Roller ve yetkiler
- kim bilgi açıklayabilir
- istisnaları kim onaylar
- yetkiler nerede belirsiz tanımlanmış
- hangi roller daha yüksek güven sorumluluğu taşıyor
Güncellendi
01 / İZİNLİ SOSYAL MÜHENDİSLİK DEĞERLENDİRMESİŞirketin güvenliği, ikna edici talep gerçek süreçle karşılaştığında sınanır
BLACKFILE; çalışanların, yüklenicilerin ve iç prosedürlerin bilgi elde etme, eylemi değiştirme veya yerleşik süreci aşma girişimlerine nasıl yanıt verdiğini kontrollü ve yazılı yetkilendirilmiş incelemelerle değerlendirir.
Bağlamı, yetkileri, iletişim kanalını, prosedürün kalitesini ve güvenli danışma yolunun erişilebilirliğini birlikte değerlendiririz.
Yazılı izin, katılımcı kapsamı, yasak eylemler ve derhal durdurma koşulları kararlaştırılmadan inceleme başlamaz.
- GÖREVİN BAĞLAMI
- TALEP TÜRÜ
- GÜVEN GÖSTERGESİ
- SÜREÇ KONTROLÜ
- ÜST DÜZEYE AKTARMA SÜRECİ
- GÜVENLİ DURDURMA
02 / İNSAN VE SÜREÇ
Tehlikeli taleplerin çoğu inandırıcı görünür
Mesaj; aciliyete, yöneticinin otoritesine, alışılmış sürece, iş bağlamına veya müşteriye yardımcı olma isteğine dayanabilir. Prosedür belirsiz, teyit zor ve güvenli danışma yolu tanımsızsa deneyimli uzman da yanlış karar verebilir.
Bu nedenle inceleme sonucu, hata yapanların yüzdesiyle sınırlı kalmamalıdır. Somut durumun neden mümkün olduğu ve hangi süreç değişikliğinin tekrar riskini azaltacağı belirlenmelidir.
İncelemenin amacı karar sistemini güçlendirmektir; çalışanı yakalamak veya herkesin önünde cezalandırmak değildir.
- Bağlam→
Talebin alışılmış iş durumuna ne ölçüde uyduğu.
- Yetkiler→
Çalışanın bu eylemi onay almadan yapmaya yetkili olup olmadığı.
- İnceleme→
Talebin bağımsız doğrulanabileceği yol bulunup bulunmadığı.
- Tırmanma
Durmak ve açıklama istemek için güvenli yolun bilinip bilinmediği.
03 / SENARYOLAR
Bilgiye erişim teknolojinin yanı sıra insan kararına bağlı olduğunda
- 01
Şirket işleme hazırlanıyor
Dış talepler artıyor; çalışanlar yeni danışmanlar, karşı taraflar ve platformlarla etkileşime giriyor.
- 02
Asistanlar hassas talimatlarla çalışıyor
Takvim, güzergahlar, belgeler, ödemeler ve kişisel iletişim bilgileri küçük bir güvenilir çalışan grubundan geçiyor.
- 03
Finansal işlemler iletişim üzerinden teyit ediliyor
Banka bilgilerinin değişmesi, acil ödeme veya olağandışı talimat ikna edici mesajla başlatılabilir.
- 04
Yükleniciler iç süreçlere erişiyor
Dış ekipler bilgi teknolojileri, finans, işe alım, iletişim veya idari işlerde yer alıyor ve güven çerçevesinin parçası oluyor.
- 05
Şüpheli e-posta veya aramalar yaşandı
Personelin tepkisinin tutarlılığı ve olay bildirim yolunun işleyişi incelenmelidir.
- 06
Şirket büyüyor veya yapısını değiştiriyor
Yeni çalışanlar, roller ve ülkeler resmî politika ile fiilî uygulama arasında geçici boşluklar yaratıyor.
