Kurumsal Security Awareness Programı Nasıl Oluşturulur? Eğitim, Simülasyon, Ölçüm ve Güvenlik Kültürü

Kurumsal siber güvenlik programları yıllarca ağırlıklı olarak teknoloji üzerinden tasarlandı. Firewall, antivirus, EDR, SIEM, DLP, MFA ve network security yatırımları kurumların temel savunma katmanları haline geldi.

Ancak birçok saldırı hâlâ doğrudan kullanıcı davranışı üzerinden başlıyor.

Phishing e-postası açılıyor.

Sahte login page'e credential giriliyor.

Unexpected MFA request onaylanıyor.

Confidential document yanlış kişiyle paylaşılıyor.

Personal cloud service kullanılıyor.

Fake IT support talebine güveniliyor.

Bu nedenle modern kurumlar için Security Awareness Programı yalnızca yıllık eğitim verilmesi anlamına gelmez.

Gerçek security awareness yaklaşımı:

Education + Simulation + Measurement + Behavior Change + Culture

bileşenlerinin birlikte çalışmasını gerektirir.

Asıl hedef çalışanlara yalnızca bilgi vermek değildir.

Hedef:

kullanıcının kritik anda daha güvenli karar verebilmesini sağlamak ve hata oluştuğunda olayı hızlı şekilde bildirmesini kolaylaştırmaktır.

Bu nedenle modern Security Awareness yaklaşımı giderek daha fazla:

Human Risk Management

kavramıyla birlikte değerlendirilmektedir.

Temel prensip şudur:

İnsan faktörünü güvenlik probleminin kaynağı olarak değil, ölçülebilir ve geliştirilebilir bir risk alanı olarak yönetin.

Security Awareness Nedir?

Security Awareness, çalışanların siber tehditleri tanımasını, güvenli davranış geliştirmesini ve şüpheli olayları doğru kanallardan bildirmesini amaçlayan farkındalık yaklaşımıdır.

Security Awareness Training kapsamında genellikle:

Phishing,

Social Engineering,

Password Security,

MFA,

Data Security,

Safe Browsing,

Remote Work Security,

USB Security,

Ransomware

gibi konular işlenir.

Ancak yalnızca training vermek yeterli değildir.

Çalışanın gerçekten davranış değişikliği gösterip göstermediği ölçülmelidir.

Security Awareness Program Nedir?

Security Awareness Program, tek seferlik eğitim yerine yıl boyunca devam eden planlı ve ölçülebilir güvenlik farkındalığı programıdır.

Program şu bileşenleri içerebilir:

Awareness Training

Phishing Simulation

Role-Based Training

Microlearning

Security Communications

Measurement

Risk-Based Follow-Up

Management Reporting

Bu sayede security awareness sürekli bir süreç haline gelir.

Security Awareness Training Nedir?

Security Awareness Training, users'ın cyber risks ve safe behaviors konusunda eğitilmesidir.

Amaç yalnızca teknik jargon öğretmek değildir.

Çalışan şu soruların cevaplarını bilmelidir:

Şüpheli e-mail nasıl anlaşılır?

Unexpected MFA request gelirse ne yapılır?

Confidential file yanlış kişiye gönderilirse kime bildirilir?

Lost device durumunda hangi süreç çalışır?

Security awareness ancak bu davranışlar pratikte uygulanabiliyorsa değerlidir.

Yılda Bir Kez Eğitim Vermek Yeterli mi?

Genellikle hayır.

İnsan davranışı tek bir annual training ile kalıcı şekilde değişmeyebilir.

Ayrıca cyber threats sürekli gelişir.

Bu nedenle:

short,

frequent,

scenario-based

learning daha etkili olabilir.

Bu yaklaşım Continuous Security Awareness olarak değerlendirilebilir.

Continuous Security Awareness Nedir?

Continuous Security Awareness, security education'ın yıl boyunca düzenli şekilde devam etmesidir.

Örneğin:

Quarterly Training

Monthly Security Tips

Phishing Simulations

Microlearning

Incident-Based Awareness

birlikte uygulanabilir.

Amaç security'nin yalnızca compliance dönemi geldiğinde hatırlanan konu olmamasıdır.

Human Risk Management Nedir?

Human Risk Management, kullanıcı kaynaklı security risks'in ölçülmesi, değerlendirilmesi ve azaltılması için kullanılan yaklaşım olarak tanımlanabilir.

Traditional awareness:

“Çalışanlara eğitim verdik mi?”

sorusunu sorar.

Human Risk Management ise:

“Hangi kullanıcı davranışları gerçek risk oluşturuyor ve bu risk zaman içinde azalıyor mu?”

sorusuna odaklanır.

Bu daha ölçülebilir bir yaklaşımdır.

Human Risk Nedir?

Human Risk, insanların yaptığı veya yapmadığı actions sonucunda security incident oluşma ihtimalidir.

