Çalışan güvenlik eğitimi bütçesi her yıl onaylanır, katılım listeleri arşivlenir ve yönetime “personelin neredeyse tamamı eğitimi tamamladı” diye rapor edilir. Üç ay sonra satın alma biriminden bir uzman, tedarikçi hesap numarası değişikliği bildiren bir e-postayı doğrulamadan işleme alır; ödeme sahte bir hesaba gider. Eğitim yapılmıştır, tamamlanma oranı yüksektir, davranış değişmemiştir.

Bu tablonun sebebi eğitimin işe yaramaması değil, eğitimin ölçülmemesidir. Katılım bir lojistik göstergesidir; savunma göstergesi değildir. Aşağıda, farkındalık programının kurumun tespit ve yanıt kabiliyetine gerçekten katkı verip vermediğini gösteren metrikleri, bu verilerin nasıl toplanacağını ve hangi değişimin anlamlı sayılacağını bulacaksınız.

Tamamlama oranı neden bir güvenlik metriği değildir

Tamamlama, izleme ve sınav puanı gibi göstergeler “eğitim yapıldı mı” sorusunu yanıtlar. Saldırgan ise bambaşka bir soru sorar: “Bu kişi baskı altında, mesai sonunda, tanıdık görünen bir istekle karşılaştığında ne yapıyor?” İki soru arasındaki boşluk, çoğu programın kör noktasıdır.

Ayırt etmesi kolaydır. Bir metrik, kişinin sistemde harcadığı süreyi ölçüyorsa katılım metriğidir; kişinin gerçek bir uyaranla karşılaştığındaki tepkisini ölçüyorsa davranış metriğidir. Yönetime yalnızca birincisi sunulduğunda, bütçe her yıl aynı gerekçeyle savunulmak zorunda kalır.

• Katılım metrikleri: tamamlama yüzdesi, modülde geçirilen süre, sınav puanı, sertifika sayısı
• Davranış metrikleri: kimlik bilgisi girme oranı, şüpheli e-posta bildirim oranı, ilk bildirim süresi
• Sonuç metrikleri: kullanıcı kaynaklı olay sayısı, bu olaylarda ortalama tespit süresi (MTTD)

Ölçümün başlangıç çizgisi nasıl kurulur

Başlangıç çizgisi (baseline) olmadan hiçbir iyileşme iddiası doğrulanamaz. Bu nedenle kurumsal siber güvenlik danışmanlığı süreçlerinde ölçüm tasarımı, eğitim içeriğinin seçiminden önce gelir: önce neyin ölçüleceğine ve hangi veriyle karşılaştırılacağına karar verilir, sonra müfredat yazılır.

Pratikte doğru sıra şudur: eğitim başlamadan önce, duyurusuz bir oltalama simülasyonu yapılır. Bu ilk kampanya cezalandırma amacı taşımaz; tek işlevi referans üretmektir. Aynı zorluk seviyesindeki senaryolar üç ve altı ay sonra tekrarlanır. Şablon her seferinde değişir, ölçüt sabit kalır.

Oltalama simülasyonunda izlenecek dört oran

Tek başına tıklama oranına bakmak, en sık yapılan hatadır. Tıklamayan ama olayı kimseye bildirmeyen bir kullanıcı, saldırganın işini kolaylaştırır: kampanya sessizce devam eder.

• Tıklama oranı: bağlantıya tıklayanların yüzdesi. Kampanyanın zorluğuna göre değişir, tek başına yorumlanmaz.
• Kimlik bilgisi girme oranı: sahte sayfaya kullanıcı adı ve parola girenlerin yüzdesi. Gerçek riskin en yakın göstergesidir.
• Bildirim oranı: e-postayı şüpheli olarak raporlayanların yüzdesi. Programın asıl hedef aldığı davranış budur.
• Dayanıklılık oranı: bildirim oranının tıklama oranına bölümü. Bu oran birin altındayken kurum, saldırıyı kendi personelinden öğrenemiyor demektir.
• Tekrarlayan kullanıcı oranı: ardışık kampanyaların hepsinde tuzağa düşenlerin payı. Bu grup genel eğitimle değil, birebir çalışmayla ele alınır.

