Bütçeden kesilen yarım

Bir kullanıcı şüpheli bir e-postayı okuyor, duraksıyor ve farkındalık programının öğrettiği düğmeye basıyor. O an, programın ya tuttuğu ya da sessizce durduğu andır, ve eğitimin parasını ödeyen satın alma kaleminin dışında kalır. Bildirmeyi öğretmek, kullanıcı başına satın alınabilen bir beceridir. Bildirileni karşılamak ise bir nöbet listesi, adı yazılı bir sahip ve bir geri dönüştür. İmzadan önce sorulacak soru şu, kurumunuzda bu üçü kime verildi.

Bir kontrol, iki yarım

Farkındalık programı eğitim olarak satılıyor ve eğitim olarak ölçülüyor, ama kullanıcıda bitmiyor. Eğitilmiş kullanıcı güvenlik üretmez. Eğitilmiş kullanıcı bir mesaj üretir. Satın aldığınız her eğitim saati, bildirim düğmesinin işaret ettiği adrese düşen mesaj sayısını artırır, ve bu da o adresi kontrolün parçası hâline getirir.

İki yarım arasındaki denge de kaydı. Farkındalık müfredatı yirmi yıl boyunca yüzeydeki işaretleri öğretti, bozuk dilbilgisi, tuhaf hitap, makine çevirisi gibi okunan cümle. Üretilen metin bu işaretleri kaldırıyor, ve hepsini bütün dillerde aynı anda kaldırıyor. Tespit işini koruyor, ipuçlarını kaybediyor. Bildirim ise iş kazanıyor, çünkü kullanıcının elinde kalan şey bir şeyin ters olduğu hissidir, ve bir his ancak gidecek bir adresi varsa işe yarar.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi bu gerekliliği kurumunuzu kimlik avına karşı savunmak rehberine yazıyor. Bildirim sürecinin açık, basit ve hızlı olup olmadığını soruyor, ve kurumlara hangi aksiyonun alındığı konusunda hızlı geri bildirim vermelerini, kullanıcının katkısının bir fark yarattığını görmesini sağlamalarını söylüyor. Bu bir nezaket kuralı değil. Kullanıcının, parasını ödediğiniz davranışı sürdürebilmesi için ihtiyaç duyduğu girdi.

Lain, Kostiainen ve Capkun bunu ETH Zürih'te 15 ay boyunca 14.000'den fazla çalışanla ölçtü ve IEEE Security and Privacy 2022 bildirisinde yayımladı. Bildirim sonrası olumlu geri bildirim alan çalışanlar, almayanlardan daha fazla bildirim yaptı, ve yazarlar bu farkı istatistiksel olarak anlamlı kaydediyor. 15 ayın tamamında bildirim yorgunluğu görülmedi, bildirim kolay kaldığı sürece. Düğmeye iki kez basıp hiçbir karşılık almayan kullanıcı da bir şey öğrenmiştir, ve bu, faturadaki dersin tersidir.

İkinci yarım neden kesiliyor

İki yarımın satın alma formundaki şekli farklı, ve bütçe turundan hangisinin sağ çıkacağını belirleyen bu. Eğitim, kullanıcı başına lisans, bir içerik kütüphanesi, ve eğitimin yapıldığına dair kanıt isteyen denetçiye uzatacağınız bir tamamlama raporu. Kuyruk ise adı yazılı bir sahip, bir cevap süresi, ve birinin salı sabahından on beş dakika. Satın alma bir lisans için sipariş açabilir. Nöbet listesi için elinde araç yoktur, dolayısıyla nöbet, mevcut ekibin soğuracağı bir şeye dönüşür.

İş yükü argümanı veriye dayanmıyor. ETH Zürih çalışmasında bildirim düğmesi 21.000'den fazla çalışana ulaştı ve simülasyon dışı 7.191 bildirim topladı. Otomatik triyaj bunların büyük bölümünü eledi, ve günde yaklaşık 1,5 e-posta bir yöneticinin kararına kaldı. Aynı çalışma ortalama bildirim doğruluğunu yüzde 68 olarak veriyor, yani gelenin yaklaşık üçte biri tehdit değil. Önünde filtre olmayan ortak bir posta kutusu, kuyruğun terk edilme sebebidir.

Düşen tıklama oranı kanıt değil

Tıklama oranı iki şeyin fonksiyonudur, hedef kitle ve yem, ve platform panosu bunlardan sadece birini bilerek oynatır. Bir sonraki simülasyonu biraz daha bariz yapın, çizgi aşağı iner, ve yönetim kuruluna götürdüğünüz grafik sahici bir iyileşmenin üreteceği grafiğe benzer. Üretilen yemler bu sorunu keskinleştiriyor. Her kampanya bir şablon kütüphanesinden seçilmiyor da yazılıyorsa, ardışık iki kampanya aynı ölçüm aracı değildir, ve tıklama oranları arasındaki fark, kullanıcılarınızın durumu kadar yazının zorluğunu da taşır.