Örnekler:

phishing link'e tıklamak,

MFA request'i onaylamak,

sensitive data'yı yanlış paylaşmak,

unapproved software kurmak,

security incident'ı geç bildirmek.

Bu behavior'lar farklı risk seviyelerine sahip olabilir.

İnsan Faktörü Neden Siber Güvenlikte Önemlidir?

Çünkü attacker teknolojik vulnerability bulmak yerine insan davranışını hedefleyebilir.

User:

authority,

urgency,

fear,

curiosity,

trust

üzerinden manipüle edilebilir.

Bu nedenle Social Engineering security awareness programının temel konularından biridir.

Human Firewall Nedir?

Human Firewall, güvenlik konusunda bilinçli kullanıcıların organization'ın savunma katmanlarından biri olması fikrini ifade eder.

Ancak bu kavram dikkatli kullanılmalıdır.

User hiçbir zaman tek savunma hattı olmamalıdır.

Daha doğru yaklaşım:

Human Firewall + Technical Controls

birlikte kullanılmalıdır.

Kullanıcı Son Savunma Hattı mı?

Hayır.

Kullanıcı önemli bir security layer'dır ancak sistem tasarımı insan hatasına dayanıklı olmalıdır.

User phishing'e tıklayabilir.

Secure Email Gateway engelleyebilir.

User credential girebilir.

Phishing-resistant MFA account takeover'ı engelleyebilir.

User sensitive file gönderebilir.

DLP block edebilir.

Bu nedenle Security Awareness, Defense in Depth içinde çalışmalıdır.

Security Culture Nedir?

Security Culture, organization içerisindeki insanların güvenliği günlük işin doğal bir parçası olarak görme seviyesidir.

Güçlü security culture'da çalışan:

şüpheli durumu bildirir,

security team'den çekinmez,

policy'nin nedenini bilir,

hatasını saklamaz.

Bu kültür yalnız eğitimle oluşmaz.

Management behavior ve organizational trust da önemlidir.

Güvenlik Kültürü Nasıl Oluşturulur?

Security culture için:

management support,

consistent communication,

easy reporting,

positive reinforcement,

practical training

önemlidir.

Çalışan security team'i yalnızca:

“yasak koyan ekip”

olarak görmemelidir.

Security team business partner olarak konumlandırılmalıdır.

Blame Culture Neden Zararlıdır?

User phishing'e tıkladığında ağır şekilde suçlanırsa bir sonraki incident'ı saklayabilir.

Bu durum Mean Time to Report'u artırır.

Oysa security team için en değerli davranışlardan biri:

hızlı bildirimdir.

Bu nedenle awareness programı punishment yerine learning culture oluşturmalıdır.

Security Incident Reporting Neden Önemlidir?

Security tools her attack'ı tespit edemeyebilir.

User:

garip e-mail,

unexpected login,

fake call,

suspicious pop-up

fark edebilir.

Bu durumda quick reporting SOC için early detection sağlar.

Mean Time to Report Nedir?

Mean Time to Report, user'ın şüpheli activity'yi fark etmesi ile security team'e bildirmesi arasındaki süreyi ölçmek için kullanılabilir.

Örneğin phishing simulation sonrası user ne kadar sürede report ediyor?

Bu metric yalnız click rate'ten daha anlamlı olabilir.

Phishing Simulation Nedir?

Phishing Simulation, çalışanlara controlled ve authorized phishing e-mails gönderilerek awareness behavior'ının ölçülmesidir.

Simulation gerçek malware veya credential theft amacı taşımaz.

Amaç employees'ın phishing indicators'ı tanımasını ve report behavior'ını ölçmektir.

Phishing Simulation Neden Yapılır?

Yalnızca training sonrası quiz yapmak gerçek-world behavior'ı ölçmez.

User eğitimde doğru cevabı biliyor olabilir ancak gerçek e-mail geldiğinde yanlış karar verebilir.

Phishing simulation bu farkı ölçmeye yardımcı olur.

Click Rate Nedir?

Click Rate, phishing simulation'da link'e tıklayan users'ın oranıdır.

Örneğin 1.000 user'dan 100'ü tıklarsa Click Rate %10 olur.

Bu metric faydalıdır ancak tek başına program başarısını göstermez.

Click Rate Düşerse Güvenlik Kültürü Güçlenmiş Sayılır mı?

Her zaman değil.

Bu sorunun cevabı önemlidir.

Click Rate düşebilir çünkü simulation kolaylaşmış olabilir.

Users aynı template'i tanımış olabilir.

E-mail delivery problemi olmuş olabilir.

Gerçek security culture için:

Reporting Rate,

Credential Submission Rate,

Mean Time to Report,

Repeated Failure Rate

gibi ek metrics de değerlendirilmelidir.

Reporting Rate Nedir?

