Bilgi güvenliği farkındalık eğitimi nasıl kurulur?

Çoğu şirkette bilgi güvenliği eğitimi yılda bir kez yapılan, 60 slaytlık, herkesin hızlıca geçtiği bir zorunluluktur. Katılım tamamlanır, imzalar toplanır ve altı hafta sonra kimse hiçbir şey hatırlamaz.

Sorun içeriğin yanlış olması değil, biçiminin öğretmeye uygun olmamasıdır. Güvenlik davranışı bir bilgi değil bir alışkanlıktır ve alışkanlık tek seferlik anlatımla kurulmaz.

Neden yıllık eğitim işe yaramıyor?

Üç yapısal sebep var:

Zamanlama. Eğitim ocak ayında yapılır, saldırı mayısta gelir. Aradaki dört ayda unutulan bilgi, kritik anda hatırlanmaz.

Bağlam eksikliği. Genel örnekler ("şüpheli e-postalara tıklamayın") kimseyi durdurmaz. Çalışanı durduran şey, kendi işine benzeyen somut bir örnektir: muhasebeye gelen sahte fatura, İK'ya gelen sahte özgeçmiş, satışa gelen sahte müşteri talebi.

Ölçüm yokluğu. "Katılım %98" bir güvenlik metriği değildir. Tek anlamlı ölçü davranıştır.

Programın omurgası: dört bileşen

1. Kısa ve tekrarlı içerik. Yılda bir 60 dakika yerine, ayda bir 5-8 dakika. Tek konu, tek mesaj. Tekrar aralığı, unutmayı yenen tek şeydir.

Modüler ve kısa içeriğin, ilerleme takibiyle birlikte kurulması gerekir; kurumsal eğitim ve quiz yönetimi yazısı bu yapıyı anlatıyor.

2. Oltalama tatbikatı. Kontrollü sahte oltalama e-postaları göndermek, farkındalığı ölçmenin tek gerçekçi yoludur. Ölçtüğünüz şey bilgi değil davranıştır: kim tıkladı, kim bildirdi, kim hiçbir şey yapmadı.

Burada kritik bir kural var: tatbikat ceza aracı olmamalıdır. Tıklayan kişiyi teşhir eden, yöneticisine şikâyet eden bir program, bir sonraki gerçek olayda kimsenin bildirim yapmamasına yol açar. Amaç, hatayı gizlemeyi değil bildirmeyi kolaylaştırmaktır.

3. Tek tuşla bildirim yolu. Şüpheli bir e-posta gördüğünde çalışanın ne yapacağını bilmesi gerekir — ve bu yol tek adım olmalıdır. "BT'ye yazın" yeterli değil; nereye, nasıl, hangi bilgiyle?

Bildirimin kolaylaştırılması, tespit süresini en çok kısaltan tek müdahaledir.

4. Rol bazlı derinlik. Herkese aynı içerik verimsizdir. Finans ekibi fatura dolandırıcılığına, İK kimlik avına, geliştiriciler kod ve erişim yönetimine, saha ekibi cihaz güvenliğine odaklanmalıdır.

Kapsanması gereken konular

• Oltalama ve hedefli oltalama: gönderen adresinin kontrolü, aciliyet baskısı, sahte ödeme talimatı
• Parola ve çok adımlı doğrulama: parola tekrarının neden en büyük risk olduğu
• Cihaz güvenliği: kilit ekranı, halka açık ağlar, kayıp cihaz bildirimi
• Veri paylaşımı: hangi bilginin dışarı çıkamayacağı, kişisel hesap ve bulut kullanımı
• Fiziksel güvenlik: yabancıların kapıdan içeri alınması, masada bırakılan belgeler
• Olay bildirimi: bir şey ters gittiğinde ilk 30 dakikada ne yapılacağı

Kişisel veri boyutu ayrıca ele alınmalıdır; KVKK yükümlülükleri ile güvenlik önlemleri iç içedir. Çerçeveyi KVKK uyumlu intranet yazısında ayrıntılandırdık.

Ölçmeniz gereken dört sayı

1. Oltalama tıklama oranı — zaman içinde düşmeli
2. Bildirim oranı — zaman içinde yükselmeli (en değerli metrik budur)
3. Ortalama bildirim süresi — e-posta ulaştıktan kaç dakika sonra
4. Tekrar eden tıklayanlar — hedefli ek destek gerektiren küçük grup

İkinci metrik özellikle önemlidir: tıklama oranı sıfıra inmez ve inmesini beklemek gerçekçi değildir. Gerçek savunma, tıklayan kişinin bunu hemen bildirmesidir.

Ölçümün nasıl raporlanacağını iç iletişim KPI ve ölçümleme yazısındaki yaklaşımla kurabilirsiniz.

Zorunluluğu iletişimle destekleyin

Eğitim tamamlama takibi gereklidir ama tek başına yeterli değildir. Farkındalığı canlı tutan şey, güvenlik konusunun yıl boyunca görünür kalmasıdır:

• Gerçek bir olay yaşandığında (kişi ifşa etmeden) ne olduğunu ve nasıl fark edildiğini anlatmak
• Doğru bildirim yapan çalışanı görünür şekilde takdir etmek — takdir kültürü kurma rehberi
• Yeni bir dolandırıcılık dalgası başladığında kısa ve hedefli bir duyuru geçmek

Son madde için duyurunun okunduğunun teyit edilebilmesi önemlidir; kritik güvenlik bildirimlerinde okundu onayı, uyum kaydı olarak da işe yarar. Yaklaşımı kurumsal duyuru yönetimi yazısında anlattık.

Yeni başlayanlar için ilk hafta

Bilgi güvenliği eğitimi, oryantasyonun ilk haftasında olmalıdır — çünkü en savunmasız dönem, kişinin şirketin normalini henüz bilmediği dönemdir. Yeni gelen biri, "CEO'dan" gelen acil ödeme talebinin normal olup olmadığını bilemez.

İlk hafta programının kurgusunu işe alıştırma ve oryantasyon süreci yazısında bulabilirsiniz.

Yıllık plan nasıl kurulur?

Aylık kısa içerik fikri kulağa iyi gelir ama planlanmazsa üçüncü ayda durur. İşleyen bir yıllık plan genellikle şu ritmi izler:

• Her ay: tek konulu 5-8 dakikalık içerik
• Üç ayda bir: oltalama tatbikatı
• Yılda bir: kapsamlı tekrar ve politika onayı
• Olay bazlı: yeni bir dolandırıcılık dalgası çıktığında kısa uyarı

Konuları yılın gerçek takvimine bağlamak katılımı artırır: vergi dönemi öncesi sahte resmî kurum e-postaları, yıl sonu öncesi sahte fatura ve ödeme talimatları, bayram öncesi sahte kampanya bağlantıları.

İçerik takviminin nasıl kurulduğunu iç iletişim içerik takvimi yazısında bulabilirsiniz.

Tedarikçiler ve dış paydaşlar

Farkındalık programları genellikle yalnızca kadrolu çalışanları kapsar. Oysa sisteme erişimi olan taşeron, danışman ve stajyerler de aynı riski taşır ve çoğu zaman hiç eğitim almaz.

Erişimi olan herkesin programa dahil edilmesi, ayrıca erişimlerin sözleşme bitiminde kapatılması gerekir. Kapatılmayan bir dış hesap, yıllarca açık kalan bir kapıdır.