RINP // SİBER GÜVENLİK HİZMETLERİ
Sızma Testi · Sosyal Mühendislik
İnsan katmanındaki riski fark etme ve bildirme davranışıyla ölçüyoruz.
Çalışanların şüpheli iletileri fark etme ve doğru kanaldan bildirme davranışını kontrollü simülasyonlarla ölçüyoruz. Bildirim süresini ve eskalasyon akışını değerlendiriyoruz. Sonuçları süreç, eğitim ve teknik kontrol planına dönüştürüyoruz.
- Fark etme ve bildirme davranışı segment bazında ölçülmektedir.
- Bildirim süresi, doğru kanal kullanımı ve eskalasyon akışı birlikte değerlendirilmektedir.
- Süreç, eğitim ve teknik kontrol bulguları sahipleriyle birlikte önceliklendirilmektedir.
3 sinyal
- 01
Bildirim Oranı
Bildirim refleksi
- 02
Bildirime Kadar Süre
Tepki hızı
- 03
Doğru Eskalasyon
Süreç performansı
Sorgulama değil; ölçüm
Bu hizmet nedir, ne değildir
- İnsan katmanının dayanıklılığını yazılı yetkiyle yürütülen kontrollü sosyal mühendislik senaryoları üzerinden ölçmektedir.
- Tıklama verisinin yanında fark etme, bildirme süresi, doğru kanal ve eskalasyon davranışını değerlendirmektedir.
- Doğrulanmış süreç bulgularını eğitim, süreç ve teknik kontrol başlıklarında kapatma planına dönüştürmektedir.
- Bireyleri hedef gösteren veya performans değerlendirmesi amacıyla kullanılan bir çalışma kapsamına girmemektedir.
- Tek başına farkındalık eğitimi sunmamaktadır; ölçüm sonuçları gerekli eğitim ve kontrol adımlarını belirlemektedir.
- Red Team kapsamındaki ilk erişim senaryosundan ayrı olarak insan katmanı programının davranış ve süreç ölçümüne odaklanmaktadır.
Kapsam ve sınırlar
- E-posta kimlik avı kampanyası ve QR temelli senaryolar (çekirdek kanallar)
- Hedef kitle, segment ve dalga planı; senaryo tasarımı ve yürütüm kuralları (RoE)
- Ölçüm ile bildirim ve eskalasyon akışının doğrulanması; ilgili güvenlik kontrollerinin etkinlik gözlemi
- Opsiyonel SMS kimlik avı pilotu ve sesli kimlik avı pilotu (eklenti olarak)
- Segment ve persona bazlı risk dağılımı; kıyaslama (Derin İnceleme ve üzeri pakette)
- Ölçüm raporu, yönetici özeti ve süreç, eğitim ile teknik kontrol başlıklı kapatılacak bulguların öncelik listesi
- Kapatmanın doğrulanması; opsiyonel kapatma sonrası yeniden test dalgası
- Yönetim için karar rehberi ile teknik ekip için uygulanabilir iş listesi (Çift Katmanlı teslim)
- Bireyi hedef alan utandırma dili ya da yalnız tıklama oranına dayalı raporlama
- Yalnız farkındalık formalitesi veya yalnız LMS lisans dağıtımı
- Gerçek kimlik bilgisi kötüye kullanımı, hesap ele geçirme veya kalıcılık denemeleri
- Fiziksel sızma, USB bırakma ve ofise giriş senaryoları
- Yetkisiz üçüncü taraf etkileşimi veya operasyonel hizmet bozma
- Psikolojik zarar veren manipülasyon veya kişisel utandırma içeriği
- İnsan Katmanlı İlk Erişim Paketi (Red Team senaryosuna bağlı ilk erişim vektörü); ayrı kapsamdır
- Yazılı yetkilendirme, hedef kitle ve içerik onayı test öncesi netleşmiştir.
- Olay anı iletişim kişisi, durdurma kriteri ve test penceresi sabitlenmiştir.
- İK, hukuk, BT ve SOC koordinasyonu kampanya öncesi tamamlanmıştır.
- Kriz, işten çıkarma, birleşme veya hukuki hassasiyet dönemi varsa otomatik fiyat değil keşif uygulanır.
- Başlangıç fiyatı yaklaşık bütçedir; nihai teklif kanal, dalga, onay hızı ve yürütüm kısıtları netleşince verilir.
- Yazılı yetkilendirme, hedef kitle ve segment listesi
- İçerik onay mekanizması ve iletişim dili rehberi
- Mevcut bildirim kanalları, ihbar süreci ve report-phish akışı bilgisi
- Olay anı iletişim kişisi, test penceresi ve durdurma kriteri
- Opsiyonel: marka materyalleri, örnek iletişimler, LMS/SCORM entegrasyon bilgisi (fiyatlamayı iyileştirir)
Çalışma; yazılı yetki, onaylı hedef kitle, içerik onayı, durdurma koşulları ve olay anı iletişim hattıyla yürütülmektedir.