Reporting Rate, phishing simulation message'ını security team'e doğru şekilde bildiren user oranıdır.

Bu genellikle positive behavior metric olarak değerlidir.

Yalnız:

“Kim hata yaptı?”

değil,

“Kim doğru security action aldı?”

sorusu da sorulmalıdır.

Credential Submission Rate Nedir?

Simulation fake login page içeriyorsa credential girmeye çalışan users'ın oranı ölçülebilir.

Gerçek passwords kesinlikle capture edilmemelidir.

Amaç yalnız user'ın credential submission behavior'ını ölçmektir.

Bu Click Rate'ten daha yüksek risk göstergesi olabilir.

Repeat Offender Nedir?

Tekrarlanan simulations'da sürekli yüksek riskli davranış gösteren users için kullanılan genel ifadedir.

Ancak kullanıcıya etiket yapıştırmak yerine:

targeted training,

coaching,

role-based support

uygulanması daha doğrudur.

Risk-Based Training Nedir?

Risk-Based Training, her user'a aynı eğitim yerine risk profile'a göre farklı content sunulmasıdır.

Örneğin phishing simulation'da credential paylaşan user ek training alabilir.

Bu kişiselleştirilmiş yaklaşım training effectiveness'i artırabilir.

Role-Based Security Awareness Nedir?

Role-Based Training, çalışanların role özel threats hakkında eğitilmesidir.

Çünkü Finance ile Developer aynı cyber risk profile'a sahip değildir.

Örneğin Finance:

BEC,

invoice fraud,

vendor change

konularında daha fazla training alabilir.

Developers ise:

source code,

secrets,

dependency security

üzerine eğitilebilir.

Executive Security Awareness

Executives yüksek-value targets olabilir.

Whaling, CEO fraud ve deepfake social engineering attacks executives ve assistants'ı hedefleyebilir.

Bu nedenle executive awareness ayrı security module olarak tasarlanabilir.

Finance Security Awareness

Finance teams payment ve bank account changes gibi high-risk processes yürütür.

Training şu konuları içerebilir:

Invoice Fraud

Vendor Email Compromise

BEC

Out-of-Band Verification

Four-Eyes Principle

Bu teknik training'den daha business-specific'tir.

HR Security Awareness

HR sensitive employee data işler.

Social engineering actors CV, payroll veya employee requests üzerinden HR'ı hedefleyebilir.

Bu nedenle HR için:

personal data,

identity verification,

secure file sharing

konuları önemlidir.

IT Help Desk Awareness

Help desk user password ve MFA reset gibi high-risk actions gerçekleştirir.

Attacker social engineering ile support team'i manipüle etmeye çalışabilir.

Bu nedenle help desk training:

identity verification,

MFA reset security,

privileged escalation

konularını kapsamalıdır.

Developer Security Awareness

Developers traditional phishing training yanında:

Secure Coding

Secrets Management

Source Code Security

Dependency Risk

Cloud Credentials

AI Code Assistant Security

konularında training almalıdır.

Bu Developer Security Awareness veya DevSecOps culture kapsamında düşünülebilir.

Privileged User Awareness

System administrators ve high-privileged users compromise edildiğinde blast radius daha büyük olabilir.

Bu nedenle privileged users için:

phishing-resistant MFA,

PAW usage,

credential handling,

remote administration

konularında özel security awareness gerekir.

Third-Party Security Awareness

Contractors ve external staff corporate systems'a access edebilir.

Bu users da awareness programına dahil edilmelidir.

Security policy yalnız permanent employees ile sınırlı olmamalıdır.

New Hire Security Training

Yeni employee ilk günlerde organization processes'i henüz bilmez.

Bu nedenle onboarding sırasında:

password,

MFA,

phishing reporting,

data handling,

acceptable use

gibi temel security topics anlatılmalıdır.

Offboarding Security Awareness

Employee organization'dan ayrılırken access revocation IT'nin sorumluluğudur.

Ancak employee'e:

data return,

company device,

confidentiality obligations

hatırlatılmalıdır.

Bu insider risk management açısından önemlidir.

Microlearning Nedir?

Microlearning, kısa ve odaklı eğitim içeriklerinin düzenli sunulmasıdır.

Örneğin 3–5 dakikalık module:

“MFA Fatigue nasıl anlaşılır?”

gibi tek konuya odaklanabilir.

Short-format learning user engagement'i artırabilir.

Gamification Nedir?

Gamification, training'e puan, badge veya challenge gibi game mechanics eklenmesidir.

Doğru tasarlanırsa engagement sağlayabilir.

Ancak security awareness'i yalnız competition'a dönüştürmemek gerekir.

Amaç öğrenmedir.

Security Quiz Faydalı mı?

Quiz knowledge retention ölçebilir.

Ancak doğru answer verilmesi user'ın gerçek attack karşısında doğru action alacağı anlamına gelmez.

