Siber güvenlik farkındalık eğitimi, çalışanların oltalama, sosyal mühendislik, parola ve veri paylaşımı gibi risklerde doğru davranışı refleks hâline getirmesini amaçlayan sürekli bir programdır. İyi bir program yılda bir sunumla bitmez: role göre kısa içerik, düzenli simülasyon, kolay bir bildirim kanalı ve davranışı ölçen metriklerden oluşur.
Kısaca
- Siber güvenlik farkındalık eğitimi yılda bir sunum değil; ayda 5–10 dakikalık role özel modüllerle sürdürülen bir programdır.
- Verizon 2026 DBIR'a göre veri ihlallerinin %62'sinde insan faktörü rol oynadı; eğitim e-postayla birlikte SMS ve telefonu da kapsamalı.
- Oltalama simülasyonu bir ya da iki ayda bir, cezasız ve zorluğu kademeli artırılarak yürütülmelidir.
- En değerli metrik tıklama oranı değil, şüpheli maili bildiren çalışanların oranı ve ilk bildirime kadar geçen süredir.
- KVKK eğitimi ayrı madde olarak saymaz, ancak çalışan eğitimi idari tedbirlerin kolayca belgelenen parçasıdır; NIS2 yöneticiler için eğitimi zorunlu tutar.
Farkındalık eğitimi neden çoğu şirkette sonuç vermiyor?
Siber güvenlik farkındalık eğitiminde tipik tablo tanıdıktır: yılda bir kez, genellikle bir denetim ya da müşteri anketi öncesinde, tüm personel bir salona toplanır ve bir saatlik sunum izler. Katılım listesi imzalanır, dosyaya konur ve konu kapanır. Üç ay sonra muhasebedeki bir çalışan "acil" etiketli bir ödeme talebine yanıt verir; sunumda anlatılanların hiçbiri o anda akla gelmez.
Sorun çoğu zaman çalışanın ilgisizliği değil, programın tasarımıdır. Bir saatlik yoğun anlatım unutulur, genel örnekler kişinin kendi işine benzemez ve yanlış tıklayan kişi utandırıldığı için bir sonraki şüpheli maili bildirmek yerine sessiz kalır. Bu yazı, oltalama mailinin nasıl anlaşıldığını anlatan rehberin tamamlayıcısıdır: orada işaretleri anlattık, burada o işaretleri kalıcı davranışa çeviren programı kuruyoruz.
Eğitimsiz bir ekip şirkete neye mal olur?
Siber saldırıların büyük kısmı 2026 itibarıyla hâlâ bir insan kararından geçiyor. Verizon 2026 Data Breach Investigations Report verisine göre veri ihlallerinin %62'sinde insan faktörü rol oynadı; oran bir önceki yıl %60'tı. Aynı rapora göre oltalama simülasyonlarında e-postada medyan tıklama oranı %1,4 iken SMS ve ses gibi telefon odaklı yöntemlerde %2'ye yakın; yani eğitim yalnızca e-postayı değil telefonu da kapsamalı.
İngiltere hükümetinin Cyber Security Breaches Survey 2025/2026 anketine göre işletmelerin %43'ü son 12 ayda bir siber ihlal ya da saldırı yaşadı; oltalama %38 ile açık ara en yaygın saldırı türü oldu.
Saldırganlar da yapay zekayla işini kolaylaştırıyor. ENISA Threat Landscape 2025 raporunun aktardığına göre Eylül 2024 – Şubat 2025 arasında tespit edilen oltalama e-postalarının %80'inden fazlasında bir ölçüde yapay zeka kullanılmıştı. Yazım hatasına bakarak sahte maili yakalamayı öğreten eski eğitim içerikleri bu yüzden artık yetersiz kalıyor.
Kimlik bilgisi tarafında da tablo benzer. Sophos The State of Identity Security 2026 araştırmasına göre 17 ülkede 5.000 BT ve güvenlik yöneticisine sorulduğunda kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadı ve olayların yaklaşık %43'ünde çalışanların kandırılarak kimlik bilgisi vermesi etkendi.