Bildirim süresi: güvenlik operasyonlarının asıl beklediği veri

Bir oltalama kampanyası dakikalar içinde yayılır. Bu yüzden kaç kişinin bildirdiğinden çok, ilk bildirimin ne kadar sürede geldiği önemlidir. İlk e-postanın teslim edildiği an ile ilk kullanıcı bildirimi arasındaki süre, kurumun insan katmanındaki tespit gecikmesidir ve doğrudan MTTD (ortalama tespit süresi) hesabına girer.

Bu metriğin işe yaraması için bildirim yolunun tek tuşluk olması gerekir. Kullanıcıdan e-postayı ek olarak iletmesini, bilet açmasını ya da telefonla aramasını isteyen bir süreç, ölçtüğünüz sürenin büyük bölümünü kendisi üretir. Bildirim geldikten sonra güvenlik ekibinin aynı iletiyi tüm posta kutularından toplama süresi de MTTR (ortalama yanıt süresi) tarafında ayrıca izlenmelidir.

Ekran başındaki testlerin ötesi: sesli ve fiziksel kanallar

Saldırgan yalnızca e-posta kullanmaz. MITRE ATT&CK çerçevesinde ilk erişim taktiği altında toplanan tekniklerin önemli bölümü, e-posta dışındaki kanallardan gelir. Farkındalık ölçümü bu kanalları kapsamıyorsa, program gerçek saldırı yüzeyinin sadece bir dilimini test ediyor demektir.

• Telefonla sosyal mühendislik: yardım masasını arayıp parola sıfırlatma denemesi; ölçüt, kimlik doğrulama adımının atlanma oranıdır.
• Çok faktörlü doğrulama yorgunluğu: kullanıcıya arka arkaya onay bildirimi gönderilmesi; ölçüt, onaylayanların ve durumu bildirenlerin oranıdır.
• Fiziksel giriş denemesi: turnikeden birinin peşine takılarak geçme; ölçüt, personelin refakatsiz kişiyi sorgulama oranıdır.
• Taşınabilir medya testi: ortak alanlara bırakılan bellek aygıtlarının takılma ve bildirilme oranı.

Rol bazlı segmentasyon ve metrik karnesi

Kurum ortalaması yanıltıcıdır. Beş yüz kişilik bir şirkette genel bildirim oranı iyi görünürken, ödeme yetkisi olan on iki kişilik satın alma ekibi hiç bildirim yapmıyor olabilir. Metrikler; departman, yetki seviyesi ve veri erişimi kırılımında raporlanmalıdır. Kişi bazlı teşhir yerine grup bazlı raporlama, hem KVKK açısından ölçülülük ilkesine uygun kalmayı hem de suçlama kültüründen kaçınmayı sağlar.

Eğitim metriklerini bağımsız bir tatbikatla doğrulamak

Simülasyon platformları kendi kampanyalarını ölçer. Bu ölçüm, personelin haber verilmemiş, gerçekçi ve çok kanallı bir saldırı karşısında nasıl davranacağını garanti etmez. Bağımsız doğrulama, iyi bir programın son halkasıdır.

Gerçek saldırganların taktik, teknik ve prosedürlerini (TTP) taklit eden, iki ila altı hafta süren bir red team hizmetiyle üretilen saldırı zinciri raporu, tam olarak bu boşluğu kapatır: hangi çalışanın hangi bahaneye açıldığı, bildirimin gelip gelmediği, geldiyse güvenlik ekibinin bunu ne kadar sürede olaya dönüştürdüğü adım adım görülür. Bu tatbikatın çıktısı, farkındalık metriklerinin sahada karşılığı olup olmadığını gösteren tek kanıttır.