Bu nedenle:

Quiz + Simulation + Behavioral Metrics

birlikte kullanılmalıdır.

Scenario-Based Training Nedir?

Scenario-Based Training, gerçek business situations üzerinden learning sağlar.

Örneğin:

“CEO acil ödeme istedi.”

“Supplier bank account değiştirdi.”

“MFA notification geldi.”

“Laptop kayboldu.”

User'dan doğru action seçmesi istenir.

Bu approach theoretical content'ten daha etkili olabilir.

Just-in-Time Training Nedir?

Just-in-Time Training, riskli behavior sonrasında kullanıcıya hemen kısa eğitim verilmesidir.

Örneğin phishing simulation link'ine tıklayan user'a:

“Bu e-mail'deki 3 risk işareti neydi?”

şeklinde kısa training gösterilebilir.

Bu behavior ile learning arasında güçlü bağ kurar.

Security Champions Program Nedir?

Security Champions, business units içerisinde security konusunda gönüllü veya atanmış employees'ın security team ile iletişim köprüsü oluşturduğu programdır.

Champions:

awareness,

policy adoption,

feedback

konularında yardımcı olabilir.

Bu security culture'ın organization geneline yayılmasını destekler.

Security Champions Kim Olmalı?

Yalnız IT çalışanları olmak zorunda değildir.

Finance, HR, Sales, Development ve Operations içerisinden security-minded employees seçilebilir.

Amaç security ownership'i merkezi ekipten tüm organization'a yaymaktır.

Security Communications Nedir?

Security Awareness yalnız training platformu üzerinden yürütülmemelidir.

Internal communication channels kullanılabilir:

e-mail,

Teams,

Slack,

intranet,

posters,

newsletters.

Ancak çok fazla security warning alert fatigue oluşturabilir.

Security Awareness Newsletter Faydalı mı?

Evet, fakat kısa ve practical olmalıdır.

Örneğin:

“Bu ay görülen 3 phishing yöntemi”

gibi organization-relevant content daha etkili olabilir.

Generic global threat lists employees için daha az anlamlı olabilir.

Real Incident-Based Awareness

Organization içerisinde gerçek incident yaşandıysa sensitive details paylaşılmadan lesson learned awareness içeriğine dönüştürülebilir.

Örneğin:

“Bu ay sahte supplier bank account change denemesi tespit edildi.”

Bu content employees için çok daha gerçekçi olabilir.

Deepfake Awareness

AI-generated voice ve video social engineering attacks giderek daha gerçekçi hale gelebilir.

Bu nedenle security awareness programları yalnız traditional phishing'i değil:

voice cloning,

deepfake video,

AI-generated messages

risklerini de ele almalıdır.

Deepfake CEO Fraud

Attacker executive'in voice'una benzeyen AI-generated audio kullanarak payment request oluşturabilir.

Bu nedenle defense:

Voice Recognition

değil,

Process Verification

olmalıdır.

Financial transaction yalnız ses veya video üzerinden authorize edilmemelidir.

AI-Generated Phishing

Generative AI attackers'ın daha düzgün grammar ve personalized content üretmesini kolaylaştırabilir.

Bu nedenle eski awareness mesajları:

“Yazım hatası varsa phishing olabilir.”

tek başına yetersizdir.

User:

context,

request,

domain,

business process

üzerinden değerlendirme yapmalıdır.

Security Awareness ve Generative AI

Employees public AI tools kullanırken data security awareness'e ihtiyaç duyar.

Program:

hangi AI services approved,

hangi data paylaşılabilir,

source code yüklenebilir mi,

customer data kullanılabilir mi

gibi soruları cevaplamalıdır.

Bu modern Cyber Awareness programlarının önemli konusudur.

Security Awareness ve Data Classification

User data classification seviyelerini bilmiyorsa DLP warning'lerini anlamayabilir.

Bu nedenle awareness:

Public,

Internal,

Confidential,

Restricted

gibi sınıflandırmaların practical kullanımını öğretmelidir.

Security Awareness ve DLP

DLP yalnız technical block aracı değildir.

Policy tip kullanıcıya:

“Bu işlemi neden yapmamalısınız?”

mesajı verebilir.

Böylece DLP real-time security coaching sağlar.

Security Awareness ve Endpoint Security

User EDR warning gördüğünde agent'ı kapatmaya çalışmamalıdır.

Unknown software install etmemelidir.

Device unusual behavior gösterirse security team'e bildirmelidir.

Endpoint Security awareness programının parçasıdır.

Security Awareness ve Browser Security

User:

HTTPS'in site güvenilirliği anlamına gelmediğini,

search engine result'ın malicious olabileceğini,

fake software update riskini,

browser extensions'ın permissions istediğini

bilmelidir.

Safe Browsing training modern awareness'in önemli bölümüdür.

