Neden NOUSEC
NOUSEC, sosyal mühendislik riskini birden fazla saldırı kanalında ölçen ve azaltan, sonucu 0–100 arası tek bir Human Risk Score'da birleştiren bir insan riski yönetimi platformudur. Onu diğer güvenlik farkındalık platformlarından ayıran şey, her iddiasının altında yayımlanmış bir mekanizma bulunmasıdır: tamamlama, izlenen saniyelere göre sunucu tarafında doğrulanır; her modülün etkisi gerçek oltalama tıklama oranıyla korelasyon olarak raporlanır; risk skorunun her bileşeni puanlanan kişiye de görünür.
Altı iddia, altı mekanizma
Solda her platformun söylediği var. Sağda ise bizim iddiamızın altındaki, sizin de kontrol edebileceğiniz mekanizma.
“Çalışanlar eğitimlerini tamamlıyor.”
Tamamlama bir ilerleme çubuğu değil, sunucuda hesaplanan bir eşik
Bir video, tekil saniye bazında en az %90'ı izlendiğinde tamamlanmış sayılır ve bu oran sunucu tarafında hesaplanır. Tarayıcı sekmesi arka plandayken sayaç durur. Videoyu sonuna sarıp bilgisayardan kalkan birinin izlenme oranı sıfıra yakındır: tamamlama da sertifika da yoktur.
“Eğitimimiz işe yarıyor.”
Gerçek tıklama oranıyla korelasyon; n < 10 ise gösterilmez
Her modül için modülü tamamlamak ile oltalama simülasyonlarındaki gerçek tıklama oranı arasındaki Pearson korelasyonunu hesaplıyor ve yalnızca n ≥ 10 olduğunda gösteriyoruz. Eşiğin altında hiçbir şey görmezsiniz; arkasında duramayacağımız bir sayı, boş bir alandan daha kötüdür.
Örnek · n = 34
r = −0,41
n = 6
Henüz gösterilmiyor
“Kişiye özel geri bildirim veriyoruz.”
Her yanlış cevapta saldırıyı ele veren işaret gösterilir
Geri bildirim genel bir tutuma değil, ekranda saldırıyı ele veren somut ayrıntıya işaret eder.
Bizde
“‘microsft-team.com’ alan adı hatalı yazılmış; Microsoft’un gerçek alan adı microsoft.com”
Genel geçer olanı
“Şüpheli bağlantılara dikkat edin.”
“İnsan riskini puanlıyoruz.”
0–100 arası tek skor; bileşen dökümü olmadan gösterilmez
Human Risk Score her ekranda aynı değeri gösterir ve hiçbir zaman bileşenleri olmadan görünmez; kapalı kutu yoktur. Şüpheli bir mesajı bildirmek skoru iyileştirir: elini kaldıran çalışan kendi skorunu düzeltir. Maruziyet de kusur sayılmaz; kimlik bilgileri üçüncü taraf bir sızıntıda ortaya çıkan kullanıcı bunu kendisi seçmedi.
“Oltalama simülasyonu yapıyoruz.”
Sekiz kanal. Çoğu platform bir ya da ikisini test eder.
Saldırganlar kendilerini gelen kutusuyla sınırlamıyor; bizim oltalama simülasyonumuz da sınırlamıyor.
“Deepfake farkındalığı öğretiyoruz.”
Deepfake modülündeki en zor ses çifti, sahteyi kulakla ayırt edemeyeceğinizi öğretir
Öğretilen savunma algı değil, süreçtir: önceden doğrulanmış, bilinen bir numaradan geri arayarak teyit edin. Kulağınızı eğiteceğini vaat eden bir modül daha kolay satılırdı. Ama yanlış olurdu; dürüst bir eğitim yaklaşımı başlı başına bir farktır.
Öğrettiğimiz
Bilinen, önceden doğrulanmış bir numaradan teyit edin.
Öğretmediğimiz
Sahteyi kulağınızla yakalayın.
Başka hiçbir yerde olmayan bir şey
Bir çalışanın gece 11'de, tek başına, bir tarayıcı sekmesinde oynayabileceği kaçış odası
Bizde de oyunlaştırma var: puanlar, rozetler ve liderlik tabloları. Başka kimsenin sunmadığı şey bunların altındaki format. Rakiplerden biri canlı, takım halinde oynanan oturumlar düzenliyor; bunun için takvim, bir yönetici ve herkesin aynı saatte orada olması gerekiyor. Bir çalışanın kendi zamanında, tek başına açıp oynayabileceği bir oyunu ise kimse sunmuyor.
