Güvenlik duvarı, EDR ve e-posta filtresi ne kadar iyi olursa olsun, saldırganın aradığı şey çoğu zaman tek bir tıklamadır. Verizon'un her yıl yayımladığı Veri İhlali Araştırmaları Raporu (DBIR), ihlallerin önemli bir bölümünde insan unsurunun rol oynadığını yıllardır tutarlı biçimde gösteriyor. 2026'da tablo daha da zorlaştı: yapay zekâ ile yazılan oltalama e-postaları artık yazım hatası içermiyor, kurumun kendi dilini taklit ediyor ve sesli deepfake aramalarla destekleniyor. Bu yazıda kurumsal siber güvenlik eğitimini bir kerelik bir sunumdan ölçülebilir bir programa dönüştürmenin yolunu anlatıyoruz.
Kısa cevap
Etkili bir farkındalık programı; kısa ve sık eğitim modülleri, gerçekçi oltalama simülasyonları, rol bazlı içerik (yönetici, finans, BT, yazılım) ve ölçülebilir hedeflerden oluşur. Başarının ölçüsü tıklama oranının düşmesi kadar bildirme oranının artmasıdır.
Neden çalışanlar hedef?
Bir sunucudaki açığı bulmak zaman ve beceri ister; bir çalışana inandırıcı bir e-posta göndermek ise ucuz ve ölçeklenebilirdir. En sık karşılaştığımız senaryolar:
- Kimlik bilgisi toplama: Microsoft 365 veya VPN giriş sayfasının birebir kopyası. MFA kodu da gerçek zamanlı olarak çalınabilir (AitM saldırıları).
- Sahte fatura ve CEO dolandırıcılığı (BEC): Finans ekibine "acil ödeme" talimatı. Son dönemde yöneticinin sesi yapay zekâ ile taklit edilerek telefonla teyit de veriliyor.
- Kötü amaçlı ekler ve QR kodları: Klasik eklerin yanında, e-posta filtrelerini atlatmak için QR kodlu oltalama ("quishing") yaygınlaştı.
- MFA yorgunluğu: Kullanıcıya art arda onay bildirimi gönderip birinin "onayla"ya basmasını beklemek.
- Yardım masası sosyal mühendisliği: Saldırgan çalışan gibi arayıp parola veya MFA sıfırlama talep eder.
Etkili bir siber güvenlik eğitim programının bileşenleri
1. Temel farkındalık (tüm çalışanlar)
Oltalamayı tanıma, parola yöneticisi ve MFA kullanımı, güvenli uzaktan çalışma, kişisel veri paylaşımı ve KVKK, şüpheli durumda kime ve nasıl bildirileceği. Yıllık tek bir uzun sunum yerine ayda 5–10 dakikalık modüller çok daha kalıcıdır.
2. Rol bazlı eğitim
- Yöneticiler: Hedefli oltalama (whaling), deepfake, kriz anında karar alma. Masa başı kriz tatbikatıyla desteklenmeli.
- Finans ve satın alma: BEC, IBAN değişikliği talepleri, iki kanallı teyit kuralı.
- İnsan kaynakları: Sahte CV ekleri, kişisel veri talepleri.
- Yazılım ekipleri: Güvenli kodlama, sır yönetimi, açık kaynak paket riski.
- BT ve yardım masası: Kimlik doğrulama prosedürleri, ayrıcalıklı hesap güvenliği.
3. Oltalama simülasyonu
Eğitimin işe yarayıp yaramadığını görmenin tek yolu ölçmektir. İyi bir simülasyon programı:
- Kurumun gerçekten karşılaştığı tehditleri taklit eder (kargo bildirimi, e-imza talebi, İK duyurusu, fatura)
- Zorluk seviyesini kademeli artırır ve senaryoları her turda değiştirir
- Tıklayan kişiyi cezalandırmaz; anında kısa bir "öğrenme anı" sayfasına yönlendirir
- Bireysel değil, birim ve trend bazında raporlanır
- Çalışma ilişkileri ve KVKK açısından önceden yönetim ve gerekirse çalışan temsilcileriyle paylaşılan bir politikaya dayanır
Başarı nasıl ölçülür?
| Gösterge | Ne anlatır? | Hedef eğilim |
|---|---|---|
| Tıklama oranı | Simülasyondaki bağlantıya tıklayanların payı | Azalmalı |
| Kimlik bilgisi girme oranı | Sahte sayfaya parola girenlerin payı | Azalmalı (en kritik gösterge) |
| Bildirme oranı | Şüpheli e-postayı güvenlik ekibine bildirenlerin payı | Artmalı |
| İlk bildirim süresi | Kampanyadan sonra ilk bildirimin geldiği dakika | Kısalmalı |
| Eğitim tamamlama oranı | Modülleri bitiren çalışan oranı | %90+ |
Gerçek bir saldırıda tek bir çalışanın 3 dakikada yaptığı bildirim, SOC ekibine aynı e-postayı tüm kutulardan silme fırsatı verir. Bu yüzden bildirme kültürü tıklama oranından bile önemlidir.
Eğitim ne sıklıkla tekrarlanmalı?
- İşe girişte oryantasyonun parçası olarak
- Aylık kısa modüller ve üç ayda bir oltalama simülasyonu
- Yılda bir kapsamlı yenileme ve değerlendirme
- Kurumu hedef alan yeni bir kampanya görüldüğünde anlık bilgilendirme
ONGSEC Akademi ile kurumsal eğitim
ONGSEC Akademi; tüm çalışanlara yönelik farkındalık eğitimleri, BT ve güvenlik ekiplerine yönelik teknik siber güvenlik eğitimleri (sızma testi, SOC analistliği, adli bilişim) ve sistem ve ağ eğitimleri sunar. Eğitimlerimizi sahada sızma testi ve olay müdahale yapan uzmanlarımız verir; anlatılan örnekler gerçek vakalardan (anonimleştirilerek) derlenir. Oltalama simülasyonu ve sosyal mühendislik testleri ile programın etkisini ölçüyor, yönetim için trend raporları hazırlıyoruz.
Konuya genel bir giriş için önceki yazımız: Siber Güvenlik Farkındalık Eğitimleri.
Sık sorulan sorular
Oltalama simülasyonu yasal mı?
Kurumun kendi çalışanlarına, yönetimin onayıyla ve önceden belirlenmiş bir politika çerçevesinde yapılan simülasyonlar yaygın ve meşru bir uygulamadır. Toplanan verinin kapsamı KVKK açısından sınırlı tutulmalı, sonuçlar cezalandırma için değil eğitim için kullanılmalıdır.
Uzaktan (çevrim içi) eğitim yeterli mi?
Temel farkındalık için çevrim içi kısa modüller verimlidir. Yöneticiler, finans ve BT ekipleri için yüz yüze, senaryo bazlı atölyeler ve tatbikatlar çok daha etkilidir.
Tıklama oranı ne olmalı?
Evrensel bir hedef yoktur; senaryonun zorluğuna bağlıdır. Önemli olan zaman içindeki eğilimdir: tıklama ve kimlik bilgisi girme oranları düşerken bildirme oranının yükselmesi.