Remote Work Security Awareness

Remote workers için training:

Public Wi-Fi

Lost Device

Home Router

Shoulder Surfing

Fake IT Support

Personal Cloud Storage

konularını kapsamalıdır.

Office-only scenarios remote workforce için yeterli değildir.

USB Awareness

User yerde bulduğu USB'yi endpoint'e takmamalıdır.

Corporate data personal removable media'ya aktarılmamalıdır.

Lost USB report edilmelidir.

Bu simple behaviors ransomware ve data leakage riskini azaltır.

Password Awareness

Training:

unique passwords,

password manager,

MFA,

credential phishing

konularını içermelidir.

Ancak user'dan yüzlerce complex password hatırlaması beklenmemelidir.

Technical controls user behavior'ı kolaylaştırmalıdır.

MFA Awareness

User unexpected MFA prompt'unu approve etmemelidir.

Bu behavior özellikle MFA fatigue attacks için önemlidir.

Training user'a:

“Ben login olmuyorsam onaylamıyorum.”

refleksini kazandırmalıdır.

Reporting Button Nedir?

E-mail client içerisine Phishing Report button eklenebilir.

User şüpheli mail'i tek click ile security team'e gönderebilir.

Reporting process ne kadar kolay olursa reporting rate o kadar artabilir.

Security Reporting Süreci Nasıl Olmalı?

Çalışan:

kimi arayacağını,

hangi e-mail'e yazacağını,

hangi button'a basacağını

bilmelidir.

Acil security reporting karmaşık olmamalıdır.

Anonymous Reporting Gerekli mi?

Bazı insider veya ethics scenarios için anonymous reporting faydalı olabilir.

Ancak normal cyber incident reporting için hızlı ve açık communication kanalı tercih edilmelidir.

Security Awareness Metrics Nelerdir?

Programın başarısı ölçülmelidir.

Önemli metrics:

Training Completion Rate

Phishing Click Rate

Credential Submission Rate

Reporting Rate

Mean Time to Report

Repeat Failure Rate

Role-Based Risk Score

Incident Reporting Volume

Human Risk Score

Bu metrics birlikte yorumlanmalıdır.

Training Completion Rate Nedir?

Training'e assigned users'ın ne kadarının eğitimleri tamamladığını gösterir.

Compliance açısından önemlidir.

Ancak completion security behavior'ın değiştiğini kanıtlamaz.

Phishing Click Rate Nasıl Yorumlanmalı?

Click Rate zaman içinde düşüyorsa olumlu signal olabilir.

Ancak simulation difficulty aynı değilse karşılaştırma yanıltıcı olabilir.

Metrics standardized ve contextual değerlendirilmelidir.

Reporting Rate Neden Click Rate'ten Daha Önemli Olabilir?

Çünkü security goal yalnız phishing'e hiç tıklamamak değildir.

User suspicious content'i erken report ederse SOC diğer employees'ı koruyabilir.

Bir kişinin report'u yüzlerce user'a ulaşacak campaign'i durdurabilir.

Bu nedenle reporting behavior pozitif security outcome'dur.

Mean Time to Report Neden Önemlidir?

Phishing campaign hızlı yayılabilir.

User 5 dakika içinde report ederse security team:

search-and-purge,

URL block,

domain block

yapabilir.

3 saat sonra report edilirse daha fazla user etkilenmiş olabilir.

Bu nedenle speed önemlidir.

Human Risk Score Nedir?

Human Risk Score, user veya group'un farklı behaviors ve security signals üzerinden risk seviyesini tahmin etmeye yönelik ölçüm yaklaşımıdır.

Örneğin:

Phishing Simulation Result

Training Behavior

Reported Incidents

Device Risk

Data Handling Events

gibi factors kullanılabilir.

Bu score dikkatli ve privacy-aware şekilde uygulanmalıdır.

Human Risk Score Çalışanı Cezalandırmak İçin Kullanılmalı mı?

Hayır.

Risk score'un amacı training ve security controls'ü improve etmektir.

Employees'ı stigmatize etmek veya unfair HR decisions için kullanmak security culture'ı zayıflatabilir.

High-Risk User Nedir?

High-Risk User iki farklı anlamda kullanılabilir.

Birincisi behavior nedeniyle riskli user.

İkincisi role nedeniyle yüksek-value target.

Örneğin CEO hiçbir simulation'a tıklamasa bile attackers için high-risk target olabilir.

Bu ayrım önemlidir.

High-Value Target Nedir?

High-Value Target, compromise edildiğinde organization için önemli impact oluşturabilecek user veya role'dür.

Örneğin:

Executive

Finance

System Administrator

Help Desk

bu profile dahil olabilir.

Bu users için stronger technical controls uygulanmalıdır.

Role Risk ile Behavior Risk Arasındaki Fark

Finance user phishing'e hiç tıklamamış olabilir ama payment access nedeniyle risklidir.

