Sosyal Mühendislik Testi

Saldırganlar teknik önlemleri aşmak yerine çoğu zaman bir çalışanı parola paylaşmaya, bir eki açmaya veya kapıyı tutmaya ikna etmeyi dener. Teknik kontroller ne kadar güçlü olursa olsun, bu senaryolara karşı süreç ve farkındalık ölçülmeden güvenlik resmi eksik kalır.

• Oltalama (phishing): Kuruma özel hazırlanmış e-postalarla bağlantı tıklama, kimlik bilgisi girme veya ek açma davranışı ölçülür.
• Vishing (telefonla sosyal mühendislik): Yardım masası veya tedarikçi gibi davranan aramalarla bilgi ya da yetki talep edilir.
• Fiziksel giriş: Kartlı geçiş, ziyaretçi kaydı ve arkadan takip (tailgating) kontrolleri test edilir; yetkisiz alanlara erişim denenir.
• Taşınabilir medya: Ofis içine bırakılan USB bellek gibi nesnelere çalışanların tepkisi ölçülür.

Sosyal mühendislik testi yalnızca kurumun yetkili yöneticisinin yazılı onayıyla ve önceden belirlenen kurallar içinde yapılır.

• Hedef kişiler, senaryolar ve yasaklı yöntemler sözleşmede açıkça tanımlanır.
• Fiziksel testlerde ekip, yetkilendirme belgesini ve acil iletişim numarasını yanında taşır.
• Kişisel veriler 6698 sayılı KVKK'ya uygun şekilde işlenir; çalışanların özel hayatına ilişkin bilgiler senaryolarda kullanılmaz.
• Toplanan kimlik bilgileri saklanmaz, rapora maskelenerek yansıtılır.
• Raporda bireyler değil, süreç ve kontrol eksiklikleri ön plana çıkarılır.

• Senaryo bazında başarı oranları ve zaman çizelgesi.
• Bildirim davranışı: Şüpheli girişimi güvenlik ekibine bildiren çalışan oranı.
• Süreç ve fiziksel kontrollerdeki eksiklikler.
• Farkındalık eğitimi ve teknik önlemler için öneriler.

Farkındalık eğitimlerinin etkisini ölçmek isteyen, çağrı merkezi veya yardım masası üzerinden yoğun işlem yapan, fiziksel erişim kontrolü kritik olan ve red team çalışmasına hazırlanan kurumlar için uygundur.