Security awareness: bildirim oranını ölçün, tıklama oranını değil
Neredeyse her farkındalık programı tek bir sayıya bakar: sahte e-postaya kaç kişi tıklıyor. O sayı düşer, yüzde beş civarında sabitlenir ve sonrasında hiçbir şey söylemez. Bu yazı, hareket etmeye devam eden sayı hakkında.
Tıklama oranı, tatbikatınızın ne kadar iyi olduğunu ölçer; kurumunuzun ne kadar dayanıklı olduğunu değil. Yüzde birkaçlık bir tabana iner ve başka ne yaparsanız yapın orada kalır.
Bildirim oranı başka bir şeyi ölçer: kaç kişi şüpheli bir mesajı iletiyor ve ne kadar hızlı. O sayı, iş gerçek olduğunda ne kadar vaktiniz olduğunu belirler.
İsim listesiyle biten bir tatbikat ters teper. Yanılmaktan korkan kimse bir şey bildirmez; o zaman da tam olarak yöneldiğiniz sinyali kaybedersiniz.
Nedir, ne değildir
Güvenlik farkındalığı, herkesin aralık ayında alelacele geçtiği kırk dakikalık bir e-öğrenme değildir. Genellikle bu biçimde satın alınır ve bu yüzden de sık sık bir formalite gibi yaşanır.
Asıl mesele daha dar ve daha somut: biri oturmayan bir mesajı fark ediyor mu ve onunla ne yapacağını biliyor mu. Bu ikinci kısım neredeyse hep unutulur. Fark eden ama nereye götüreceğini bilmeyen kişi hiçbir şey yapmaz; sizin tarafınızdan bakıldığında bu, hiç fark etmemiş biriyle aynı görünür.
Konu ayrıca yalnızca oltalamadan geniştir: veriyle ne yaptığınız, telefonda neyi onaylayıp neyi onaylamadığınız, biri dizüstü bilgisayarını kaybettiğinde ne olduğu. Ama başlangıç noktası oltalamadır, çünkü çoğu şey oradan girer.
Tıklama oranı neden yanlış sayı
Neredeyse her program tıklama oranını raporlar ve ilk yıl bu iyi görünür: yüzde yirmiden sekize, sonra beşe. Ondan sonra bir şey olmaz.
Bu, dayanıklılıkta değil tatbikatta bir plato. Sayı size esasen sahte e-postanızın ne kadar fark edilir olduğunu söyler. Zorlaştırın, yüzde yeniden yükselir; kolaylaştırın, düşer. Kendi test tasarımınızı ölçüyorsunuz.
Altında rahatsız edici bir varsayım da var: sıfırın ulaşılabilir olduğu. Değil. Günde elli fatura işleyen biri er ya da geç birine tıklayacaktır; bunun hiç olmayacağına dayanan bir savunma savunma değil, umuttur.
Bildirim oranı ise hareket eden bir şeyi ölçer. Alıcıların kaçı mesajı iletiyor ve bu ne kadar sürüyor. Bu sayı, ilk tıklama ile birinin müdahale ettiği an arasında ne kadar vakit olduğunu söyler; o vakit de bir olay ile bir sabah arasındaki tüm farktır.
İkisi ayrıca tıklama oranının gösteremediği bir biçimde bağlantılıdır: bildirmenin olağan olduğu bir kurumda, az önce tıklayan kişi bunu kendisi bildirir. Var olan en hızlı bildirim budur ve onu ancak ceza yoksa alırsınız.
Bir tatbikat ne yapmalı, ne yapmamalı
Bildirmek tek bir hareket olmalı. Posta istemcisinde bir düğme; akılda tutulacak bir adres ya da intranetteki bir form değil. Her ek adım bildirim kaybettirir ve vazgeçenler tam olarak tereddüt edenlerdir: yani en çok ihtiyaç duyduğunuz bildirimler.
Birinin bunlara bakması gerekir. Arkasında hiçbir şey olmayan bir bildirim düğmesi bir kez çalışır. Üç kez bildirip bir şey olup olmadığını hiç öğrenemeyen, dördüncüde bildirmez. Böyle bir program sessizce böyle söner ve bu, insanlarda görünmeden önce sayılarda görünür.