Başka user çok sayıda simulation'a tıklayabilir ancak critical access'i olmayabilir.

Modern Human Risk Management:

Role Risk + Behavior Risk + Access Risk

birlikte değerlendirmelidir.

Security Awareness Dashboard

Management için dashboard şu metrics'i gösterebilir:

Training Completion

Phishing Reporting Rate

Click Rate Trend

Risky Departments

Mean Time to Report

Role-Based Training Status

Ama dashboard yarışma tablosuna dönüşmemelidir.

Department Bazlı Security Awareness

Departments farklı threats ile karşılaşabilir.

Finance → BEC

HR → Personal Data

IT → Privileged Access

Developers → Source Code

Sales → External Sharing

Bu nedenle department-level analytics training programını optimize edebilir.

Security Awareness Benchmark Nedir?

Organization kendi metrics'ini previous periods ile karşılaştırmalıdır.

External industry benchmarks yararlı olabilir ancak kurumlar arasında:

simulation difficulty,

user profile,

reporting method

farklı olabilir.

Bu nedenle internal trend çoğu zaman daha anlamlıdır.

Security Awareness Maturity Model

Seviye 1 – Compliance Training

Yılda bir kez training yapılır.

Başarı completion rate ile ölçülür.

Security awareness compliance requirement olarak görülür.

Seviye 2 – Phishing Simulation

Regular phishing simulations ve basic metrics uygulanır.

Click rate ve reporting rate takip edilir.

Seviye 3 – Role-Based Awareness

Departments ve high-risk roles için özel training hazırlanır.

Just-in-Time Training ve microlearning kullanılır.

Seviye 4 – Human Risk Management

User behavior, access profile ve security events birlikte değerlendirilir.

Training risk-based olarak atanır.

DLP, Identity ve Endpoint signals awareness programıyla ilişkilendirilir.

Seviye 5 – Security Culture

Security behavior organization'ın günlük çalışma biçiminin doğal parçası haline gelir.

Employees security team'e hızlı report eder.

Management security behavior'a örnek olur.

Program:

Continuous + Measurable + Adaptive

hale gelir.

Security Awareness Program Nasıl Oluşturulur?

Başarılı program yalnız content satın almakla başlamamalıdır.

İlk adım:

Human Risk Assessment

olmalıdır.

Organization hangi user groups'un hangi threats'e maruz kaldığını anlamalıdır.

Daha sonra program şu sırayla oluşturulabilir:

Identify Human Risks

↓

Define Target Behaviors

↓

Create Role-Based Content

↓

Run Simulations

↓

Measure Behavior

↓

Provide Targeted Training

↓

Improve Technical Controls

↓

Measure Again

Bu continuous improvement cycle'dır.

Target Behavior Nedir?

Awareness programı vague hedefler yerine measurable behaviors tanımlamalıdır.

Örneğin:

“Phishing farkındalığını artır.”

yerine:

“Şüpheli e-mail reporting rate'i %X seviyesine çıkar.”

daha ölçülebilir hedef olur.

Başka hedef:

“Unexpected MFA requests approval rate'ini minimize et.”

olabilir.

Behavior Change Nedir?

Awareness training'in gerçek başarı kriteri knowledge değil behavior change'dir.

User “phishing nedir?” sorusunu cevaplayabilir.

Ama gerçek phishing message geldiğinde link'e tıklıyorsa knowledge behavior'a dönüşmemiştir.

Bu nedenle simulation ve real incident metrics önemlidir.

Positive Reinforcement Nedir?

Doğru security behavior'ın takdir edilmesidir.

Örneğin gerçek phishing campaign'i ilk report eden employee teşekkür mesajı alabilir.

Bu security reporting'i teşvik eder.

Security Awareness Programında Ceza Uygulanmalı mı?

Repeated intentional policy violations ayrı management konusu olabilir.

Ancak normal mistakes için punishment-focused program oluşturmak doğru değildir.

Çünkü user hatasını gizlemeye başlayabilir.

Security team için transparency daha değerlidir.

Security Awareness ile SOC İlişkisi

Employees aslında geniş bir distributed detection network gibi çalışabilir.

User phishing'i report eder.

SOC message'ı analiz eder.

SIEM/Email Security üzerinden aynı campaign'i bulur.

Messages organization genelinden kaldırılır.

Domain block edilir.

Bu durumda user doğrudan Detection & Response zincirinin parçasıdır.

User-Reported Phishing Nasıl İşlenmeli?

Report edilen message mümkünse automated workflow ile:

header analysis,

URL analysis,

attachment analysis,

reputation checks

işlemlerinden geçirilebilir.

Confirmed phishing ise environment-wide search yapılabilir.

Bu SOAR automation için uygun use case olabilir.

SOAR Security Awareness Programına Nasıl Katkı Sağlar?

SOAR user-reported phishing için automated playbook çalıştırabilir.

