materiaal voor medewerkers over essentiële cyberbeveiligingsonderwerpen.
• Developers: Één SoSafe-videoles om algemene beveiligingsbewustheid te vergroten; deze is te vinden in de categorie "IT-professionals". Aanvullende gedetailleerde training en praktijkervaring worden aangeboden via partners: SecureFlag. De partnerinhoud wordt buiten ons platform afgespeeld.

5 Serviceniveaus

SoSafe biedt verschillende soorten diensten op basis van het geboekte serviceniveau. Raadpleeg uw Feature Matrix om te zien welke functies van toepassing zijn op uw abonnement.

5.1 Implementatie

• Snelle implementatie: U ontvangt niet-aanpasbare implementatiediensten op basis van onze aanbevelingen voor best practices. Aanvullende materialen om u door het proces te begeleiden worden verstrekt.
• Full-service implementatie: Uw persoonlijke implementatiemanager ondersteunt en adviseert u bij de geavanceerde configuratie van uw bewustzijnsplatform: best-practice-benaderingen, Whitelisting, aanbevelingen voor communicatie inclusief Templates, User management met kwaliteitsborging van gegevens.
  • Geavanceerde planning: Wij kunnen de verzendtijden individueel aanpassen aan de vereisten van de klant, zoals vakantieperiodes en tijdzones.
  • Advanced Analytics: Bevat dezelfde KPI's als de standaard Analytics-functie, maar maakt het ook mogelijk deze te groeperen op basis van User groups of Extended Data. Klanten met Advanced Analytics kunnen de Extended Data-velden in hun gebruikersadressen gebruiken. Extended data kunnen aanvullende regio's of afdelingen zijn die klanten willen filteren en bekijken in Analytics. De Extended Data in Analytics is alleen zichtbaar als gepersonaliseerde Analytics voorafgaand aan de start van bewustzijnsmaatregelen is overeengekomen.

5.2 Ondersteuning

De ondersteuningsperioden zijn onderworpen aan de algemene reactietijden die zijn vermeld in onze SLA. Binnen deze overeenkomsten wordt prioriteit bepaald door uw geboekte dienst.

• Knowledge Base-toegang: u ontvangt toegang tot onze Knowledge Base-artikelen.
• Prioriteitsondersteuning: Uw ondersteuningsverzoeken worden met prioriteit behandeld conform onze ondersteuningsperioden.

5.3 Klantsucces

Wij bieden ondersteuning voor klantsucces uitsluitend via e-mail of bieden toegang tot Customer Success Managers voor advies over strategie voor beveiligingsbewustzijn en ondersteuning bij het voortdurende gebruik van SoSafe.

6 Human Risk OS™

Het meest samenhangende platform dat realtime risicodetectie, verbeterde gedragsinzichten en een gerichte set interventies samenbrengt, terwijl het is gekoppeld aan de tools die u gebruikt en vertrouwt.​ Door een proactieve, positieve beveiligingscultuur te bevorderen, versterkt Human Risk OS™ de weerbaarheid tegen menselijke beveiligingsrisico's en social engineering.

Om de Human Risk-mogelijkheden te laten werken, moet u een actieve Entra ID-verbinding instellen en gepersonaliseerde tracking activeren.

Het bestaat uit drie hoofdcomponenten:

• Human Behavior Sensors/ Human Behavior Signals - Meet de digitale activiteiten, gedragingen en beveiligingscultuur van een organization. Deze sensoren kunnen first-party zijn (bijvoorbeeld onderdeel van het SoSafe CSAT-product) of third-party (onderdeel van het bredere ecosysteem van de klant, zoals Microsoft Entra). Dit creëert geïndividualiseerde en groepsniveau-profielen van gebeurtenissen.
• Human Security Index - Verwerkt human behavior-sensoren en aanvullende contextuele informatie om een enkelvoudige index te creëren die de cyberbeveiligingsprestaties voor groepen en organizations bijhoudt. Dit cijfer stelt organizations in staat om snel aandachtsgebieden te identificeren en de voortgang en ontwikkeling over tijd bij te houden, evenals de impact van verschillende soorten interventies.
• Intervention Hub/ Intervention Feed – Deze functie centraliseert alle interventies die binnen of buiten het SoSafe-platform worden uitgevoerd. Voor een groep eindgebruikers stelt de Interventions Hub interventiestrategieën voor om het betreffende risico te beperken. Deze interventies kunnen geautomatiseerd zijn (zoals het aanpassen van leertrajecten, een Sofie Copilot-nudge, enz.) of semi-geautomatiseerd (zoals het starten van een change management-programma). Interventies kunnen specifieke doelgedragingen helpen veranderen en de Human Security Index positief beïnvloeden over tijd.
• Integrations:
  • Signalen die Human Risk OS momenteel ondersteunt:
    • SoSafe Personalized Learning
    • SoSafe Phishing Simulation
    • SoSafe Sofie
    • SoSafe Culture Survey
    • Microsoft Entra ID

7 Self-Service-Awareness-Platform

• Dit pakket is alleen beschikbaar voor klanten met 5-250 users.
• Voor dit pakket moeten alle gebruikers zijn geregistreerd met HETZELFDE e-maildomein. (uitsluitend één domein).
• De klant ontvangt instructies (downloadbare pdf) op het self-service platform https://app.sosafe.de , waarin alle benodigde stappen worden uitgelegd op een manier die begrijpelijk is voor de gemiddelde gebruiker, zoals het instellen van whitelisting.
• Alle relevante informatie (stamgegevens van de klant, factureringsgegevens, enz.) moet door de klant via het platform worden ingevoerd.
• Voor de aanlevering van de gebruikerslijst wordt een sjabloon (Excel-bestand) beschikbaar gesteld, waarvan het schema gevolgd moet worden om een correcte upload van de gegevens naar het self-serviceplatform te garanderen. Deze gebruikerslijst kan door de klant worden bijgewerkt. Het werkelijke aantal gebruikers in het systeem mag het gelicentieerde aantal gebruikers (contractueel overeengekomen bovengrens) niet overschrijden.
• Er wordt een voorbeeld van de Data Processing Agreement (DPA) verstrekt, die door de klant moet worden ondertekend en geüpload.
• Analytics: Biedt toegang tot het SoSafe Manager Portal, inclusief het Analytics Dashboard voor het analyseren van KPI's (zoals klik- en voltooiingspercentages).
• Interactieve leermodules en leervideos in de E-Learning zijn vast en kunnen niet worden gewijzigd. Voor de Phishing Simulation kan een passend branchepakket worden geselecteerd.