İNSAN FAKTÖRÜ / SÜREÇ
Tehlikeli talepler inandırıcı görünür. Prosedürler ve konunun yetkili düzeye taşınması, bireysel dikkatten daha belirleyicidir.
04 / DEĞERLENDİRME ALANLARI02 03 04 05 06
Kararın etrafındaki tüm sistem
İletişim kanalları
- kurumsal e-posta
- sesli talepler
- mesajlaşma uygulamaları
- iç hizmetler
- yüklenici ve danışmanlarla iletişim
Güven sinyalleri
- tanıdık ad veya unvan
- aciliyet
- yöneticiye atıf
- iş bağlamının bilinmesi
- alışılmış ton ve başvuru biçimi
Kontrol prosedürleri
- bağımsız doğrulama
- ikinci kişi kontrolü ilkesi
- bilinen numaradan geri arama
- erişimlerin ayrıştırılması
- olağandışı talebin kaydedilmesi
Üst yetkiliye danışma yolu
- çalışan nereye başvuracağını biliyor mu
- işlem yaptırım korkusu olmadan durdurulabilir mi
- yardım ne kadar hızlı erişilebilir
- çalışan anlaşılır geri bildirim alıyor mu
Kurumsal bağlam
- iş yükü ve aciliyet
- personel değişimi
- uzaktan çalışma
- birden fazla dil ve ülke
- politika ile gerçek süreç arasındaki boşluk
05 / İNSAN KAYNAKLI SALDIRI YÜZEYİ HARİTASIGÖREV / 01
Risk; rol, talep, güven ve sürecin kesişiminde doğar
Aynı talep bir birimde güvenle reddedilirken başka birinde hataya yol açabilir. Harita, kontrolün işlemediği tekrarlanan koşulları gösterir; kişileri derecelendirmez.
BilgiErişimÖdemeBelgeSüreç değişikliğiAcil talimat
Kontrol işlediAçıklama gerekiyorProsedür belirsizÖnemli boşluk
Finans
Ödeme ve acil talimat en yüksek risk alanıdır: banka bilgileri bilinen kanaldan bağımsız teyit alınmadan değiştiriliyor.
- BilgiKontrol işledi
- ErişimAçıklama gerekiyor
- ÖdemeÖnemli boşluk
- BelgeKontrol işledi
- Süreç değişikliğiProsedür belirsiz
- Acil talimatÖnemli boşluk
Kırmızı yalnızca önemli süreç boşluğunu gösterir. Arayüzde çalışan adları gösterilmez. Mobil sürümde matris, açılabilir senaryolar içeren dikey rol listesine dönüşür.
06 / KONTROLLÜ SENARYO
Her inceleme izin, sınırlamalar ve derhal durdurma koşullarıyla başlar
- 01
Yazılı yetkilendirme
Yetkili müşteri, hukuki dayanaklar, birimler, ülkeler ve uygulama süresi kaydedilir.
→ - 02
Uygulama kuralları
İzin verilen kanallar ve eylemler, kapsam dışı kategoriler ve dahil edilmeyecek kişiler belirlenir.
→ - 03
Durdurma koşulları
Belirli senaryoyu veya tüm incelemeyi derhal durduracak olaylar tanımlanır.
→ - 04
Senaryo tasarımı
Senaryolar riski modeller; gerçek parola, finansal bilgi veya hassas veri elde etmeyi gerektirmez.
→ - 05
Kontrollü uygulama
İncelemenin seyri kaydedilir; sonuçlara erişim yetkili ekiple sınırlanır.
→ - 06
Değerlendirme ve iyileştirme
Sonuçlar, çalışanlar herkesin önünde küçük düşürülmeden prosedür, eğitim ve danışma kanalı değişikliklerine dönüştürülür.
SONUÇ DEĞERLENDİRMESİ / SÜRECİN İYİLEŞTİRİLMESİ
İncelemenin amacı çalışanı cezalandırmak değil, karar sistemini güçlendirmektir.
