01Sorun ve çözüm
Oltalama (phishing) simülasyonu hizmetinde, yönetimin yazılı onayıyla çalışanlarınıza gerçek saldırıları taklit eden ama zararsız e-postalar gönderiyoruz. Kimin açtığını, tıkladığını, form doldurduğunu ve en önemlisi kimin durumu bildirdiğini ölçüyoruz. Sonuçları kişileri teşhir etmek için değil, hangi birimin hangi senaryoya karşı zayıf olduğunu görüp eğitimi oraya yöneltmek için kullanıyoruz.
02Kimler için
Oltalama (phishing) simülasyonu hangi kurumlar için anlamlı
E-posta kullanan her ekip hedeftir; ama bazı durumlarda ölçüm daha acil hâle gelir.
- Muhasebe ve satın alma ekibine sahte tedarikçi e-postasıyla ödeme yönlendirme girişimi gelmiş şirketler
- Yeni çalışanların sık katıldığı, farkındalık eğitiminin işe alımla birlikte tekrarlanması gereken büyüyen işletmeler
- MFA ya da e-posta filtresi kurduktan sonra çalışan davranışının değişip değişmediğini görmek isteyen BT birimleri
- ISO 27001 hazırlığında farkındalık eğitiminin etkisini ölçülebilir kanıta dönüştürmesi gereken kurumlar
- Şube, saha ve merkez personelinin aynı e-posta sistemini kullandığı çok lokasyonlu yapılar
03İhtiyaçlar
Gerçekçi bir simülasyonun gerektirdikleri
Fazla kolay bir senaryo yanlış güven verir, fazla sert bir kampanya ise çalışanı küstürür.
- 01
Kuruma özgü senaryolar
Kullandığınız kargo firmaları, iç duyuru dili, e-imza ya da e-Fatura bildirimleri gibi çalışanların gerçekten aldığı mesajlar örnek alınır. Genel ve yabancı dilde şablonlar sonuçları gerçekçi olmayan biçimde iyi gösterir.
- 02
Zorluk kademeleri
İlk turda belirgin işaretler taşıyan mesajlar, sonraki turlarda alan adı benzerliği ve kişiye özel ayrıntılar içeren mesajlar kullanılır. Böylece gelişim ölçülebilir hâle gelir.
- 03
Bildirme davranışının ölçülmesi
Tıklamayan kişi kadar şüpheli mesajı BT'ye ileten kişi de önemlidir. Raporlama düğmesi ya da belirlenmiş bir adres üzerinden gelen bildirimler kampanyanın ana göstergelerinden biridir.
- 04
Çalışan verisinin korunması
Simülasyon kişisel veri işler; çalışanlara aydınlatma yapılması ve sonuçların kimin tarafından görüleceği önceden belirlenir. Formlara yazılan parolalar hiçbir zaman kaydedilmez, yalnızca form gönderildiği bilgisi tutulur.
04Özellikler
Oltalama (phishing) simülasyonu nasıl yürütülür ve raporlanır
Her kampanya kapsam, senaryo onayı, gönderim ve geri bildirim adımlarından oluşur.
- 01
Senaryo ve açılış sayfası tasarımı
E-posta metni, gönderen adı ve tıklama sonrası açılan sayfa sizin onayınıza sunulur. Kampanya yalnızca onaylanan kitleye ve belirlenen zaman aralığında gönderilir.
- 02
Tıklayana anında eğitim
Bağlantıya tıklayan ya da form dolduran kişi kısa bir bilgilendirme sayfasına yönlendirilir; mesajda hangi işaretleri kaçırdığı gösterilir.
- 03
Birim bazlı sonuçlar
Açma, tıklama, form gönderme ve bildirme oranları birim, lokasyon ve senaryo türüne göre karşılaştırılır. Yönetim raporunda isimler yer almaz, isimli liste yalnızca yetkili kişiyle paylaşılır.
- 04
Tekrarlayan kampanya planı
Tek seferlik bir ölçüm yerine farklı senaryolarla düzenli aralıklarla tekrarlanan bir takvim önerilir. Danışmanlık modeliyle bu takvimi birlikte yürütebiliriz.
