İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Oltalama Simülasyonu Nedir?

İngilizce: Phishing Simulation

Yayın: · Son güncelleme:

Oltalama Simülasyonu Nedir? Kısaca

Oltalama simülasyonu, kurumların çalışanlarına izinli ve kontrollü sahte oltalama e-postaları göndererek kimin tıkladığını ya da bildirdiğini ölçtüğü ve sonuca göre eğitim verdiği farkındalık çalışmasıdır.

Oltalama Simülasyonu nedir?
İçindekiler
  1. Oltalama simülasyonu nedir?
  2. Nasıl işler?
  3. Nelere dikkat etmeli?

Oltalama simülasyonu nedir?

Oltalama simülasyonu, çalışanlara gerçek bir saldırıyı taklit eden ama zararsız e-postalar gönderilerek yapılan bir farkındalık testidir. Amaç kimseyi cezalandırmak değil, kurumun oltalamaya karşı ne kadar dirençli olduğunu ölçmektir. Tıklayan kişi zarar görmez, bunun yerine kısa bir bilgilendirme sayfasına yönlendirilir.

Çalışma, kurum yönetiminin onayıyla ve genellikle bilgi güvenliği ekibi tarafından yürütülür. Gerçek bir saldırganın aksine kişisel veri toplamaz.

Nasıl işler?

Süreç birkaç adımdan oluşur. Önce senaryo seçilir: kargo bildirimi, şifre süresi doldu uyarısı ya da insan kaynakları duyurusu gibi. E-postalar belirlenen gruplara gönderilir ve tıklama, form doldurma ve bildirme oranları kaydedilir.

Örneğin 500 çalışana gönderilen bir testte 60 kişi tıklar, 90 kişi de e-postayı güvenlik ekibine bildirirse iki oran birlikte değerlendirilir. Bildirim oranının artması, tıklama oranının düşmesi kadar değerli bir göstergedir.

Nelere dikkat etmeli?

Simülasyon etik çerçevede tasarlanmalıdır. Çalışanları aşağılayan ya da kişisel korku yaratan senaryolar, örneğin sahte işten çıkarma bildirimi, güveni zedeler. Sonuçlar kişileri teşhir etmek için değil, eğitimi hedeflemek için kullanılmalıdır.

Tek başına bir test yeterli olmaz, düzenli eğitimle birlikte anlam kazanır. Senaryoları yılda birkaç kez değiştirmek, çalışanların yalnız tek bir şablonu ezberlemesini önler ve gerçek saldırılarda karşılaşılan çeşitliliği daha iyi yansıtır. Genel çerçeve için siber güvenlik farkındalığı maddesine bakabilirsiniz.

Sıkça Sorulan Sorular

Oltalama simülasyonu yasal mı?

Kurumun kendi çalışanlarına yönelik, yönetim onaylı ve kişisel veri mevzuatına uygun yürütüldüğünde meşru bir eğitim yöntemidir. Uygulamadan önce hukuk ve insan kaynakları birimleriyle çerçeve belirlemek iyi bir uygulamadır.

Simülasyonda tıklarsam ne olur?

Genellikle bir bilgilendirme sayfasına yönlendirilir ve kısa bir eğitim önerilir. Amaç ceza değil, gerçek bir saldırıda aynı hatanın yapılmamasıdır.

İlgili terimler

Siber Güvenlik Farkındalığı(Security Awareness)Siber güvenlik farkındalığı, kişilerin oltalama, zararlı yazılım ve sosyal mühendislik gibi tehditleri tanıyıp güvenli davranışları alışkanlık hâline getirmesi ve kurumların bunu eğitimle desteklemesidir.Hedefli Oltalama(Spear Phishing)Hedefli oltalama (Spear Phishing), belirli bir kişi ya da kurum hakkında önceden bilgi toplanarak hazırlanan, kişiye özel ve inandırıcı sahte mesajlarla şifre, para ya da dosya erişimi elde etmeye çalışan oltalama türüdür.Sosyal Mühendislik(Social Engineering)Sosyal mühendislik (Social Engineering), teknik bir açık yerine insan psikolojisini kullanarak kişileri şifre, para ya da bilgi vermeye ikna etme yöntemidir. Oltalama, telefonla dolandırıcılık ve sahte kimlikle güven kazanma en yaygın biçimleridir.Sahte Link(Malicious Link)Sahte link, güvenilir bir siteye gidiyormuş gibi görünen ama kullanıcıyı oltalama sayfasına, sahte mağazaya ya da zararlı yazılım indiren bir adrese yönlendiren bağlantıdır. E-posta, SMS ve sosyal medyada yayılır.Oltalama(Phishing Scam)Oltalama (phishing), dolandırıcıların banka, kargo şirketi ya da kamu kurumu gibi güvenilir bir kaynak taklidi yaparak sahte mesaj, e-posta veya web sitesiyle kişilerin şifre, kart ve kimlik bilgilerini ele geçirmeye çalıştığı dolandırıcılık yöntemidir.Bilgi Güvenliği(Information Security)Bilgi güvenliği, dijital ya da kâğıt ortamdaki her türlü bilginin yetkisiz kişilerce görülmesini, değiştirilmesini veya yok edilmesini önlemeye yönelik ilke, süreç ve önlemlerin bütünüdür.Kişisel Veri(Personal Data)Kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad soyad, T.C. kimlik numarası, telefon, e-posta, IP adresi ve konum bilgisi gibi veriler bu kapsama girer.