İşe yarayan güvenlik farkındalığı eğitimi: kısa, düzenli ve adil

Güvenlik farkındalığı eğitimini etkili kılan nedir?

Etkili farkındalık eğitimi yalnızca bir test için bilgi kazandırmaz, günlük davranışı değiştirir. Bu da kısa ve düzenli oturumlar, gerçekçi örnekler, her role uygun içerikler ve bildirmenin açıkça teşvik edildiği bir kültürle mümkündür. Başarı ise en çok, kaç çalışanın şüpheli mesajları bildirdiğiyle ölçülür.

Bir saatlik slayt sunumundan oluşan yıllık zorunlu eğitim, listedeki bir maddenin işaretlenmesini sağlar ama akılda nadiren kalır. NIS2 kapsamındaki şirketlerde eğitimler ayrıca risk yönetimi önlemlerinin açık bir parçasıdır ve yönetim üyelerinin de bizzat eğitime katılması gerekir. Bu nedenle ayrılan zamanın gerçekten sonuç vermesi daha da önemlidir.

Yılda bir yerine kısa ve düzenli

İnsanlar kullanmadıkları bilgiyi çabuk unutur. Düzenli aralıklarla verilen kısa hatırlatmalar, iş akışını bozmadan konuyu gündemde tutar. Örneğin şu formatlar kendini kanıtlamıştır:

• Beş ila on dakikalık kısa e-öğrenme birimleri, yaklaşık ayda bir
• Ekip toplantılarında kendi gelen kutularınızdan güncel ve anonimleştirilmiş örnekler
• Fatura dolandırıcılığı veya MFA gibi tek bir konuya odaklanan kısa canlı oturumlar
• Düzensiz aralıklarla ve değişen konularla oltalama simülasyonları
• Güncel bir saldırı dalgası olduğunda intranette veya sohbet kanalında kısa uyarılar

Teknik jargon içermeyen, anlaşılır bir dil şarttır. Ayrıca eğitim yalnızca e-postayı değil, telefon, SMS ve sohbet kanallarını da kapsamalıdır.

Oltalama simülasyonlarını adil şekilde yürütün

Simüle edilmiş oltalama e-postaları, öğrenilenlerin günlük hayatta işe yarayıp yaramadığını gösterir. Kötü uygulandığında ise güveni yok eder: Kendini küçük düşürülmüş hisseden biri bir dahaki sefere hiçbir şey bildirmemeyi tercih eder. Şu temel kurallar kendini kanıtlamıştır:

• Şeffaflık: Herkes simülasyon yapıldığını bilir, yalnızca ne zaman ve hangi içerikle yapılacağını bilmez.
• Teşhir yok: Sonuçlar toplu olarak değerlendirilir, yöneticilere isim listeleri verilmez.
• Ceza değil öğrenme: Tıklayan kişi, e-postanın hangi uyarı işaretlerinden anlaşılabileceğini anlatan kısa bir açıklamayı hemen görür.
• Adil kalın: Prim veya maaş artışı gibi sahte vaatler içeren yemler ve kişileri duygusal olarak zorlayan konular kullanılmaz.
• Veri en aza indirme: Platform girilen şifreleri kaydetmez ve yalnızca gereken kadar veri tutar.

Role özel içerikler: Kim, nasıl hedef alınıyor?

Saldırganlar yöntemlerini çoğu zaman hedefledikleri kişinin rolüne göre seçer. Herkes için bir temel modül mantıklıdır; bunun üzerine bazı gruplar için ayrı odak konuları eklenmelidir:

• Finans ve muhasebe: Fatura dolandırıcılığı, değişen banka bilgileri ve CEO dolandırıcılığı. Odak: Bilinen bir numaradan geri arama ve havalelerde dört göz ilkesi.
• Resepsiyon ve ofis yönetimi: Sahte kimlikle arayanlar, randevusuz ziyaretçiler, teslimatlar ve kapıdan başkalarının arkasından girenler (tailgating). Odak: Kimliği doğrulamak, ziyaretçi sürecine uymak ve kimseyi kontrolsüz içeri almamak.
• BT ve sistem yönetimi: Şifre veya MFA sıfırlamak için gelen sahte talepler ve yönetici hesaplarına hedefli saldırılar. Odak: Destek taleplerinde kimlik doğrulama, ayrı yönetici hesapları ve oltalamaya dayanıklı MFA.
• İnsan kaynakları: Zararlı ek içeren başvurular ve maaş hesabını değiştirmek isteyen sözde çalışanlar. Odak: Belgeler ve banka bilgisi değişiklikleri için güvenli yollar.
• Yönetim: Herkese açık bilgilerle yapılan hedefli saldırılar ve adlarının CEO dolandırıcılığı için kötüye kullanılması. Odak: Yönetim için de geçerli olan net onay kuralları.

Oryantasyon: İlk iş gününden itibaren güvenlik

Yeni çalışanlar şirketteki süreçleri, muhatapları ve alışılmış iletişim tarzını henüz bilmez. Bu da onları, örneğin işe başladıktan kısa süre sonra sözde genel müdürden gelen sahte mesajlar için kolay bir hedef yapar. Oryantasyondaki kısa bir güvenlik bölümü en önemli soruları yanıtlar:

• Şüpheli bir mesajı nasıl ve nereye bildiririm?
• MFA'yı ve şifre yöneticisini nasıl kurarım?
• BT'deki muhatabım kim ve ona nasıl ulaşırım?
• Ödemeler, onaylar ve banka bilgisi değişiklikleri burada nasıl işler?
• Ziyaretçiler, giriş kartları ve ekran kilidi için hangi kurallar geçerli?

Bildirim kültürü: Bildirmek kolay ve teşvik edilen bir şey olmalı

Bir bildirim, tek bir oltalama girişiminin tüm şirket için etkisiz hale getirilebildiği andır. Bunun için bildirmek tek bir tıklamayla mümkün olmalıdır, örneğin e-posta programındaki bir bildirim düğmesiyle. Her bildirim, mesajın tehlikeli mi yoksa zararsız mı olduğuna dair kısa bir geri bildirimi hak eder.

Hatalara nasıl yaklaşıldığı da aynı derecede önemlidir. Bir tıklamadan hemen sonra haber veren kişi doğru davranmıştır ve suçlanmayı değil, takdiri hak eder. Ekibinizin bilmesi gereken uyarı işaretlerini oltalama nasıl anlaşılır yazımızda özetledik.

Başarıyı ölçmek: Yalnızca tıklama oranı değil, bildirim oranı

Birçok program yalnızca simülasyonlardaki tıklama oranına bakar. Ancak bu oran tek başına pek bir şey söylemez, çünkü büyük ölçüde e-postanın ne kadar zor olduğuna bağlıdır. Birkaç ölçütün birlikte ve birkaç ay boyunca eğilim olarak izlenmesi daha anlamlıdır:

Dört adımda başlayın

1. Hedefleri, çerçeveyi ve iletişimi yönetim, çalışan temsilciliği ve veri koruma sorumlusuyla birlikte belirleyin.
2. Basit bir bildirim yolu oluşturun ve herkese duyurun.
3. Başlangıç değeri olarak ilk bir simülasyonla ve kısa temel modüllerle başlayın.
4. Her ay küçük birimler sunun, ölçütleri üç ayda bir değerlendirin ve içerikleri uyarlayın.

Yönetimin görünür şekilde katılması önemlidir, çünkü konu her kademeyi ilgilendirir. Q-entra, siber güvenlik kapsamında konsept ve eğitimlerle, isterseniz de yönetilen güvenlik ile sürekli destek vererek eğitimin ve teknik korumanın birbirini tamamlamasına yardımcı olur.