Örneğin:

Report Received

↓

Extract URLs

↓

Threat Intelligence Check

↓

Search Mailboxes

↓

Block Indicator

↓

Notify User

Bu reporting feedback loop'u güçlendirir.

Kullanıcıya Geri Bildirim Verilmeli mi?

Evet.

User phishing report eder ama hiçbir cevap almazsa reporting'in işe yarayıp yaramadığını bilemez.

Mümkünse:

“Teşekkürler, bu mesaj phishing olarak doğrulandı.”

gibi kısa feedback verilmesi security culture'ı güçlendirir.

False Positive Report Sorun mu?

Users legitimate e-mails'i de report edebilir.

Bu kötü bir şey değildir.

Awareness programının erken stages'inde over-reporting normal olabilir.

Automation ve triage ile volume yönetilebilir.

Zamanla user judgment gelişebilir.

Security Awareness ve Incident Response

Security awareness programı çalışanlara yalnız threat prevention değil incident response davranışını da öğretmelidir.

Örneğin:

Credential girdim.

Laptop kayboldu.

Yanlış kişiye file gönderdim.

MFA'yı yanlışlıkla onayladım.

Ne yapmalıyım?

Bu senaryolar açık şekilde öğretilmelidir.

“Hata Yaptım, Bildirmeli miyim?”

Kesinlikle.

Incident'ın hızla bildirilmesi technical response'un etkisini artırır.

Password reset, session revocation, link revoke veya endpoint isolation erken yapılabilir.

Security team'in amacı hatayı gizlemek değil impact'i azaltmaktır.

Security Awareness ve Cyber Hygiene

Cyber Hygiene günlük temel security habits'ı ifade eder.

Örneğin:

updates,

screen lock,

MFA,

password manager,

approved software,

safe browsing.

Security Awareness programı cyber hygiene davranışlarının sürekliliğini desteklemelidir.

Security Awareness Programında Politika Eğitimi

Employees Acceptable Use Policy, Data Classification Policy ve Remote Work Policy gibi rules hakkında bilgilendirilmelidir.

Ancak yüzlerce sayfalık policy'yi okumalarını beklemek yerine practical guidance verilmelidir.

Acceptable Use Policy Nedir?

Acceptable Use Policy, corporate systems ve devices'ın hangi amaçlarla ve nasıl kullanılabileceğini tanımlar.

Örneğin:

software installation,

personal usage,

cloud services,

USB usage

kuralları bulunabilir.

Security Awareness Programında AI Kullanımı

AI systems personalized microlearning, phishing content analysis veya adaptive training için kullanılabilir.

Ancak user profiling ve personal data kullanımı privacy-aware yapılmalıdır.

AI training programının amacı employees'ı sürekli gözetlemek olmamalıdır.

Adaptive Security Awareness Nedir?

Adaptive Awareness, user risk ve behavior'a göre training content'in dinamik değişmesidir.

Örneğin Finance team yeni BEC campaign ile karşılaştığında targeted module atanabilir.

Bu static annual training'e göre daha relevant olabilir.

Security Awareness Programı İçin KPI'lar

Kurumsal program şu KPI'ları takip edebilir:

• Training Completion Rate
• Phishing Click Rate
• Phishing Reporting Rate
• Credential Submission Rate
• Mean Time to Report
• Repeat Failure Rate
• High-Risk User Training Completion
• Executive Training Completion
• Incident Reporting Volume
• Role-Based Training Coverage
• Human Risk Trend
• Security Culture Survey Results

Tek metric üzerinden başarı değerlendirilmemelidir.

Security Culture Survey Nedir?

Employees'ın security hakkındaki perception ve confidence seviyelerini ölçen survey uygulanabilir.

Örneğin:

Şüpheli olayı nasıl report edeceğinizi biliyor musunuz?

Hata yaptığınızda security team'e rahatça bildirebilir misiniz?

Security policies işinizi gereksiz zorlaştırıyor mu?

Bu feedback program design için değerlidir.

Security Awareness Programında En Sık Yapılan Hatalar

Kurumlarda sık görülen hatalar şunlardır:

• Security Awareness'i yılda bir kez training olarak görmek
• Başarıyı yalnız training completion ile ölçmek
• Yalnız phishing click rate'e bakmak
• Reporting Rate'i ölçmemek
• Mean Time to Report'u takip etmemek
• Her employee'e aynı training'i vermek
• Finance, HR, IT ve Developers için role-based content hazırlamamak
• Executives'i program dışında bırakmak
• Contractors'ı awareness kapsamına almamak
• Training'i çok uzun ve teorik hazırlamak
• User mistakes için blame culture oluşturmak
• Security reporting'i karmaşık yapmak
• User reports'a feedback vermemek
• Phishing simulations'ı çalışanları yakalama aracı gibi kullanmak
• Human Risk Score'u punishment için kullanmak
• Real incidents'tan lesson learned çıkarmamak
• Deepfake ve AI phishing risklerini eğitimlere eklememek
• Public AI data leakage konusunu görmezden gelmek
• Awareness programını technical controls'den ayrı yürütmek
• Programın business impact'ini ölçmemek