İsim listesi olmasın. Cazibesi gerçektir, çünkü raporlama bunu kolaylaştırır. Ama böyle bir listeye düşmekten korkan kişi, bir hata yapmış olabileceğini bildirmeyi bırakır; böylece programın dayandığı sinyali kaybedersiniz.
Daha sık ve daha kısa tatbikat yapın. Yılda bir kampanya kimseye bir şey öğretmez; her çeyrekte kısa bir tatbikat konuyu, sinir bozucu hale gelmeden canlı tutar.
Burada ne yaparız, ne yapmayız
Yaptığımız. Platformu kurmak ve işletmek; bizde bu Cofense: alıştırma mesajları, posta istemcisindeki bildirim düğmesi ve bir bildirimin harekete geçebilecek birine ulaşana kadar izlediği yol. O zincirin ayakta kalmasını ve yukarıdaki sayıları üretmesini sağlarız.
Yapmadığımız. Eğitim içeriği sağlayıcıya aittir, bize değil; biz bir eğitim kurumu değiliz. İnsan kaynakları politikası sizindir: tıklayan birine ne olacağına biz karar vermeyiz ve bunu sayılara bağlamamanızı ısrarla öneririz. Ayrıca kurumunuzun farkındalık açısından uyumlu olduğuna dair bir beyan vermeyiz; öyle bir şey yoktur ve bir standart farkındalık istediğinde bunu bizim sözümüz değil kendi kayıtlarınız kanıtlar.
Bu konuda aldığımız sorular
En sık tekrarlanan dördü.
Farkındalık eğitimi gerçekten işe yarıyor mu?
Kısmen, ve bu bir reddetme değil. Eğitim tıklama sayısını düşürür ama asla sıfıra indirmez; kimsenin tıklamayacağına dayanan bir kurgu er ya da geç çöker. Eğitimin yaptığı şey, birinin bunu bildirme olasılığını artırmaktır; getirisi de oradadır. Teknik tarafı ele alan oltalama yazımıza da bakın: bir tıklamadan sağ çıkan önlemler.
Ne sıklıkta tatbikat yapmalıyız?
Yılda bir büyük yerine her çeyrekte kısa. Yıllık kampanya gelip geçen bir olaydır; çeyreklik kısa bir tatbikat konuyu güncel tutar. Bu arada zorluğu da değiştirin, yoksa yalnızca insanların sizin sahte e-posta üslubunuzu tanıyıp tanımadığını ölçersiniz.
Tıklayan kişilerle konuşmalı mıyız?
Bunu önermiyoruz ve buna biz karar vermiyoruz: bu insan kaynakları politikasıdır ve sizindir. Söyleyebileceğimiz şey maliyetidir: tıklamanın sonuçları olduğu anda bildirim oranı düşer ve az önce tıklayan kişi, bildirimine en çok ihtiyaç duyduğunuz kişidir. Tekrarlayan biri, bir yaptırım değil işi hakkında bir konuşma sebebidir.
ISO 27001 veya NIS2 bunu istiyor mu?
Evet, farkındalık ikisinde de yer alır. İstedikleri şey bunun gerçekleşmesi ve kanıtlayabilmenizdir; belirli bir yüzde değil. Kanıt kendi kayıtlarınızdır; biz o kayıtları oluşturan sayıları sunarız. Kimseyi sertifikalandırmayız; bunu akredite bir belgelendirme kuruluşu yapar.
Devamını okuyun
Teknik taraf ve bunun bir standartta nereye düştüğü.
Bugün neyi ölçtüğünüze bakalım mı?
Şu anda ne döndüğünü ve hangi sayıların çıktığını anlatın. Tıklama oranına mı yoksa sizi daha ileri götüren bir şeye mi yöneldiğinizi ve ikincisini görebilmek için neyin gerektiğini söyleriz.
Gelen kutunuza pratik BT bilgisi
Yönetim, güvenlik ve çalışma alanı üzerine yeni rehberler; işi yapanlar tarafından yazılıyor. Satış dili yok, abonelikten tek tıkla çıkabilirsiniz.