Şirketlerde siber güvenlik yalnızca bilgi işlem biriminin, dışarıdan hizmet alınan yazılım firmasının veya güvenlik duvarı sistemlerinin sorumluluğu değildir. Çalışanların günlük iş akışı içinde yaptığı küçük bir hata; müşteri bilgilerinin açığa çıkmasına, ödeme süreçlerinin manipüle edilmesine, şirket e-posta hesaplarının ele geçirilmesine, dosyaların şifrelenmesine, üretim sistemlerinin durmasına veya şirket itibarının zarar görmesine neden olabilir.

Bir çalışanın sahte bir bağlantıya tıklaması, şifresini paylaşması, bilinmeyen bir USB belleği bilgisayara takması, şirket dosyasını kişisel e-posta hesabına göndermesi veya yöneticiden gelmiş gibi görünen sahte ödeme talebine işlem yapması ciddi sonuçlar doğurabilir. Bu nedenle siber güvenlik farkındalık programı, çalışanları korkutmayı değil; şüpheli durumları tanımayı, doğru davranışı öğrenmeyi ve hata yapıldığında hızlı bildirimde bulunmayı amaçlamalıdır.

Güvenlik ilkesi: Çalışanların hiç hata yapmayacağını varsayan sistemler kırılgandır. Asıl hedef, hata riskini azaltan ve olası hatanın hızlı biçimde bildirilmesini sağlayan güvenlik kültürü kurmaktır.

Siber güvenlik farkındalık programının amacını belirleyin

Program hazırlanırken yalnızca yılda bir kez sunum yapmak veya çalışanlara uzun bir politika metni imzalatmak yeterli değildir. Programın ölçülebilir amaçları olmalıdır.

Şüpheli e-postaların fark edilme oranını artırmak,
Parola paylaşımını ve ortak hesap kullanımını azaltmak,
Çok faktörlü doğrulama kullanımını yaygınlaştırmak,
Yanlış alıcıya dosya gönderme riskini düşürmek,
Kayıp cihaz ve şüpheli olay bildirim süresini kısaltmak,
Şirket verisinin kişisel uygulamalarda paylaşılmasını önlemek,
Çalışanların sosyal mühendislik girişimlerini tanımasını sağlamak.

Şirketin gerçek risklerini belirleyin

Her şirkete aynı eğitim içeriğini uygulamak doğru değildir. Üretim işletmesi, insan kaynakları firması, muhasebe ofisi, e-ticaret şirketi veya sağlık kuruluşunun riskleri farklı olabilir. Önce şirketin hangi sistemleri kullandığı, hangi verileri işlediği ve çalışanların hangi kanallardan iletişim kurduğu incelenmelidir.

Değerlendirilecek temel risk alanları

E-posta ve mesajlaşma üzerinden gelen oltalama girişimleri,
Sahte ödeme, IBAN değişikliği veya fatura talimatları,
Zayıf, tekrar kullanılan veya paylaşılan parolalar,
Kişisel telefon ve bilgisayarlardan şirket sistemlerine erişim,
Bulut depolama ve dosya paylaşım bağlantıları,
Yetkisiz yazılım kurulumu,
USB bellek ve harici disk kullanımı,
Uzaktan çalışma ve ortak kablosuz ağ kullanımı,
Telefonla bilgi almaya çalışan sahte kişiler,
Kayıp veya çalınan cihazlar,
Yanlış alıcıya gönderilen e-posta ve ekler.

Çalışan gruplarına göre içerik hazırlayın

Tüm çalışanlara aynı ayrıntı seviyesinde teknik eğitim vermek etkili olmayabilir. Muhasebe çalışanlarının ödeme dolandırıcılığına, insan kaynakları ekibinin özgeçmiş ve kişisel veri güvenliğine, satış ekibinin müşteri dosyalarına, saha çalışanlarının mobil cihaz kullanımına ve yöneticilerin hedefli sosyal mühendislik saldırılarına karşı özel olarak bilgilendirilmesi gerekir.