Yemin etkisi ölçüldü. UC San Diego Health'te yürütülen ve on simüle kampanyanın 19.500'den fazla çalışana gönderildiği 8 aylık randomize kontrollü deney IEEE Security and Privacy 2025 bildirisinde yayımlandı. Sıradan yemlerin kullanıcıların yüzde 1 ila 2'sinden tıklama aldığını, başka yemlerin ise yüzde 30'un üzerinde başarısızlık oranı ürettiğini buldu, ve yazarlar bunun eğitime atfedilebilecek kazanımı kat kat aştığını yazıyor. Yazarların, elinde öncesi ve sonrası grafiği tutan herkese talimatı şu, o grafiği hiç eğitim almamış bir kontrol grubuna karşı okuyun.

Bu iki itiraza da dayanan iki ölçüt var, ve ikisi de ikinci yarıma ait. Bildirim oranı, kampanyayı alanların düğmeye basan kısmıdır, ve sadece kullanıcılar basmanın bir sonuç doğurduğuna inandığında yükselir. Bildirim süresi, kampanyanın kimse haber vermeden posta kutularında ne kadar beklediğidir, ve kalan kopyaların zamanında çekilip çekilemeyeceğini bu belirler. ETH Zürih çalışmasında bildirimlerin yaklaşık yüzde 10'u beş dakika içinde, yüzde 20'si on beş dakika içinde, yüzde 30 ila 40'ı yarım saat içinde geldi. NCSC aynı kaymayı istiyor, bildirimleri tıklamaların yanında saymak. Kendi simülasyonunuzdan ertesi öğleden sonraya kadar kimse haber vermiyorsa, bu cümle düğme ve kuyruk hakkındadır, kullanıcılarınız hakkında değil.

Simülasyon ancak kullanıcının okuduğu dilde ölçer

Hiçbir şeyi iyileştirmeden gurur verici bir tıklama oranı üretmenin bir yolu daha var, ve yanlışlıkla yapılması daha kolay olanı bu. Simülasyonu, ofisin çalışmadığı bir dilde gönderin.

Hasegawa, Yamashita, Akiyama ve Mori, SOUPS 2021 için Almanya, Güney Kore ve Japonya'da anadili İngilizce olmayan 862 kişiyle anket yaptı. Katılımcıların, özellikle İngilizcesine güvenmeyenlerin, İngilizce e-postaları dikkatle incelemeden görmezden gelme eğiliminin kendi dillerindeki e-postalara kıyasla daha yüksek olduğunu buldular. E-posta atlandığı için tıklanmaması ile kullanıcı okuyup karar verdiği için tıklanmaması panoda aynı olaydır, binada iki farklı olay.

Saldırganın böyle bir sorunu yok. Türkçe çalışan bir ofise yönelen kampanya Türkçe gelir, ve artık akıcı bir Türkçeyle gelir. Makine çevirisi gibi okunan bir e-posta, hiç eğitim almadan da işleyen az sayıdaki ipucundan biriydi, ve İngilizce dışında, İngilizcenin içinde olduğundan daha fazla ağırlık taşıyordu. Üretilen metin bu ipucunu alıp götürüyor ve okuyucunun elinde altı boş bir şüphe bırakıyor. O ofiste sadece İngilizce simülasyon koşturursanız, okuduğunu anlama becerisi ölçmüş ve sonucu farkındalık başlığı altına koymuş olursunuz.

Masanın dilinde var olması gereken dört ayrı şey var, ve bir platform bunların bir kısmını dile uyarlayıp gerisini bırakabilir. Simülasyon şablonları, başarısızlıktan sonra atanan eğitim modülü, düğmenin üzerindeki ifade, ve kullanıcının aldığı cevap.

İki yarımı ayıran beş soru

Bunları karşınızdaki platforma sorun.

• Bir bildirim nereye düşüyor, o adresin sahibi adıyla kim, ve nöbet listesine hangi cevap süresi yazılı?
• Bir bildirimi insan görmeden önce otomatik olarak ne çalışıyor, ve zararsız çıkan kısma ne oluyor?
• Bildirimi yapan kullanıcı bir cevap alıyor mu, ve bu cevabı platform mu üretiyor?
• Bir bildirim canlı bir kampanyayı tespit ettiğinde, aynı mesaj ulaştığı diğer posta kutularından çekilebiliyor mu, ve bu hangi konsoldan yapılıyor?
• Platform bildirim oranını ve bildirim süresini departman kırılımında raporlayabiliyor mu, yoksa sadece tıklama mı sayıyor?

KnowBe4, Proofpoint ve Hoxhunt, kullanıcının bir e-postayı bildirmesini sağlayan bir düğmeyle geliyor. Yukarıdaki sorular, o düğmenin neye bağlandığı hakkında.

Bu, portföyün neresinde duruyor

Portföyün insan katmanı alanında bir ürün bulunuyor, BeamSec. PhishPro simülasyonu gönderiyor, Academy başarısızlığın çıktığı konuda eğitim atıyor, PhishTrace ise ikinci yarım, bildirimin bir sahip ve bir cevapla birlikte düştüğü kuyruk. Eğitim ve simülasyon içeriği İngilizce ve Türkçe yayımlanıyor, ve yukarıdaki dil testinin bugün hangi sınırda geçilebileceğini bu belirliyor.