Güvenlik duvarı, uç nokta koruması ve çok faktörlü doğrulama gibi teknik önlemler ne kadar güçlü olursa olsun, saldırganların ilk hedefi çoğu zaman çalışanlardır. Kimlik avı e-postası, sahte bir telefon araması ya da yanlış bir bağlantıya tıklama, teknik savunmayı atlatabilir. Siber güvenlik farkındalık eğitimi, çalışanların bu tehditleri tanımasını ve doğru davranmasını sağlayan eğitimdir. Bu rehberde eğitimde hangi konuların işlenmesi gerektiğini, role göre içeriğin nasıl değiştiğini ve programın nasıl planlanıp ölçüleceğini anlatıyoruz.
Eğitimde hangi konular işlenmeli?
- Kimlik avı ve sahte e-postalar: Şüpheli gönderen, acele ettiren dil ve beklenmedik ek ya da bağlantıları tanımak, şüpheyi nereye bildireceğini bilmek.
- Sosyal mühendislik: Telefon, mesajlaşma ve yüz yüze yöntemlerle kandırma; “yönetici adına acil ödeme” gibi senaryolar.
- Parola ve çok faktörlü doğrulama: Güçlü ve benzersiz parolalar, parola yöneticisi kullanımı, doğrulama bildirimlerine körü körüne onay vermemek.
- Güvenli uzaktan ve hibrit çalışma: Ev ağı, herkese açık Wi-Fi, ekran paylaşımı, kurumsal cihaz ve kişisel cihaz ayrımı.
- Veri sınıflandırma ve paylaşım: Hangi bilginin kimle, hangi kanaldan paylaşılabileceği. Kişisel veriler için KVKK farkındalık eğitimi rehberimize bakın.
- Cihaz ve fiziksel güvenlik: Ekran kilidi, temiz masa, bilinmeyen USB bellekler, kayıp ve çalıntı cihaz bildirimi.
- Yapay zeka araçlarında veri paylaşımı: Gizli bilgilerin genel yapay zeka araçlarına yapıştırılmaması. Ayrıntı için Shadow AI nedir? yazımıza bakın.
- Olay bildirimi: Bir şeyin ters gittiğini fark edince kime, ne kadar hızlı haber verileceği ve bildirimin cezalandırılmayacağı güvenli bir kültür.
Role göre içerik nasıl farklılaşır?
| Hedef kitle | Temel konulara ek odak |
|---|---|
| Tüm çalışanlar | Kimlik avı, parola, güvenli çalışma, olay bildirimi |
| Yöneticiler ve üst yönetim | Hedefli kimlik avı, yönetici adına ödeme dolandırıcılığı, risk ve karar sorumluluğu |
| Finans ve muhasebe | Sahte fatura ve IBAN değişikliği talepleri, ödeme onay süreci |
| İnsan kaynakları | Özlük verisi, sahte CV ekleri, kişisel veri paylaşımı |
| BT ve yazılım | Erişim yetkileri, yama yönetimi, güvenli geliştirme |
Program nasıl planlanır ve ölçülür?
Tek seferlik bir eğitim kısa sürede unutulur. Etkili programlar bir döngü olarak kurgulanır: ihtiyacı belirleme, kuruma özel içerik hazırlama, eğitimi verme, ölçme ve iyileştirme. BlueMark Academy’nin Etkili Bilgi Güvenliği Farkındalık Programı Oluşturma Eğitimi bu döngüyü ele alır; programın amacının belirlenmesi, başarıyı etkileyen yedi etken ve etkinin ölçülmesi için temel göstergeler müfredatta yer alır.
- Başlangıç ölçümü: Programdan önce çalışanların mevcut farkındalık seviyesini kısa bir testle ölçün.
- Katılım ve başarı: Eğitime katılım oranı ve sınav başarısı.
- Davranış göstergeleri: Şüpheli e-postaları bildirme oranı ve simüle edilen kimlik avı testlerinde tıklama oranının zaman içindeki değişimi.
- Olay verileri: Bildirilen olay sayısı ve bildirim süresi. Bildirim sayısının artması çoğu zaman olumlu bir işarettir.
- Tekrar: Yeni başlayanlar için oryantasyonun parçası, mevcut çalışanlar için düzenli kısa hatırlatmalar.
Örnek yıllık program
Aşağıdaki plan bir öneridir; kurumun büyüklüğüne, sektörüne ve geçmiş olaylarına göre uyarlanmalıdır.
| Dönem | Odak | Format |
|---|---|---|
| 1. çeyrek | Başlangıç ölçümü, temel farkındalık oturumu, işe yeni başlayanlar için oryantasyon | Canlı oturum ve kısa test |
| 2. çeyrek | Kimlik avı ve sosyal mühendislik, simüle edilen kimlik avı testi | Kısa modül ve simülasyon |
| 3. çeyrek | Hibrit çalışma güvenliği, yapay zeka araçlarında veri paylaşımı, rol bazlı ek modüller | Rol bazlı oturumlar |
| 4. çeyrek | Ölçüm, sonuçların yönetime sunulması, bir sonraki yılın içeriğinin belirlenmesi | Rapor ve geri bildirim |
ISO 27001 ile ilişkisi
ISO/IEC 27001 kontrolleri arasında bilgi güvenliği farkındalığı, eğitimi ve öğretimi yer alır. Bu nedenle standardı uygulayan ya da belgelendirmeye hazırlanan kurumlar için farkındalık programı bir denetim konusudur. Yöneticilerin standardı ve belgelendirme sürecini anlaması için ISO 27001 Bilgi Güvenliği Yönetim Sistemi Yönetici Eğitimi programı 1 günlüktür.
BlueMark Academy’den ilgili eğitimler
- Etkili Bilgi Güvenliği Farkındalık Programı Oluşturma Eğitimi: 2 gün.
- Bilgi Güvenliği Yönetimi Eğitimi: 2 gün, risk yönetimi, iş sürekliliği ve erişim denetimi dahil.
- ISO 27001 Yönetici Eğitimi: 1 gün.
- Güvenli Yazılım Geliştirme Farkındalık Eğitimi: 1 gün, geliştiriciler için.
Çalışanlarınız için kurumunuza özel bir farkındalık oturumu planlamak isterseniz eğitim sayfalarındaki iletişim formundan ya da iletişim sayfamızdan ekibinizin ihtiyacını iletebilirsiniz.
Sık sorulan sorular
Siber güvenlik farkındalık eğitimi kimlere verilmeli?
Kuruma ait e-posta, sistem ya da veriye erişen tüm çalışanlara. Yöneticiler, finans ve insan kaynakları gibi hedef alınma olasılığı yüksek ekipler için ek içerik hazırlanması önerilir.
Eğitim ne kadar sürmeli?
Çalışanlar için genellikle kısa oturumlar ve düzenli hatırlatmalar tek uzun eğitimden daha kalıcıdır. Programı tasarlayacak ekip için ise iki günlük bir program oluşturma eğitimi uygundur.
Farkındalık eğitiminin başarısı nasıl ölçülür?
Eğitim öncesi ve sonrası test, katılım oranı, simüle edilen kimlik avı testlerindeki tıklama oranı ve şüpheli e-posta bildirim oranı gibi göstergelerle ölçülür.
Farkındalık eğitimi online yapılabilir mi?
Evet. BlueMark Academy eğitimleri online veya yüz yüze formatında planlanabilir.