Çalışan grubu	Öncelikli risk	Eğitim odağı
Muhasebe ve finans	Sahte ödeme ve IBAN değişikliği	İkinci kanal doğrulaması ve yetki kontrolü
İnsan kaynakları	Özgeçmiş, kimlik ve personel verileri	Dosya paylaşımı, erişim ve veri minimizasyonu
Satış ve müşteri hizmetleri	Sahte müşteri, zararlı ek ve bağlantı	Kimlik doğrulama ve güvenli dosya paylaşımı
Yöneticiler	Hedefli oltalama ve sahte talimat	Onay süreçleri ve acil ödeme talepleri
Saha ve üretim çalışanları	Ortak cihaz, USB ve mobil erişim	Cihaz kilidi, şüpheli ekipman ve bildirim

Oltalama e-postalarını gerçek örneklerle anlatın

Çalışanların yalnızca “şüpheli bağlantıya tıklamayın” uyarısını duyması yeterli değildir. Sahte mesajların nasıl göründüğü, hangi belirtilerin risk işareti olduğu ve şüphe durumunda ne yapılacağı örneklerle gösterilmelidir.

Şüpheli e-postalarda görülebilecek işaretler

Alışılmadık gönderen adresi,
Alan adında küçük yazım farklılıkları,
Acil işlem baskısı,
Gizli ödeme veya parola talebi,
Beklenmeyen ek dosya,
Bağlantının görünen metinle uyuşmaması,
Yazım ve dil hataları,
Normal iş akışına uymayan talimat,
Yönetici adı kullanılarak yapılan acele ödeme talebi.

Sahte ödeme taleplerine karşı doğrulama kuralı oluşturun

Ödeme dolandırıcılıklarında saldırganlar yönetici, tedarikçi veya müşteri gibi davranabilir. Bu nedenle IBAN değişikliği, acil ödeme, gizli işlem veya yüksek tutarlı transfer talepleri yalnızca e-posta üzerinden onaylanmamalıdır.

Kontrol kuralı: Ödeme talebini, e-postadaki telefon numarasını kullanmadan daha önce kayıtlı ve güvenilir bir iletişim kanalı üzerinden doğrulayın.

Parola politikasını anlaşılır hâle getirin

Çalışanların yalnızca karmaşık parola oluşturmaya zorlanması yeterli değildir. Aynı parolanın farklı sistemlerde kullanılmaması, parolaların başkalarıyla paylaşılmaması ve ortak hesap kullanımının sınırlandırılması gerekir.

Temel parola ilkeleri

Her sistem için farklı parola kullanılmalıdır.
Parola e-posta, mesaj veya kâğıt notla paylaşılmamalıdır.
Ortak hesaplar mümkün olduğunca kaldırılmalıdır.
Şüpheli giriş fark edildiğinde parola hemen değiştirilmelidir.
Onaylı parola yöneticisi kullanımı teşvik edilmelidir.
Varsayılan cihaz ve modem parolaları değiştirilmelidir.

Çok faktörlü doğrulamayı yaygınlaştırın

Parolanın ele geçirilmesi durumunda ikinci doğrulama katmanı hesabın korunmasına yardımcı olabilir. E-posta, bulut depolama, finans sistemleri, yönetici hesapları ve uzaktan erişim hizmetleri öncelikli olarak çok faktörlü doğrulama kapsamına alınmalıdır.

Kişisel cihaz kullanım kurallarını belirleyin

Çalışanların kişisel telefon veya bilgisayarlarından şirket verisine erişmesi gerekiyorsa bu erişimin koşulları açıkça tanımlanmalıdır. Cihaz kilidi, ekran şifresi, güncelleme, kayıp cihaz bildirimi ve şirket verisinin cihazda saklanması gibi konular politika içinde yer almalıdır.

Uzaktan çalışma güvenliğini eğitime ekleyin

Evden veya sahadan çalışan personel ortak kablosuz ağ, kişisel cihaz, aile bireyleriyle paylaşılan bilgisayar ve ekran gizliliği gibi farklı risklerle karşılaşabilir.

Şirket cihazı başkasına kullandırılmamalıdır.
Ekran başından ayrılırken cihaz kilitlenmelidir.
Halka açık ağlarda hassas işlem yapılmamalıdır.
Gizli görüşmeler ortak alanlarda yapılmamalıdır.
Şirket dosyaları kişisel bulut hesaplarına yüklenmemelidir.

Dosya paylaşım kurallarını sadeleştirin

Çalışanlar çoğu zaman işi hızlandırmak için dosyaları kişisel e-posta, ücretsiz bulut depolama veya mesajlaşma uygulamaları üzerinden gönderebilir. Bunun önüne geçmek için yalnızca yasak koymak yerine güvenli ve kolay bir kurumsal paylaşım yöntemi sunulmalıdır.

