Siber Güvenlik
Sosyal Mühendislik Testi Nedir, Şirketler Neden Yaptırır?
Neden önemli?
En güçlü teknik önlemler bile bir çalışanın parolasını sahte bir sayfaya yazmasıyla aşılabilir. Pek çok güvenlik ihlali bir oltalama e-postasıyla başlar. Bu nedenle insan faktörü de test edilmelidir.
Test türleri
- Oltalama (phishing) simülasyonu: Çalışanlara gerçekçi ama zararsız sahte e-postalar gönderilir; kaç kişinin bağlantıya tıkladığı, kaçının bilgi girdiği ve kaçının durumu bildirdiği ölçülür.
- Hedefli oltalama (spear phishing): Belirli kişi veya departmanlara özel hazırlanmış senaryolar.
- Sesli oltalama (vishing): Telefonla “bilgi işlemden arıyorum” gibi senaryolarla bilgi alınmaya çalışılır.
- SMS oltalama (smishing): Kısa mesajla sahte bağlantı gönderimi.
- Fiziksel erişim testi: Yetkisiz bir kişinin binaya, sunucu odasına veya masalara ne kadar kolay ulaşabildiği.
Doğru kurgulanmış bir test
- Yönetimin yazılı onayı ve kapsamın netleştirilmesi
- Hukuki sınırların belirlenmesi; kişisel verilerin korunması
- Gerçekçi ama etik senaryolar (örneğin maaş veya sağlık gibi istismar edici konulardan kaçınmak)
- Sonuçların kişi bazında değil, departman ve eğilim bazında raporlanması
- Testin hemen ardından kısa bir farkındalık eğitimi
Hangi metrikler takip edilir?
- Tıklama oranı
- Bilgi girme (kimlik bilgisi bırakma) oranı
- Bildirim oranı: Şüpheli e-postayı güvenlik ekibine bildirenler
- Zaman içindeki değişim
En değerli metrik bildirim oranıdır; çünkü erken bildirim gerçek bir saldırının etkisini sınırlar.
Teknik önlemlerle birlikte
Farkındalık tek başına yetmez. E-posta için SPF, DKIM ve DMARC yapılandırması, iki aşamalı doğrulama ve şüpheli e-posta bildirme butonu insan hatasının etkisini azaltır.
Sonuç
Sosyal mühendislik testleri, güvenlik kültürünü ölçmenin ve geliştirmenin en somut yoludur. siber güvenlik testleri kapsamındaki hizmetlerimiz için sayfamızı inceleyebilir veya teklif alabilirsiniz.