Bir sigorta şirketinde oltalama simülasyonu üç çeyrek üst üste iyileşme gösterdi; tıklama oranı yüzde on dokuzdan yüzde dörde indi ve sonuç yönetim kuruluna başarı olarak sunuldu. Aynı yılın sonunda gerçek bir saldırıda muhasebe biriminden bir kullanıcı sahte bir tedarikçi portalına kimlik bilgisini girdi ve olay ancak on bir gün sonra fark edildi. Simülasyon raporundaki tek metrik düşmüştü, ama kimse şunu ölçmemişti: şüpheli e-postayı kaç kişi bildirdi ve güvenlik ekibi ilk bildirimden sonra ne kadar sürede harekete geçti?

Simülasyonun amacı personeli yakalamak değil, kurumun bir oltalama girişimi karşısında ne kadar hızlı ayağa kalktığını ölçmektir. Yanlış okunan bir rapor, gerçek riski gizlemekle kalmaz; ekipte savunmayı zayıflatan bir güvensizlik kültürü de yaratır. Aşağıda sonuçların hangi metriklerle okunacağını, hangi karşılaştırmaların anlamsız olduğunu ve rapordan hangi eylemlerin çıkarılacağını ele alıyoruz.

Tıklama oranı neden tek başına yanıltıcı

Tıklama oranı ölçmesi en kolay, manipüle edilmesi de en kolay metriktir. Senaryonun zorluğu bir çentik düşürüldüğünde oran kendiliğinden iyileşir. Bu metriğe tek başına yaslanmanın üç somut sakıncası vardır:

• Zorluk kalibrasyonu değişmeden karşılaştırma yapılamaz; farklı zorluktaki iki kampanyanın oranları aynı ölçekte değildir.
• Tıklayan ama hiçbir veri girmeyen kullanıcı ile kimlik bilgisini teslim eden kullanıcı aynı kefeye konur, oysa risk katkıları çok farklıdır.
• Hiç tıklamayan ama e-postayı da bildirmeyen kullanıcı “başarılı” sayılır; oysa sessiz kalma, saldırganın diğer hedeflerde rahatça çalışmasına izin verir.

Ölçülmesi gereken beş metrik

Anlamlı bir okuma için tek oran yerine birbirini tamamlayan bir set gerekir:

• Bildirim oranı: e-postayı şüpheli olarak bildirenlerin oranı. Olgunluğun en iyi tek göstergesidir.
• Veri girme oranı: açılan sahte sayfaya kimlik bilgisi veya kurumsal veri girenlerin oranı. Gerçek zararın en yakın karşılığı budur.
• İlk bildirim süresi: kampanyanın gönderiminden ilk kullanıcı bildirimine kadar geçen dakika. Erken uyarı kabiliyetini gösterir.
• Tekrarlayan kullanıcı oranı: üst üste kampanyalarda aynı davranışı gösterenler. Eğitim tasarımının hedeflenmesi gereken grubu işaret eder.
• Savunma yanıt süresi: ilk bildirimden sonra alan adının engellenmesine, e-postanın kutulardan çekilmesine ve hesabın kilitlenmesine kadar geçen süre.

Zorluk kalibrasyonu yapılmadan karşılaştırma yapmayın

Simülasyonun gerçekçiliği bir tasarım kararıdır ve raporun ilk sayfasında yazılmalıdır. Aynı zorluk seviyesinde kalınmadan yapılan çeyreklik karşılaştırmalar, ölçüm değil izlenim üretir.

• Düşük zorluk: genel içerikli kargo veya kampanya bildirimi, kurum dışı gönderici, belirgin dil hataları.
• Orta zorluk: kurumsal görünümlü İK duyurusu, gerçek bir uygulamanın giriş ekranını taklit eden sayfa, isme hitap.
• Yüksek zorluk: güncel bir kurumsal olaya bağlanan, gerçek bir tedarikçi adını taşıyan, yanıt zincirine eklenmiş hedefli senaryo.

Yüksek zorluk seviyesinde tıklama oranının yükselmesi başarısızlık değildir; asıl bakılacak şey bildirim oranının ve savunma yanıt süresinin bu koşullarda ne olduğudur. Kampanya tasarımını ve metrik setini kurumun tehdit profiline göre kurgulamak, tek başına yürütüldüğünde en çok zorlanılan adımdır; kurumsal siber güvenlik danışmanlığı desteğinin bu noktadaki katkısı, senaryoyu sektörde fiilen görülen saldırı örüntülerine yaklaştırmaktır.

Metrikleri okuma tablosu

Adım adım sonuç okuma

1. Kampanyanın zorluk seviyesini ve hedef kitle büyüklüğünü rapora yazın; bu iki bilgi olmadan hiçbir oran yorumlanamaz.
2. Önce veri girme oranına bakın. Bu sayı sıfırdan uzaksa diğer metriklerin iyileşmesi ikincil kalır.
3. Bildirim oranını tıklama oranıyla birlikte okuyun. İkisinin birlikte düştüğü tablo, farkındalık değil ilgisizlik göstergesidir.
4. İlk bildirim süresini ve savunma yanıt süresini yan yana koyun; aradaki fark, süreç darboğazınızın büyüklüğüdür.
5. Sonuçları departman, rol ve kıdeme göre kırın. Kurum ortalaması, riskin yoğunlaştığı yeri gizler.
6. Tekrarlayan kullanıcıları ayrı bir grup olarak ele alın ve bu gruba ceza değil hedefli, kısa ve uygulamalı içerik verin.
7. Her kampanyadan en fazla üç eylem çıkarın; uzun aksiyon listeleri uygulanmaz.

