Phishing testleri, sahte e-postalarla çalışanların link tıklama, ek açma veya bilgi paylaşma tepkilerini ölçer; gönderen adresi spoofing’i, benzer domain kullanımı (homograph attack) ve kişiselleştirilmiş içerik (spear-phishing) senaryoya dahil edilir. Vishing (voice phishing), telefonla sahte IT desteği veya yönetici kimliğiyle bilgi alma denemeleridir; ses tonu, aciliyet dili ve teknik jargon kullanımı inandırıcılığı artırır. Smishing, SMS üzerinden sahte link veya kod talebi ile çalışır; özellikle mobil cihaz yoğunluklu ekiplerde etkilidir. Pretexting, önceden hazırlanmış sahte kimlik/senaryo ile (teknik servis, denetçi, yeni çalışan) fiziksel veya dijital erişim denemesidir. Başarı kriterleri çok boyutludur: “tıklama oranı”, “bilgi giriş oranı”, “raporlama oranı” ve “zaman damgası” (ilk tepki süresi); bu metrikler çeyreklik trend analizleriyle izlenir.

Fiziksel testler, kurumun fiziksel güvenlik kontrollerini ve çalışanların erişim prosedürlerine uyumunu sınar. Tailgating testinde, test uzmanı yetkili bir kişinin ardından izinsiz giriş yapmaya çalışır; çalışanların “tek kişi tek kart” kuralına uyumu ve nazikçe sorgulama eğilimi ölçülür. Impersonation senaryolarında, sahte teknik servis, kurye veya denetçi kimliği ile resepsiyon, güvenlik noktası veya ofis alanlarına erişim denemesi yapılır. Planlama aşamasında, hedef lokasyonun fiziksel düzeni, güvenlik personeli sayısı ve acil çıkış rotaları haritalanır; test sırasında “anında durdur” kodu ve yetkili gözlemci bulundurulur. Tüm senaryolar, çalışanlara zarar vermeyecek, itibar zedelemeyecek ve operasyonel kesinti yaratmayacak şekilde kurgulanır; test sonrası debriefing ile öğrenme fırsatı sunulur. Bu ihtiyatlı yaklaşım, fiziksel testlerin değerini korurken yasal ve etik riskleri minimize eder.