Nasıl çalışıyoruz: kapsamdan yeniden test dalgasına altı adım
Kapsam ve yürütüm kuralları
Yazılı yetkilendirme, hedef kitle, etik ve hukuki sınırlar, kanal politikası, içerik onayı, gönderim altyapısı, test penceresi ve durdurma kriteri teyit edilmektedir; önceliklendirilecek gündem netleşmektedir.
Senaryo tasarımı
Hedef kitle, segment ve dalga planı kurulmakta; senaryo seti (e-posta ile QR çekirdek; SMS ve ses pilot veya eklenti) marka uyarlama düzeyi ve persona setiyle birlikte tasarlanmaktadır.
Güvenli kurulum ve ölçüm altyapısı
Gönderim altyapısı, ölçüm pikselleri, ihbar kanalı entegrasyonu, segment ayrımı ve kontrol etkinliği gözlem noktaları yazılı çalışma kuralları altında devreye alınmaktadır.
Kontrollü kampanya yürütümü
Onaylanan dalgaları çalışma kuralları içinde yürütüyor; fark etme, bildirim süresi, doğru kanal ve eskalasyon sinyallerini topluyoruz.
Analiz ve raporlama
Ölçümleri segment bazında değerlendiriyor; süreç bulgularını ve kontrol etkinliğini yönetici özeti ile teknik raporda birleştiriyoruz.
Kapatma planı ve yeniden test dalgası
Süreç, eğitim ve teknik kontrol adımlarını sahipleriyle birlikte önceliklendiriyor; müşteri bu adımları uyguladıktan sonra uygun kapsamda yeniden test dalgası yürütüyoruz.
Ne teslim ediyoruz
Yönetici özeti
- İnsan katmanı görünümü: fark etme, bildirim süresi ve eskalasyon sonuçlarını özetlemektedir.
- Segment dağılımı: desteğe öncelikle ihtiyaç duyan grupları göstermektedir.
- Yeniden test sonucu: müşteri kontrolleri uyguladıktan sonra davranıştaki değişimi göstermektedir.
Ölçüm raporu ve aksiyon planı
- Ölçüm raporu: bildirim oranı, bildirim süresi, doğru kanal ve eskalasyon sonuçlarını içermektedir.
- Süreç bulguları: bildirim ve eskalasyon akışındaki doğrulanmış aksaklıkları açıklamaktadır.
- Kapatma planı: süreç, eğitim ve teknik kontrol adımlarını sorumlularıyla birlikte sıralamaktadır.
- Kampanya kayıtları: hedef kitleyi, dalga planını, çalışma kurallarını ve senaryoları belgelemektedir.
Opsiyonel çıktılar
- Kapatma sonrası yeniden test dalgası (60 gün içinde): ilk hizmet bedelinin yaklaşık yüzde 35'i, asgari tutarla.
- İyileştirme atölyesi (90 dakika): sonuçların paylaşımı ve eğitim planının birlikte kalibrasyonu.
- LMS/SCORM entegrasyonu veya report-phish entegrasyonu: lisans maliyeti ayrı kalemde yansıtılmaktadır.
Yönetim hangi insan katmanı riskinin önce ele alınacağını görmektedir. İlgili ekipler süreç, eğitim ve teknik kontrol adımlarını izlemektedir.
Karar profili
- Süre
- 2-4 hafta, kapsamla orantılı
- Derinlik
- Bildirim refleksi ve eskalasyon
- Teslim
- Yönetim ve teknik teslim
- Kanal
- E-posta · QR çekirdek; SMS · ses pilot
- Uygun
- Yeni dalga veya insan katmanı program ihtiyacı
Hangi durumda hangisi doğru ilk adımdır?