07 / SONUÇD-01 D-02 D-03 D-04 D-05 D-06
Süreç riskleri haritası ve uygulanabilir somut değişiklikler
Yönetici özeti
Çalışanları dayanaksız biçimde sıralamadan, en önemli risk koşullarının kısa açıklaması.
Rol ve senaryo haritası
Hangi yetki, kanal ve talep birleşimleri ek kontrol gerektiriyor?
İnceleme kronolojisi
Neler, hangi koşullarda incelendi ve tepki nasıl gelişti?
Kontrol matrisi
Hangi prosedürler işledi, nerede belirsizlik oluştu ve güvenli teyit yolu nerede yoktu?
Düzeltme öncelikleri
Aciliyete göre değişiklikler: derhal, kısa vadede ve sistem düzeyinde.
Tekrar inceleme planı
Değişikliklerden sonra riskin azalıp azalmadığını değerlendirecek ölçütler.
08 / MÜŞTERİLER
Tek ikna edici talebin para, veri veya kararı etkileyebildiği kuruluşlar için
- CL-01şirketler ve uluslararası gruplar
- CL-02finans ve yatırım yapıları
- CL-03Aile ofisleri
- CL-04hukuk ekipleri
- CL-05teknoloji şirketleri
- CL-06işlem veya yeni ülkeye giriş öncesindeki projeler
- CL-07yüklenici ağı bulunan kuruluşlar
- CL-08asistan ve personeli bulunan özel yapılar
09 / TİPİK SENARYOLARSE-01Birleşik örnek Teyit zinciriSE-02Birleşik örnek Karar ağacıSE-03Birleşik örnek Üst yetkiliye danışma haritası
İnceleme süreçteki nedeni nasıl ortaya çıkarır?
Banka bilgilerinin değiştirilmesi
Olağandışı finansal talimatın önceden bilinen kanaldan bağımsız teyit gerektirip gerektirmediği incelenir.
Yönetici adına talep
Otorite ve aciliyet atfının yerleşik onay prosedürünün yerine geçip geçemediği değerlendirilir.
Dış yüklenici
İş bağlamını bilen ancak belirlenmiş kimlik doğrulamasından geçmeyen tarafa çalışanın hangi bilgileri açıkladığı incelenir.
10 / PROJE FORMATI01 02En çok tercih edilen 03Birden fazla ülke
Ücret rol, kanal, senaryo ve yargı alanı sayısına bağlıdır
Temel değerlendirme
3 000 €'dan başlayan fiyatlarla
Süre inceleme kapsamına göre belirlenir
Sınırlı rol ve kanal kapsamında ilk dayanıklılık incelemesi.
Kapsam
- 1-2 kontrollü senaryo
- sınırlı rol grubu
- bir veya iki kanalın incelenmesi
- ilk süreç riskleri haritası
- kısa öneriler
Genişletilmiş inceleme
7 000-14 000 €
Süre inceleme kapsamına göre belirlenir
Risk alanları haritası ve düzeltme öncelikleriyle kapsamın tam incelemesi.
Kapsam
- birden fazla rol ve birim
- kararlaştırılmış 5-7 senaryo
- kanalların ve prosedürlerin karşılaştırılması
- İnsan kaynaklı saldırı yüzeyi haritası
- düzeltme öncelikleri
- yetkili ekiple sonuç değerlendirmesi
Uluslararası program
Özel fiyatlandırma
Kararlaştırılmış takvimle aşamalı uygulama
Değişikliklerden sonra yeniden değerlendirme içeren uluslararası yapı inceleme programı.
Kapsam
- birden fazla ülke veya şirket
- farklı diller ve süreçler
- aşamalı inceleme
- hukuk ve bilgi güvenliği ekipleriyle koordinasyon
- değişikliklerden sonra tekrar inceleme
Kesin kapsam, izin verilen senaryolar, bütçe ve tamamlanma ölçütleri inceleme öncesinde yazılı kararlaştırılır.