05Entegrasyonlar
E-posta altyapısı ve teknik hazırlık
Simülasyon e-postalarının filtrelere takılmadan, ama gerçek saldırılara kapı açmadan ulaşması gerekir.
- 01
Microsoft 365 ve Google Workspace
Simülasyon gönderimleri için yönetici panelinde tanımlı istisnalar kullanılır; genel filtre kuralları gevşetilmez.
- 02
Gönderim platformu
Kampanyalar GoPhish gibi açık kaynaklı bir araçla ya da tercih ettiğiniz bir farkındalık platformuyla, ayrı bir alan adı ve sunucu üzerinden yürütülür.
- 03
Raporlama düğmesi ve yardım masası
E-posta istemcisine eklenen bildirme düğmesi ya da ortak bir adres, yardım masanızın iş akışına bağlanır. Böylece simülasyon, gerçek bildirim sürecini de sınar.
- 04
Kimlik sağlayıcı ve MFA
Sahte giriş sayfasında form dolduran kişilerin hesaplarında MFA'nın açık olup olmadığı, olası bir gerçek saldırının etkisini değerlendirmek için ayrıca not edilir.
06Süreç
Oltalama (phishing) simülasyonu hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Oltalama simülasyonunda etik ve güvenlik sınırları
Kampanyanın kapsamı, hariç tutulacak kişiler ve kullanılmayacak konular yazılı olarak kararlaştırılır. Maaş kesintisi, sağlık durumu ya da işten çıkarma gibi çalışanda gerçek kaygı yaratacak temalar kullanılmaz; gerçek bir kamu kurumunun ya da bankanın kimliğine bürünen senaryolar sizinle ayrıca tartışılır.
Devamını okuDaha az göster
Gönderim için kurumunuzun alan adına benzeyen ama ayrı kaydedilmiş bir alan adı ve şifreli bağlantı kullanılır; kampanya bitince sayfalar kapatılır. Toplanan tıklama verileri yalnızca kampanya süresince ve raporlama için saklanır, ardından kararlaştırılan biçimde silinir. Bu sayede ölçüm, korumaya çalıştığı çalışanlar için yeni bir risk yaratmaz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Oltalama (phishing) simülasyonu hakkında sık sorulan sorular
Çalışanlara simülasyon yapılacağını önceden söylemeli miyiz?
Genel bir duyuru yapılması ve aydınlatma metninde farkındalık çalışmalarına yer verilmesi önerilir; ancak kampanya tarihi ve içeriği paylaşılmaz. Aksi hâlde sonuç gerçek davranışı yansıtmaz.
Oltalama (phishing) simülasyonu fiyatları neye göre değişir?
Hedef kişi sayısı, senaryo sayısı, kuruma özel sayfa tasarımı, kampanyanın tekrar sıklığı ve eğitim içeriği hazırlanıp hazırlanmayacağı belirleyicidir.
Tıklayan çalışanlara ne olacak?
Simülasyonun amacı ceza değil öğrenmedir. Tıklayan kişiler anında kısa bir bilgilendirme görür; disiplin süreciyle ilişkilendirilmesi, bildirme isteğini azalttığı için önerilmez.
Phishing testi ile sosyal mühendislik testi arasındaki fark nedir?
Oltalama simülasyonu, geniş bir çalışan grubuna e-posta yoluyla yapılan ölçümdür. Sosyal mühendislik testi ise telefonla arama, fiziksel giriş ya da hedefli kişisel yaklaşımlar gibi daha dar ve yoğun senaryoları kapsar.
Oltalama simülasyonu firması parolalarımızı ele geçirir mi?
Hayır. Sahte giriş sayfası yazılan değeri sunucuya kaydetmeyecek biçimde kurulur; yalnızca formun gönderildiği bilgisi tutulur. Bu ayar kampanya öncesinde size gösterilir.
SMS ya da sesli arama ile oltalama da denenebilir mi?
Kapsama eklenebilir. SMS ile oltalama (smishing) ve telefonla arama senaryoları özellikle saha personeli ile yardım masası için anlamlıdır; bunlar ayrı onay ve senaryo çalışması gerektirir.
10İlgili hizmetler