Farkı yaratan eğlence değil, format: eşzamansız, tek oyunculu, tarayıcıda çalışan ve zaten kullandığınız LMS'e SCORM olarak yüklenen bir oyun.
Demoda görün3 varyant
3 varyant
3 varyant
3 varyant
4 bulmaca
22 dk
Görev modu
28 dk
Alıştırma modu
Faaliyet gösterdiğiniz yere göre tasarlandı
Kanıt, veri konumu, dil ve faturalandırma; denetlendiğiniz hukuki ortama uygun.
Uyum kanıtı, her kurum için ayrı eşlenir
Yedi çerçeve: KVKK, ISO/IEC 27001, NIS2, BDDK, SOC 2, GDPR, ISO/IEC 27701. Bunlardan hangilerini karşılamanız gerektiği raporladığınız sektöre bağlıdır.
Sertifikaların herkese açık bir doğrulama sayfası var
Denetçi, sizden ekran görüntüsü istemeden bir sertifikayı kendisi doğrulayabilir.
Denetim kaydı SIEM'e aktarılabilir
CSV, NDJSON ya da JSON.
Politika sürümü değişince onay yeniden istenir
Onay geçmişi silinmez, korunur.
Yerel para biriminizle faturalandırma
Büyük ABD platformları yalnızca ABD doları ile faturalandırır.
GDPR'a uygun tasarım, veriler AB'de (Frankfurt)
Uç nokta ajanı yok.
Otuz dil; çeviri değil, yerelleştirme
Her dilde yalnızca metinler değil; karakter adları, şirket adları ve kültürel bağlam da değişir. Seslendirme kapsamı otuz dilin hepsinde eşit değildir.
Her tedarikçiye bu yedi soruyu sorun.
Her satır, canlı demoda doğrulayabileceğiniz bir mekanizma; yanında da piyasanın genellikle sunduğu.
| Mekanizma | NOUSEC | Genel piyasa |
|---|---|---|
| Sunucu tarafında izlenme kapsamı eşiği | Tekil saniye bazında ≥ %90 izlenme, sunucuda hesaplanır; sekme gizliyken sayaç durur | Tamamlama genellikle tarayıcı tarafından bildirilir ve LMS bunu olduğu gibi kabul eder |
| Modül bazında tıklama oranıyla korelasyon, n eşiğiyle | Her modül için Pearson r; yalnızca n ≥ 10 olduğunda gösterilir | Tamamlama oranı ve tıklama oranı ayrı raporlanır, modül bazında hiç ilişkilendirilmez |
| Eşzamansız, tek oyunculu kaçış odası | 4 bulmaca, SCORM, tek başına oynanır, planlama gerekmez; puan, rozet ve liderlik tablosuna ek olarak | Yalnızca puan, rozet ve liderlik tablosu; tek başına oynanabilen bir oyun yok |
| Skor bileşenleri çalışanın kendisine de görünür | Bileşen dökümü zorunlu, her ekranda aynı | Risk skorları genellikle yalnızca yöneticiye gösterilir, puanlanan kişiye açıklanmaz |
| Şüpheli mesajı bildirmek kendi skorunuzu iyileştirir | Tasarım gereği: elini kaldıran çalışanın riski düşer | Bildirimler kaydedilir ama genellikle bildiren kişinin durumunu iyileştirmez |
| Her cevaba ayrıntılı, kanıta dayalı geri bildirim | Her yanlış cevapta saldırıyı ele veren işaret gösterilir: “microsft-team.com hatalı yazılmış” | Genel uyarılar: “şüpheli bağlantılara dikkat edin” |
| Yerel para biriminizle faturalandırma | Fatura kendi para biriminizle kesilir | Büyük ABD platformlarında ABD doları ile faturalandırma |
Genel piyasa ve tedarikçi nitelendirmeleri, Ağustos 2026'da incelenen herkese açık tedarikçi belgelerine dayanır. Bir karşılığı tarif edilmemişse hücrede bu belirtilir.
Sorular
Bir CISO'nun ilk görüşmede sorduğu altı soru.
Kaynaklar
Yukarıdaki her şey, kaynağıyla birlikte
Eğitim sayfalarında kullandığımız düzenin aynısı; var olma sebebi, hiçbir rakibin böyle bir liste yayımlamaması. Kaynak belgelerin hepsi İngilizcedir.