Buna karşın eğitim hâlâ istisna. Aynı İngiltere anketine göre son bir yılda çalışanlarına herhangi bir siber güvenlik eğitimi veren işletmelerin oranı yalnızca %19; büyük işletmelerde bu oran %84'e çıkıyor. Yani risk her ölçekte benzerken hazırlık büyük ölçüde büyük şirketlerde kalıyor.
Siber güvenlik farkındalık eğitimi zorunlu mu?
Türkiye'de KVKK'nın veri güvenliği yükümlülükleri kapsamında veri sorumlusu, uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır; Kurum bu tedbirleri somutlaştırmak için Kişisel Veri Güvenliği Rehberi'ni yayımlamıştır. Kanun eğitimin biçimini ya da sıklığını tek tek saymaz, ancak çalışan eğitimi idari tedbirlerin kolayca belgelenebilen parçalarından biridir.
Avrupa Birliği'nde ise NIS2 olarak bilinen Ağ ve Bilgi Sistemleri Güvenliği Direktifi (AB 2022/2555) daha açıktır: 20(2). madde kapsamdaki temel ve önemli kuruluşların yönetim organı üyelerinin siber güvenlik eğitimi almasını zorunlu tutar ve kuruluşları çalışanlarına düzenli benzer eğitim vermeye teşvik eder; 21. madde ise temel siber hijyen ve siber güvenlik eğitimini asgari risk önlemleri arasında sayar.
NIS2 Direktifi Türk şirketlerine doğrudan uygulanmasa da kapsamdaki AB'li müşteriler tedarik zinciri güvenliği gereği bu beklentileri sözleşme ve tedarikçi anketleriyle tedarikçilerine yansıtabilir; kendi durumunuzu hukuk danışmanınızla netleştirin.
Siber güvenlik farkındalık eğitimi nasıl kurulur? 7 adım
Etkili bir siber güvenlik farkındalık programı, aşağıdaki yedi adımla sırayla kurulur:
- Riskli rolleri haritalayın. Ödeme onaylayan muhasebe, tedarikçiyle yazışan satın alma, kişisel veri işleyen insan kaynakları, yönetici asistanları ve BT yöneticileri aynı riskle karşılaşmaz. Her rol için en olası üç senaryoyu yazın; muhasebe ve yönetici asistanları için ilk senaryo genellikle CEO dolandırıcılığıdır.
- İçeriği kısa ve role özel yapın. Yılda bir saatlik sunum yerine ayda 5–10 dakikalık modüller hazırlayın. Muhasebe için IBAN değişikliği maili, satın alma için sahte teklif, İK için sahte aday CV'si gibi kendi işine benzeyen örnekler kullanın.
- Tek bir bildirim kanalı belirleyin. Şüpheli maili, aramayı ya da USB belleği kime ve nasıl bildireceğini herkes bilmeli. Bildirim zahmetliyse eğitim işe yaramaz. Tehlikeli ek türlerini anlatan bir modül için e-posta ekinden virüs yazısını kaynak olarak kullanabilirsiniz.
- Simülasyonu cezasız ve düzenli yürütün. Ayda ya da iki ayda bir, zorluğu kademeli artan oltalama simülasyonu gönderin. Tıklayan kişiye anında, kısa ve suçlamayan bir açıklama gösterin.
- Teknik önlemle eşleştirin. Eğitim, iki adımlı doğrulama ve sağlam kurumsal parola politikası yerine geçmez; çalışan hata yaptığında zararı sınırlayan katmanlar ayrıca gerekir.
- Yeni başlayanı ve ayrılanı sürece bağlayın. İşe girişte ilk hafta temel modül tamamlanır; ayrılışta erişimler kapatılır. Ayrılan çalışanın hesap tarafını işten ayrılan çalışanın e-posta erişimi yazısında anlattık.
