Çalışanlarınızı Siber Güvenliğin Parçası Yapın
En güçlü güvenlik duvarı bile, kandırılan bir çalışanla aşılabilir. Suçlamadan, korkutmadan; ekibinizi güvenliğin en güçlü halkasına dönüştürün.
Siber olayların büyük bölümü teknik bir açıktan değil, bir çalışanın iyi niyetle yaptığı bir hatadan başlar: sahte bir e-postadaki bağlantıya tıklamak, zararlı bir eki açmak ya da telefonda bilgi vermek. İyi haber: ekibiniz kısa ve sürekli bir farkındalık çalışmasıyla en zayıf halkadan en güçlü savunmaya dönüşebilir.
Suçlama kültürü değil, bildirme kültürü
Çalışanlar hata yaptığında ceza görmekten korkarsa olayı gizler ve zarar büyür. Hedefiniz tersi olmalı: “Bir şeye tıkladıysan ya da şüphelendiysen hemen söyle” diyebilecekleri güvenli bir ortam kurun. Erken bildirim, çoğu saldırıyı küçükken durdurur. Bildirimin nasıl ve kime yapılacağını herkes bilmeli: tek bir telefon numarası ya da e-posta adresi yeterlidir.
Neyi öğretmeli?
| Konu | Çalışan ne yapmalı? |
|---|---|
| Oltalamayı tanıma | Aciliyet, beklenmedik ek, sahte gönderen ve “hemen tıkla” baskısına karşı durup doğrulamak. |
| Parola ve hesap hijyeni | Benzersiz parola, parola yöneticisi↗ ve iki adımlı doğrulama↗ kullanmak. |
| Para taleplerini doğrulama | IBAN değişikliği ya da “acil ödeme” isteğini ikinci bir kanaldan (telefon, yüz yüze) teyit etmek. |
| Bilgi paylaşımı | Telefonda ya da e-postada hassas bilgi istendiğinde durup karşıdakini doğrulamak. |
| Bildirme | Şüpheli durumu gecikmeden belirlenen kişiye iletmek. |
Kısa ve sürekli olsun
Yılda bir kez yapılan uzun bir eğitim çabuk unutulur. Bunun yerine ayda birkaç dakikalık hatırlatmalar, gerçek örnekler ve gönüllü oltalama↗ tatbikatları çok daha kalıcıdır. Yeni başlayan herkese ilk gün kısa bir güvenlik bilgilendirmesi yapın. Rolüne göre ek eğitim verin: muhasebe ve finans çalışanları sahte ödeme taleplerine, yöneticiler hedefli saldırılara daha çok maruz kalır.
Nasıl ölçersiniz?
- Bildirilen şüpheli mesaj sayısı (artması iyi işarettir).
- Oltalama tatbikatında bağlantıya tıklayan ve bildirenlerin oranı.
- Bildirim ile müdahale arasındaki süre.
Sonuçları kişi bazında teşhir etmeyin; amaç suçlamak değil, programı iyileştirmektir.
Büyük kuruluşlar için
NIST SP 800-50 Rev.1, farkındalık ve eğitimi bir “öğrenme programı” olarak yönetmenizi önerir: ihtiyaç analizi, rol bazlı içerik, ölçüm ve sürekli iyileştirme. Programın sahibini ve bütçesini belirleyin, yönetime düzenli raporlayın.
Güvenlik bir kişinin değil, ekibin işidir: çalışanlarınız ne kadar farkında olursa kuruluşunuz o kadar dayanıklı olur.
Son gözden geçirme: 22 Ekim 2026. Bu içerik bilgilendirme amaçlıdır.
