Oltalama (Phishing) Simülasyonu: Güven Sorunu mu, Gerekli Bir Tatbikat mı?

Oltalama (phishing) simülasyonu, çalışanlara gerçek bir saldırıya benzeyen sahte e-postalar gönderilerek tepkilerinin ölçüldüğü bir farkındalık yöntemidir. Amaç, şüpheli bir mesaj karşısında doğru refleksi geliştirmektir. Ancak siber güvenlik yöneticileri bu yöntem konusunda ikiye bölünmüş durumda. Bu yazıda iki tarafın argümanlarını, tıklama oranının neden tek başına yeterli olmadığını ve simülasyonun nasıl kurgulanması gerektiğini ele alıyoruz.

Oltalama simülasyonuna karşı çıkanlar ne diyor?

• Güven sorunu yaratıyor. Testler çalışanı kandırmak üzerine kurulu. Bu, güvenlik ekibiyle çalışanlar arasında olumsuz bir ilişki doğurabilir.
• Cezalandırma eğitim değildir. Hata yapan kişiyi 20 dakikalık zorunlu eğitime göndermek onu eğitmez, cezalandırır. Üstelik insanlar hata yaptıklarında bunu gizlemeye başlar.

Bu eleştiriler haklı. Kötü kurgulanmış bir simülasyon programı, korumaya çalıştığı güvenlik kültürüne zarar verebilir.

Savunanlar ne diyor?

• Ölçmediğinizi iyileştiremezsiniz. Simülasyon olmadan çalışanların gerçek bir saldırıya nasıl tepki vereceğini bilmenin yolu yok.
• Hesap verebilirlik. Bir olay sonrası güvenlik yöneticisi "Neden test yapmadınız?" sorusuyla karşılaşabilir. Denetimlerde ve yasal süreçlerde bu soru giderek daha sık soruluyor.
• Tuzak değil, tatbikat. İtfaiye tatbikatı insanları korkutmak için değil, gerçek bir yangında ne yapacaklarını bilmeleri için yapılır. Simülasyon da refleks geliştirmek içindir.

İki tarafın uzlaştığı nokta: raporlama

Tartışmanın iki tarafı bir konuda hemfikir: Önemli olan bağlantıya kimin tıkladığı değil, kimin ne kadar hızlı ve korkmadan raporladığı.

Ceza kültürü yerine raporlama kültürü kurulduğunda, simülasyonun tuzak mı tatbikat mı olduğu tartışması kendiliğinden anlamsızlaşır. Çalışan hata yaptığında bunu söylemekten çekinmiyorsa, simülasyon bir ölçme ve öğrenme aracına dönüşür.

Tıklama oranı neden tek başına güvenilir değil?

Birçok kurum simülasyon başarısını sadece tıklama oranıyla ölçer. Oysa bu metrik yanıltıcı olabilir:

• Kolay bir senaryo düşük tıklama oranı, zor bir senaryo yüksek tıklama oranı üretir. Oranlar senaryonun zorluğundan bağımsız okunamaz.
• Akademik çalışmalar, risk açıkça bilinse bile ikna ve sosyal mühendislik tekniklerinin işe yaradığını gösteriyor. Özellikle "500 kişi zaten yaptı" gibi sosyal kanıt sunulduğunda insanlar uyarıları göz ardı edebiliyor.

Yani bilmek yetmiyor, davranışın değişmesi gerekiyor. Ve yüzde yüz başarı diye bir şey yok. Hedef, kurumun en kolay hedef olmaktan çıkmasıdır.

Hedefli saldırılar simülasyonu neden gerekli kılıyor?

Saldırganlar artık rastgele e-postalar göndermekle yetinmiyor. Basına yansıyan bir vakada NASA çalışanları yıllarca savunma yazılımlarını, kendini meslektaş olarak tanıtan bir ajanla paylaştı. Ajan sahte bir kimlik oluşturdu, birebir ilişkiler kurdu ve yazılımları göndermelerini istedi. Kimsenin kötü niyeti yoktu. Sadece iyi planlanmış bir tuzağa düştüler.

Bu tür hedefli (spear phishing) senaryolara karşı hazırlığı ölçmenin tek yolu, benzer senaryolarla çalışmaktır.

Oltalama simülasyonu nasıl kurgulanmalı?

1. Önceden duyurun. Çalışanlara simülasyon programı olduğunu söyleyin. Zamanını ve içeriğini değil, varlığını.
2. Cezalandırmayın. Tıklayan kişiye kısa, anında ve yargılamayan bir geri bildirim verin.
3. Raporlamayı ödüllendirin. Şüpheli e-postayı bildiren çalışanı görünür biçimde takdir edin.
4. Senaryoları çeşitlendirin. E-posta, QR kod, SMS ve telefon senaryoları farklı refleksler gerektirir.
5. Rol bazlı zorluk. Finans ve yönetim gibi kritik roller için daha gerçekçi, hedefli senaryolar kullanın.
6. Eğilimi izleyin. Tek bir testin sonucu değil, aylar içindeki değişim anlamlıdır.

Sık sorulan sorular

---
InfoLore oltalama simülasyonlarını ölçme ve geliştirme aracı olarak kurgular. Programınızı tasarlamak için bize ulaşabilirsiniz.