11 / YETKİLENDİRME
Yazılı izin ve güvenli sınırlar olmadan inceleme yapılmaz
BLACKFILE üçüncü tarafları yetkisiz biçimde test etmez, başkasının verilerini veya erişimini elde etmeye yardımcı olmaz ve çalışanların kişisel sonuçlarını yayımlamaz. Somut senaryolar ülke ve kuruluş açısından hukuki incelemeden geçer.
- müşterinin yazılı yetkisi
- kesin kapsam ve süre
- kararlaştırılmış ülkeler ve birimler
- reşit olmayanların dahil edilmemesi
- gerçek parola, kod, banka bilgisi ve kişisel belgelerin alınmaması
- zararlı ek kullanılmaması ve sistem işleyişinin bozulmaması
- baskı, tehdit, aşağılama ve ayrımcılık yapılmaması
- önceden belirlenmiş durdurma koşulları
- sonuçlara sınırlı erişim
- eğitim ve süreç iyileştirmesi; herkesin önünde cezalandırma yapılmaması
12 / İLGİLİ HİZMETLER
İnsan faktörü incelemesini güçlendiren hizmetler
SRV-01
Zafiyet analizi
Baskı faktörlerinin ve kurumsal zayıflıkların sistemli değerlendirilmesi.
Hizmeti inceleyin →SRV-02Bilgi sızıntısına müdahale
Gerçekleşmiş bilgi açıklamasının incelenmesi.
Hizmeti inceleyin →SRV-03Çevre incelemesi
Hukuka uygun görev kapsamında doğrulanabilir bağlantıların ve yakın çevrenin incelenmesi.
Hizmeti inceleyin →SRV-04Geçmiş incelemesi
Kararlaştırılan rol için biyografi, iş geçmişi ve risk faktörlerinin incelenmesi.
Hizmeti inceleyin →13 / SORULAR
İnceleme öncesinde bilinmesi gerekenler
Bu, hukuki ortama, iç politikalara ve kararlaştırılan senaryoya bağlıdır. Her durumda inceleme yetkili tarafça yazılı olarak onaylanmalı, açık sınırlar içermeli ve sonrasında uygun değerlendirme yapılmalıdır.
Hayır. Senaryolar, gerçek giriş bilgileri, banka bilgileri veya hassas bilgi elde etmeden kararı ve prosedürü sınayacak biçimde tasarlanır.
Hizmetin amacı sistem dayanıklılığını değerlendirmek ve süreçleri iyileştirmektir. Personel kararları müşterinin yetkisindedir ve uygulanabilir iş hukukuna uygun olmalıdır. Tek senaryonun sonucu bağlamından koparılmamalıdır.
Hayır. Kararlaştırılan kapsamda farklı iletişim süreçleri, roller, talimat teyidi ve üst yetkiliye danışma yolu değerlendirilebilir. Somut senaryolar müşterinin risklerine bağlıdır.
Yalnızca ilgili yetkiler, sözleşmesel dayanaklar ve inceleme kapsamına ilişkin yazılı mutabakat bulunduğunda.
Müşteri süreç riskleri haritası, öncelikli değişiklikler ve tekrar inceleme ölçütleri alır. Sonuç sistemin iyileştirilmesine dönüşmelidir.
14 / ÖN DEĞERLENDİRME
İncelenmesi gereken süreçleri açıklayın
İlk aşamada çalışan adları, e-posta adresleri, telefonlar, parolalar veya başka kişisel veriler belirtmeyin.
Gerçek bir talep sınamadan önce karar sisteminizi test edin
Endişe yaratan süreçleri açıklayın. BLACKFILE her inceleme öncesinde yetkileri, sınırları ve durdurma koşullarını kararlaştırır.