Üç yaklaşım aynı somut bulguyu üretmemektedir. Aralarındaki farkı bilmeden başlamak, yanlış kanıtın peşinde zaman ve bütçe kaybettirmektedir.
| Kriter | ÖnerilenSosyal Mühendislik Simülasyonu | İnsan Katmanlı İlk Erişim Paketi | Yalnız Farkındalık Eğitimi (LMS) |
|---|---|---|---|
| Karar sorusu | İnsan katmanı, bildirim akışı ve kontrol etkinliği gerçekten dayanmakta mıdır? | Red Team senaryosunda insan katmanından ilk erişim açılmakta mıdır? | Çalışanlar farkındalık konusunu eğitimde gördü mü? |
| Birincil somut bulgu | Bildirim oranı, bildirime kadar geçen süre, doğru eskalasyon yüzdesi ve süreç aksaklığı | İnsan katmanı üzerinden doğrulanmış ilk erişim vektörü ve saldırı yolu girişi | Eğitim tamamlanma yüzdesi, sertifika ve görüntüleme süresi |
| İdeal tetikleyici | İnsan katmanı program ihtiyacı, bildirim refleksi ölçümü ve regülasyon hazırlığı | Hedef odaklı Red Team senaryosunda insan katmanlı ilk erişim genişletmesi | Yıllık farkındalık programı veya yeni işe alım dalgası eğitimi |
| Yanlış eşleşme | İnsan katmanı program ölçümünü saldırı yolu icrasıyla karıştırmak | İnsan katmanı program ölçümü ihtiyacını Red Team senaryosuyla genişletmek | Eğitim tamamlanma yüzdesini bildirim refleksinin ölçümü yerine koymak |
Bir net karar örneği
Anonim vaka
İnsan katmanı dayanıklılığı kanıt temelli olarak görünüyor muydu?
Bir finans kuruluşu, çalışanların şüpheli iletileri fark etme ve doğru kanaldan bildirme davranışını ölçmemiz için bize kapsam verdi. Hedef segmentleri, içerik onayını ve durdurma koşullarını ilgili ekiplerle netleştirdik.
Kontrollü kampanya, bildirim süresi ile doğru kanal kullanımındaki iki süreç bulgusunu ortaya koydu. Sonuçları kişi bazında değerlendirmeden segment ve süreç seviyesinde raporladık.
Yönetici özetini ve süreç, eğitim, teknik kontrol başlıklarında kapatma planını teslim ettik. Müşteri bildirim akışını güncelledikten sonra yürüttüğümüz yeniden test dalgası, bildirim davranışındaki gelişimi doğruladı.
Bu vakadan çıkan değer
- Bildirim davranışı kişi yerine süreç ve segment düzeyinde ölçüldü.
- Bildirim akışındaki iki süreç bulgusu doğrulandı.
- Uygulanan değişiklik yeniden test dalgasıyla ölçüldü.
İnsan katmanı kapsamınızı birlikte netleştirelim
Hedef kitleyi, kanalları, içerik onayını, test penceresini ve ölçülecek davranışları bu formda netleştiriyoruz.
Sık sorulan sorular
Çalışma bireyleri değerlendirmek için kullanılmaz. Sonuçlar segment, süreç ve kontrol düzeyinde ele alınır; amaç bildirim davranışını geliştirmektir.
Tıklama verisi tek başına yeterli sayılmaz. Bildirim oranı, bildirim süresi, doğru kanal ve eskalasyon davranışı birlikte ölçülür.
Standart kapsam e-posta ve QR senaryolarını içerir. SMS ve sesli arama, uygun izin ve hazırlıkla ayrı kapsam olarak eklenebilir.
Yazılı yetki, hedef kitle, içerik onayı, hukuk ve İK koordinasyonu, bildirim kanalı ve durdurma koşulları çalışma öncesinde paylaşılmalıdır.
Yönetici özeti, segment bazlı ölçüm raporu, süreç bulguları ve kapatma planı teslim edilmektedir.
Müşteri süreç ve kontrolleri güncelledikten sonra yeniden test dalgası yürütülebilir. Aynı ölçümler kullanılarak değişim raporlanır.
İlgili hizmetler ve eklentiler
İhtiyacınız insan katmanı program ölçümünün dışına taşıyorsa doğru köprüyü buradan açabilirsiniz.
Modüler Red Team Simülasyonu
Odağınız insan katmanı vektörüyle başlayan saldırı yolu ve kritik hedef etkisiyse, Modüler Red Team Simülasyonu (İnsan Katmanlı İlk Erişim Paketi) doğru ilk adımdır.
PT-5Sürekli Sızma Testi
Odağınız Ritim bazlı insan katmanı ölçümü ve kapatma görünürlüğüyse, Sürekli Sızma Testi insan katmanı modülüyle birlikte alınabilmektedir.
PT-1Uygulama Güvenliği Sızma Testi
Odağınız uygulama yüzeyinde insan vektörünün kesiştiği iş akışının doğrulanmasıysa, Uygulama Güvenliği Sızma Testi doğru ilk adımdır.
// PT-4 · KEŞİF
Hedef segmentleri, ölçüm kapsamını ve kampanya sınırlarını birlikte netleştirelim.
Keşif görüşmesinde kanalları, hedef grupları, onay akışını ve beklenen ölçüm setini birlikte belirliyoruz.