- Davranışı ölçün, katılımı değil. İmza listesi uyum kanıtıdır ama risk göstergesi değildir. Aşağıdaki tablodaki metrikleri üç ayda bir yönetime raporlayın. Katılım kayıtlarını yine de dijital tutun; yöntemi İSG eğitim kayıtlarının dijital takibi yazımızda anlattık.
Farkındalık eğitiminde hangi metrik gerçekten bir şey söyler?
| Metrik | Ne gösterir? | Yorum |
|---|---|---|
| Eğitim tamamlama oranı | Kimin modülü bitirdiği | Gerekli ama davranış göstermez |
| Simülasyon tıklama oranı | Tuzağa düşen kişi payı | Senaryo zorluğuna göre dalgalanır; tek başına yanıltıcı |
| Bildirim oranı | Şüpheli maili bildiren kişi payı | En değerli gösterge; artması hedeflenir |
| İlk bildirim süresi | Kampanya başladıktan sonraki ilk bildirim | Gerçek saldırıda erken müdahaleyi belirler |
| Tekrar eden hata | Aynı kişinin arka arkaya tıklaması | Bireysel destek ihtiyacını gösterir |
| Gerçek olay bildirimi | Simülasyon dışındaki şüpheli mail sayısı | Kültürün oturduğunu gösterir |
Tıklama oranını sıfıra indirmek gerçekçi bir hedef değildir; iyi hazırlanmış bir tuzak herkesi bir gün yakalayabilir. Asıl hedef, tuzağı fark eden ya da ona düşen kişinin birkaç dakika içinde haber vermesidir. Bildirim oranı yükseldikçe gerçek bir saldırının zararı küçülür.
Siber güvenlik farkındalık eğitiminde hangi konular olmalı?
Oltalama, farkındalık eğitiminin çekirdek konusudur ama tek konusu değildir. Yıllık programı dört temaya bölmek içeriği dengeler:
- E-posta ve mesajlaşma: Oltalama, benzer alan adı saldırıları, sahte fatura ve ödeme yönlendirme, SMS ve telefonla gelen sosyal mühendislik ve yanlış kişiye giden e-posta anında yapılacaklar.
- Kimlik ve erişim: Parola paylaşmamak, iki adımlı doğrulama onay isteklerini körü körüne kabul etmemek, ortak bilgisayarda oturum kapatmak.
- Veri ve yapay zeka: Müşteri ve personel verisinin hangi araca girilebileceği. Gerekçeleri ChatGPT'ye şirket verisi girmenin riskleri yazısında topladık.
- Fiziksel güvenlik: Kapıda arkadan girişe izin vermemek, ziyaretçiye eşlik etmek, masada belge bırakmamak. Arkadan takılmayı algılayan geçiş seçeneklerini turnike çeşitleri rehberinde anlattık.
12 aylık örnek farkındalık eğitimi takvimi
| Dönem | Tema | Simülasyon |
|---|---|---|
| 1–3. ay | Oltalama temelleri, bildirim kanalı | Kolay seviye e-posta |
| 4–6. ay | Ödeme ve tedarikçi dolandırıcılığı | Role özel (muhasebe, satın alma) |
| 7–9. ay | Kimlik, parola, yapay zeka kullanımı | Telefon ya da SMS senaryosu |
| 10–12. ay | Fiziksel güvenlik, olay tatbikatı | Zor seviye, gerçek iş diline yakın |
Yıl sonunda bir masa başı tatbikatı yapın: "Muhasebe sahte bir hesaba ödeme yaptı, şimdi ne oluyor?" sorusunu yönetim, BT ve hukukla birlikte yürütün. Kişisel veri etkilenmişse KVKK veri ihlali bildirimi süresinin nasıl işleyeceği bu tatbikatta netleşir.
Digital Bridge farkındalık programını nasıl kurar?
Digital Bridge hazır bir video kütüphanesi satmaz; farkındalık programını kurumun kendi risklerine göre kurar:
- Keşif ve risk haritası. Siber güvenlik danışmanlığı kapsamında hangi rolün hangi saldırıya açık olduğunu, bildirim kanalınızı ve e-posta altyapınızın teknik korumasını inceliyoruz. Genel tabloyu KOBİ siber güvenlik kontrol listesi üzerinden birlikte çıkarıyoruz.