Segment bazlı bakmadan risk görünmez

Kurum ortalaması genellikle iyimserdir. Riskin yoğunlaştığı yerler bellidir: ödeme yetkisi olan finans personeli, üst yönetim asistanları, İK, satın alma ve harici e-posta trafiği yoğun olan satış ekipleri. Bu gruplarda hedefli oltalama senaryolarının başarı ihtimali yüksektir, çünkü saldırgan iş akışını taklit edebilir. Segment raporunu üç sütunla kurun: birim, veri girme oranı, bildirim oranı. Yüksek veri girme ve düşük bildirim birleşen birim, bir sonraki dönemin öncelikli hedefidir.

Simülasyon aslında savunmayı da test eder

Bir oltalama kampanyası yalnızca insan davranışını değil, üç teknik katmanı da sınar: e-posta güvenlik kontrollerinin ne kadarını geçtiği, kullanıcının bildirimini alan sürecin ne kadar hızlı işlediği ve sahte sayfaya giden kimlik bilgisinin gerçek bir oturuma dönüşüp dönüşemeyeceği. Rapor bu üç katmanı ayrı ayrı içermelidir.

Kimlik bilgisinin ele geçirilmesinden sonrasını görmek isteyen kurumlar için simülasyon tek başına yetmez. İki-altı haftaya yayılan bir red team hizmetiyle oltalama, keşiften sonra yalnızca ilk erişim adımı olarak kullanılır; sonrasında yanal hareket (lateral movement), yetki yükseltme, hedef tamamlama ve raporlama aşamaları işletilir. Elde edilen MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi) değerleri, MITRE ATT&CK teknikleriyle eşleştirildiğinde farkındalık programının hangi noktada teknik kontrolle desteklenmesi gerektiğini gösterir.

Ceza kültürü ölçümü nasıl bozar

Tıklayan kullanıcıların isimlerini yöneticilere gönderen, performans değerlendirmesine yansıtan veya toplu duyuruyla ifşa eden programlarda iki şey olur: kullanıcılar birbirini uyarır ve kampanya sonuçları gerçeği yansıtmaz; daha kötüsü, gerçek bir olayda hata yapan kişi durumu gizler. Ölçümün doğruluğu, bildirimin cezasız olmasına bağlıdır. Bildirim yapan kullanıcıya kısa bir teşekkür mesajı dönmek, ödül bütçesi gerektirmeyen ama bildirim oranını en çok artıran uygulamalardan biridir.

Raporu yönetime nasıl sunmalı

Yönetim tek bir oranı değil, riskin nereye yığıldığını ve ne yapılacağını görmek ister. Çift katmanlı bir rapor işi kolaylaştırır: yönetici özeti bölümünde riskin yoğunlaştığı birimler, dönemsel eğilim ve talep edilen üç karar yer alır; teknik detay bölümünde senaryo metni, zaman çizelgesi, e-posta kontrollerinin davranışı ve segment tabloları bulunur. Aynı raporun iki okuyucusu vardır ve ikisi de kendi kararını verebilmelidir.

Sık sorulan sorular

Oltalama simülasyonu ne sıklıkla yapılmalı?

Çeyreklik ritim çoğu kurum için dengelidir; aylık kampanyalar bıkkınlık yaratır, yıllık olanlar ise davranış değişikliğini ölçemez. Önemli olan sıklıktan çok tutarlılıktır: aynı metrik seti, tanımlı zorluk seviyeleri ve karşılaştırılabilir hedef kitle.

Tüm personele mi, seçili gruplara mı gönderilmeli?

İkisi birlikte yürütülür. Genel kampanyalar taban farkındalığı ölçer; finans, satın alma, İK ve üst yönetim gibi yüksek riskli gruplara hedefli senaryolar uygulanır. Hedefli kampanyaların sonuçları genel ortalamayla birleştirilmemeli, ayrı raporlanmalıdır.

İyi bir bildirim oranı hangi seviyededir?

Evrensel bir eşik yerine kendi eğiliminizi ölçüt alın. Kampanyadan kampanyaya artan ve tıklama oranından bağımsız yükselen bir bildirim oranı sağlıklıdır. Bildirim oranının tıklama oranını geçtiği nokta, programın olgunlaştığına dair güçlü bir işarettir.

Kullanıcıların isimleri raporlanmalı mı?

Bireysel veriler eğitim planlaması için güvenlik ekibinde tutulabilir, ancak yönetime giden raporlarda toplulaştırılmalıdır. Kişisel verilerin bu kapsamda işlenmesi de açıklık ve amaçla sınırlılık ilkelerine uygun yürütülmeli, saklama süresi tanımlanmalıdır.

Simülasyon sızma testinin yerine geçer mi?

Geçmez. Oltalama simülasyonu insan katmanını ve bildirim sürecini ölçer; sızma testi belirli sistemlerdeki teknik zafiyetleri bir-iki haftalık bir çalışmayla ortaya çıkarır. İkisi farklı sorulara cevap verir ve birbirini tamamlar.

Sonuç

Bir oltalama kampanyasının değeri, kaç kişinin tıkladığında değil, kurumun ilk şüpheden ilk müdahaleye kadar geçen süreyi ne kadar kısalttığında ortaya çıkar. Zorluk seviyesini sabitleyin, bildirim ve veri girme oranlarını birlikte izleyin, sonuçları segmentlere ayırın ve her kampanyadan üç somut eylem çıkarın; ölçtüğünüz şeyi tıklamadan yanıt süresine çevirdiğiniz anda program bir farkındalık etkinliği olmaktan çıkıp savunma kabiliyetinin parçası haline gelir.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.