Doksan günlük ölçüm programı nasıl kurulur

1. İlk hafta: ölçülecek metrikleri, veri kaynaklarını ve raporlama kırılımlarını yazılı olarak sabitleyin; ölçümün amacının değerlendirme değil iyileştirme olduğunu duyurun.
2. İkinci hafta: bildirim eklentisini tüm posta istemcilerine dağıtın ve bildirimlerin güvenlik ekibine düşeceği kuyruğu test edin.
3. Üçüncü hafta: duyurusuz başlangıç kampanyasını yürütün; tıklama, kimlik bilgisi girme, bildirim ve ilk bildirim süresi verilerini kaydedin.
4. Dördüncü ve altıncı hafta arası: rol bazlı eğitim modüllerini yayınlayın; ödeme, İK ve ayrıcalıklı hesap sahibi gruplara ayrı içerik verin.
5. Yedinci hafta: sesli sosyal mühendislik ve fiziksel giriş testlerini küçük ölçekte uygulayın.
6. Onuncu hafta: farklı bir şablonla ikinci kampanyayı yapın ve başlangıç çizgisiyle karşılaştırın.
7. On ikinci hafta: iki katmanlı rapor hazırlayın; yöneticiye eğilim ve risk kırılımı, güvenlik ekibine senaryo bazlı ham veri sunun.

Ölçüm kurgusunda sık yapılan hatalar

• Aynı şablonu tekrar kullanmak: personel şablonu tanır, oranlar yapay biçimde iyileşir.
• Kampanya tarihini önceden duyurmak: ölçüm, gerçek koşulları değil bekleyiş halini kaydeder.
• Tuzağa düşenleri disiplin sürecine sokmak: bildirim oranı düşer, olaylar gizlenmeye başlar.
• Yalnızca tıklamayı raporlamak: bildirim davranışı görünmez kaldığı için program kendi hedefini ölçemez.
• Metrikleri güvenlik operasyonlarından ayrı tutmak: eğitim verisi olay kayıtlarıyla eşleştirilmediğinde iyileşmenin savunmaya katkısı gösterilemez.

Sık sorulan sorular

Oltalama simülasyonu ne sıklıkla yapılmalı?

Üç ayda bir tekrarlanan kampanyalar, hem eğilimi görmeye yetecek veri üretir hem de personelde test yorgunluğu yaratmaz. Kampanyalar arasında zorluk seviyesi karşılaştırılabilir tutulmalı, aksi halde oranlardaki değişim eğitimin değil senaryonun sonucu olur.

Tıklama oranı sıfıra inmeli mi?

Hayır. Yeterince gerçekçi bir senaryoda tıklama oranı hiçbir zaman sıfırlanmaz; sıfıra yakın sonuçlar genellikle senaryonun kolay olduğunu gösterir. Asıl hedef, bildirim oranını tıklama oranının üzerine çıkarmak ve kimlik bilgisi girme oranını düşürmektir.

Çalışan güvenlik eğitimi verilerini kişi bazında saklamak KVKK açısından sorun yaratır mı?

Ölçüm amacı meşrudur ancak veri işleme ölçülü olmalıdır. Kampanya sonuçları kişi bazında işlenecekse saklama süresi sınırlandırılmalı, raporlama departman kırılımında yapılmalı ve çalışanlar ölçümün amacı hakkında önceden aydınlatılmalıdır.

Küçük bir kurumda bu metrikler anlamlı olur mu?

Yüz kişinin altındaki kurumlarda yüzdeler dalgalanır; bu durumda oran yerine mutlak sayı ve süre metrikleri öne çıkarılmalıdır. İlk bildirim süresi ve tekrarlayan kullanıcı sayısı, küçük ölçekte de güvenilir biçimde yorumlanabilir.

Eğitim metrikleri ISO 27001 denetiminde kullanılabilir mi?

Evet. ISO 27001, farkındalık faaliyetlerinin planlanmasını ve etkinliğinin değerlendirilmesini bekler; davranış metrikleri bu etkinlik kanıtının en güçlü biçimidir. Katılım listeleri tek başına sunulduğunda denetçi çoğu zaman ek kanıt talep eder.

Sonuç

Farkındalık programının değeri, kaç kişinin eğitimi izlediğiyle değil, gerçek bir saldırı denemesinde kaç kişinin doğru tepkiyi ne kadar hızlı verdiğiyle ölçülür. Başlangıç çizgisi kuran, bildirim süresini izleyen, sonuçları rol bazında ayrıştıran ve bulguları bağımsız bir tatbikatla doğrulayan bir kurum, eğitim bütçesini savunmak için artık katılım listesine ihtiyaç duymaz; elinde savunmanın kendisine ait rakamlar vardır.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.