- Pilot grup. Önce riskli bir departmanla, örneğin muhasebe ve satın almayla, üç aylık bir pilot yürütüyoruz. Kendi tedarikçi ve yazışma dilinize benzeyen senaryolar hazırlıyor, bildirim oranını başlangıç değeriyle kıyaslıyoruz.
- Mevzuat ve belge bağlantısı. Eğitim kayıtlarını, politika metinlerini ve olay prosedürünü KVKK uyum danışmanlığı çalışmanızla ve varsa ISO 27001 hazırlığınızla uyumlu hâle getiriyoruz.
- Yapay zeka kuralları. Çalışanların sohbet araçlarını nasıl kullanacağını eğitime ekliyor; güvenli bir alternatif gerekiyorsa verinin kurum içinde kaldığı bir kurumsal LLM asistanı seçeneğini değerlendiriyoruz.
Smart360 farkındalık eğitimini günlük işe nasıl taşır?
Farkındalık eğitiminde öğrenilen işaretler, yoğun bir iş gününde ancak araç da yardımcı olursa hatırlanır. Kendi geliştirdiğimiz Smart360 ailesinin kurumsal e-posta ürünü SmartMail, gelen her maili üç grup ölçümle değerlendirir: kimlik (SPF/DKIM/DMARC ve PTR doğrulamasını kendisi yeniden hesaplar), yapı (benzer alan adı ve uluslararası karakterle taklit, görünen ad ve marka taklidi, yanıt adresi ve bağlantı uyuşmazlığı) ve içerik (metnin bütünü yapay zeka ile). Sonuç, gönderen adının yanında hangi sinyalin riski artırdığını tek tek gösteren gerekçeli bir değerlendirmedir; çalışan örneğin "yanıt adresi farklı, alan adı bilinen bir muhataba benzetilmiş" açıklamasını tam karar anında görür ve eğitimde anlatılanı gerçek bir mailde tekrar eder.
SmartMail'in ortak posta kutularında ekip notları ve dikkat çekme özelliğiyle şüpheli bir mesaj, üzerinde çalışan arkadaşa aynı ekranda gösterilebilir. Uzak görseller izin verilene kadar yüklenmez; kurum adına çıkacak mailler gönderilmeden önce bir ya da birden çok kişinin onayına sunulabilir. Karantina eşiğini kurum yöneticisi belirler; yeni eşiğin etkileyeceği mailler kaydetmeden önce listelenir.
Kimlik tarafında SmartID, Smart360 ürünlerine tek kimlikle girişi sağlar. Smart360'ta posta kutusu parolalarını sistem üretir ve çalışanlara dağıtmaz; bu, "parolayı kimseyle paylaşma" kuralını teknik olarak destekler. Oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir; ayrılan çalışanın erişimi tek yerden kapanır. Smart360 Security, giriş ekranlarını bot trafiğine karşı korur; insan doğrulaması tamamlanmadan giriş isteği sunucuya ulaşmaz.
Farkındalık programına bu hafta nasıl başlanır?
Siber güvenlik farkındalık programına başlamak için büyük bir bütçe gerekmez: önümüzdeki hafta riskli üç rolü ve şüpheli maili bildirmek için kullanılacak tek kanalı yazılı hâle getirin. Ardından iletişim sayfamızdan bize ulaşın; pilot departmanı birlikte seçelim, ilk simülasyonun ölçüm planını kuralım ve SmartMail'in gerekçeli güvenlik analizini kendi adreslerinizle gösterelim. SmartMail'i satın almak için Smart360 satın alma sayfasını kullanabilir, paketleri SmartMail.com.tr'de inceleyebilirsiniz. Diğer güvenlik ve uyum konuları için Siber Güvenlik ve KVKK rehberimize göz atabilirsiniz.