8. Partnerplatform

• Partners die klanten beheren met maximaal 250 gebruikers, hebben toegang tot het SoSafe-partnerplatform op https://app.sosafe.de/ .
• Klantinstallatie
  • De partner stelt een nieuwe klant in op het platform door namens de klant alle benodigde gegevens in te vullen, zoals klantnaam, contractduur, aantal licenties, domein, applicatietaal, adres, telefoonnummer en het Logo van de klant.
• User Management
  • De partner voegt namens de klant gebruikers toe, hetzij handmatig hetzij via het Excel-sjabloon dat wordt verstrekt voor de aanlevering van de gebruikerslijst, waarvan het schema gevolgd moet worden om een correcte upload van de gegevens naar het partnerplatform te garanderen.
  • De gebruikerslijst kan door de partner worden bijgewerkt. Het werkelijke aantal gebruikers in het systeem mag het gelicentieerde aantal gebruikers (contractueel overeengekomen bovengrens) niet overschrijden.
  • De partner moet ervoor zorgen dat bij het uploaden en gebruiken van de User data van de eindklant namens de eindklant alle wettelijke vereisten in acht worden genomen. Dit omvat onder andere het sluiten van een verwerkersovereenkomst tussen de partner en de eindklant.
• Simulation
  • De Phishing Simulation omvat het versturen van een vastgesteld aantal (vooraf afgesproken) e-mails aan gebruikers gedurende de serviceperiode. Deze e-mails simuleren echte phishing-e-mails om het bewustzijn van gebruikers ten aanzien van cyberbeveiligingsrisico's door phishingaanvallen te vergroten. Wanneer een gebruiker klikt op een phishing-element (afbeelding, link, enz.) in een van de gesimuleerde phishing-e-mails of wordt doorgestuurd naar een landingspagina (zoals de inlogpagina), wordt een webpagina geopend (de zogenaamde "leerpagina"), die de gebruiker informeert over de simulatie en concrete informatie geeft over hoe de betreffende e-mail had kunnen worden herkend als phishingpoging.
  • De partner stelt namens de klant de startdatum van de Simulation-campagne in.
    • De Baseline Phishing Simulation omvat 3 e-mailsjablonen die worden verzonden over een periode van 1 week.
    • De Continuous Phishing Simulation omvat 12 e-mailsjablonen (met verschillende contexten en moeilijkheidsgraden) die willekeurig worden verzonden gedurende de simulatieperiode over de volgende 11 maanden.
• Whitelisting
  • Om te garanderen dat alle gesimuleerde phishing-e-mails worden afgeleverd bij alle gebruikers die moeten worden getraind, moet de whitelisting worden ingesteld. Dit is een medewerkingsplicht van de partner en de eindklant, zonder welke SoSafe de dienstverlening niet kan garanderen.
  • De partner kan namens de klant kiezen uit een van de twee beschikbare whitelisting-methoden:
    • Whitelisting van mailserver en domeinafzender
    • Whitelisting van aangepaste e-mailheaders
  • SoSafe biedt whitelisting-instructies op het partnerplatform die door de partner gevolgd moeten worden. De instructies bevatten ook alle benodigde technische informatie, zoals IP-adressen en servernamen van de e-mailservers, URL's die vrijgegeven moeten worden voor filtersystemen, en systemen voor toegangsbeveiliging.
  • Zodra de whitelisting is getest, moet de partner de whitelisting-status bijwerken naar 'bevestigd' om de Simulation-campagne te activeren.
• E-Learning
  • De E-Learning omvat de mogelijkheid voor alle bevoegde gebruikers van een klant om toegang te krijgen tot het overeengekomen aantal leslessen binnen het kader van de dienstverlening. De leslessen brengen kennis bij op het gebied van cyberbeveiliging en bestrijken een breed scala aan deelonderwerpen. De leslessen zijn onderverdeeld in leervideos en interactieve leslessen. De leervideos kunnen worden gebruikt met of zonder geluid (dit kan lokaal worden ingesteld via het besturingssysteem of de browser van de gebruiker). Alle taalversies van de leervideos hebben een audiotrack en ondertitels. Voor een optimale leerervaring raden wij aan de lessen in de volledige-schermmodus te volgen. Sommige lessen zijn niet geoptimaliseerd voor weergave op mobiele apparaten.
  • Het eigen leerplatform van SoSafe is beschikbaar op https://elearning.sosafe.de . Gebruikers kunnen zich registreren met hun zakelijke e-mailadres.
  • De partner stelt namens de klant de startdatum van de E-Learning-campagne in.
    • De Continuous E-learning Campaign omvat 16 lessen (14 verplichte en 2 optionele) met automatisch toegewezen deadlines voor 2 maandelijkse lessen, om duurzaam leren te stimuleren.
• Analytics
  • Biedt toegang tot het Analytics Dashboard van de klant, Simulation KPI's, E-Learning KPI's en ISO-rapportage.