Şüpheli olay bildirimini kolaylaştırın

Bir çalışan yanlış bağlantıya tıkladığında, yanlış dosya gönderdiğinde veya cihazını kaybettiğinde ne yapacağını açıkça bilmelidir. Karmaşık bildirim süreçleri olayın gizlenmesine veya gecikmesine yol açabilir.

Bildirim kanalları

Tek tıklamalı şüpheli e-posta bildirimi,
Bilgi işlem destek hattı,
Özel e-posta adresi,
Acil durum telefon numarası,
Yönetici veya vardiya amiri üzerinden bildirim.

Kültür önerisi: “Hata yaptıysan saklama, hemen bildir” mesajını açıkça kullanın. Hızlı bildirim, teknik ekibin zararı sınırlamasını kolaylaştırır.

Yeni çalışan oryantasyonuna dahil edin

Yeni çalışanlar, ilk günden itibaren şirketin hangi sistemlerini kullanacağını, hangi bilgileri paylaşamayacağını, şüpheli durumda kime ulaşacağını ve cihaz güvenliği kurallarını öğrenmelidir.

Düzenli kısa eğitimler uygulayın

Yılda bir kez yapılan uzun eğitim yerine düzenli ve kısa hatırlatmalar daha etkili olabilir. Aylık mini eğitim, kısa video, örnek e-posta analizi, ekran bildirimi ve bölüm toplantısı gibi yöntemler birlikte kullanılabilir.

Kontrollü simülasyonlar yapın

Oltalama simülasyonları çalışanları küçük düşürmek veya cezalandırmak için değil, riskli davranışları ölçmek ve eğitimi geliştirmek için kullanılmalıdır. Sonuçlar kişi bazında teşhir edilmemelidir.

Ölçülebilecek göstergeler

Şüpheli bağlantıya tıklama oranı,
Bilgi girme oranı,
Şüpheli mesajı bildirme oranı,
Bildirim süresi,
Eğitim tamamlama oranı,
Tekrarlayan riskli davranışlar.

Yöneticileri örnek davranış göstermeye yönlendirin

Yönetici kendi parolasını çalışanla paylaşıyor, onay sürecini atlıyor veya kişisel uygulamadan dosya gönderiyorsa eğitim inandırıcılığını kaybeder. Güvenlik kuralları unvandan bağımsız uygulanmalıdır.

Olay sonrası öğrenme süreci oluşturun

Bir olay yaşandığında yalnızca hatayı yapan kişiye odaklanmak yerine sistemdeki zayıflıklar incelenmelidir. Kullanılan araç zor muydu, talimat belirsiz miydi, onay mekanizması eksik miydi, çalışan daha önce eğitim aldı mı gibi sorular sorulmalıdır.

Siber güvenlik farkındalık kontrol listesi

Riskli çalışan grupları belirlendi mi?
Oltalama ve sahte ödeme örnekleri hazırlandı mı?
Parola ve çok faktörlü doğrulama kuralları açık mı?
Kişisel cihaz kullanımı düzenlendi mi?
Güvenli dosya paylaşım aracı sunuldu mu?
Şüpheli olay bildirim kanalı kolay mı?
Yeni çalışan eğitiminde siber güvenlik var mı?
Düzenli simülasyon ve ölçüm yapılıyor mu?
Yöneticiler aynı kurallara uyuyor mu?

Sonuç

Etkili siber güvenlik farkındalık programı, çalışanlara teknik terimler öğretmekten çok günlük işlerinde doğru karar vermelerini sağlamalıdır. Gerçek örnekler, kolay bildirim, açık parola kuralları, güvenli dosya paylaşımı, kontrollü simülasyonlar ve cezalandırıcı olmayan yaklaşım birlikte uygulandığında güvenlik kültürü güçlenir.

Son ilke: Çalışan hatasını yalnızca bireysel kusur olarak görmek yerine, hatayı önleyen ve hızlı müdahaleyi mümkün kılan süreçler oluşturun.

Profesyonel işe alım desteği

İşletmeniz için doğru personeli bulma, aday ön eleme ve işe başlatma süreçlerinde SEA Academy İK ile iletişime geçebilirsiniz.

İletişime geçin