Security Awareness Program Checklist

Kurumlar aşağıdaki kontrolleri değerlendirebilir:

• Security Awareness Program yıllık planla yönetiliyor mu?
• New hire security training var mı?
• Annual refresher training uygulanıyor mu?
• Microlearning kullanılıyor mu?
• Phishing simulations düzenli yapılıyor mu?
• Simulation difficulty standardize ediliyor mu?
• Reporting Rate ölçülüyor mu?
• Click Rate trend olarak izleniyor mu?
• Credential Submission Rate takip ediliyor mu?
• Mean Time to Report ölçülüyor mu?
• Repeat risk behavior tespit ediliyor mu?
• Role-Based Training uygulanıyor mu?
• Finance için BEC training mevcut mu?
• HR için data security training var mı?
• IT Help Desk social engineering training alıyor mu?
• Developers secure coding awareness alıyor mu?
• Privileged users için özel training var mı?
• Executives awareness programına dahil mi?
• Contractors programa dahil mi?
• Deepfake awareness işleniyor mu?
• AI-generated phishing senaryoları training'de var mı?
• Generative AI data usage training'i mevcut mu?
• Phishing Report button kullanılıyor mu?
• User reports SOC workflow'a entegre mi?
• SOAR phishing report automation kullanılıyor mu?
• User reports'a feedback veriliyor mu?
• Security Champions programı var mı?
• Security Culture Survey yapılıyor mu?
• Human Risk trends management'e raporlanıyor mu?
• Awareness metrics teknik security metrics ile ilişkilendiriliyor mu?
• Program her yıl lessons learned ile güncelleniyor mu?

Sık Sorulan Sorular

Security Awareness nedir?

Security Awareness, employees'ın cyber threats'i tanımasını, güvenli davranış geliştirmesini ve security incidents'ı doğru şekilde bildirmesini amaçlayan farkındalık yaklaşımıdır.

Security Awareness Program nedir?

Yıl boyunca training, simulation, communication ve measurement faaliyetlerinin planlı şekilde yürütüldüğü kurumsal security programıdır.

Human Risk Management nedir?

Kullanıcı davranışlarından kaynaklanan security risklerin ölçülmesi, değerlendirilmesi ve azaltılması yaklaşımıdır.

Human Firewall nedir?

Security-aware employees'ın organization'ın savunma katmanlarından biri olması fikrini ifade eden kavramdır.

Security Culture nedir?

Employees'ın güvenliği daily business process'in doğal bir parçası olarak görme ve uygulama seviyesidir.

Phishing Simulation nedir?

Employees'a controlled fake phishing messages gönderilerek security behavior'ın ölçüldüğü authorized awareness testidir.

Phishing Click Rate nedir?

Simulation phishing link'ine tıklayan users'ın toplam participants'a oranıdır.

Reporting Rate nedir?

Phishing simulation veya suspicious message'ı security team'e doğru şekilde report eden users'ın oranıdır.

Click Rate düşmesi awareness programının başarılı olduğunu gösterir mi?

Tek başına hayır. Reporting Rate, Credential Submission Rate, Mean Time to Report ve Repeat Behavior gibi metrics de değerlendirilmelidir.

Mean Time to Report nedir?

User'ın suspicious event'i fark etmesi ile security team'e report etmesi arasında geçen süredir.

Human Risk Score nedir?

User veya group'un role, behavior ve security signals üzerinden tahmini human cyber risk seviyesini ifade eden ölçüm yaklaşımıdır.

Role-Based Security Awareness nedir?

Employee training'in görev ve risk profile'ına göre özelleştirilmesidir.

Security Champions Program nedir?

Departments içerisindeki selected employees'ın security team ile business arasında awareness ve communication köprüsü kurduğu programdır.

Microlearning nedir?

Kısa, odaklı ve düzenli security training modules kullanılarak sürekli öğrenme sağlanmasıdır.

Just-in-Time Training nedir?

User riskli behavior gösterdiği anda veya hemen sonrasında ilgili konuda kısa eğitim verilmesidir.

Deepfake Awareness neden gereklidir?

AI-generated voice ve video social engineering attacks nedeniyle employees'ın yalnız e-mail phishing değil multi-channel impersonation risklerini de tanıması gerekir.

Generative AI Security Awareness nedir?

Employees'ın public veya corporate AI tools kullanırken sensitive data, privacy, confidential information ve approved usage policies konusunda eğitilmesidir.

Security Awareness yalnız çalışanların sorumluluğu mudur?

Hayır. Organization teknik controls, secure processes ve management support sağlamalıdır. Kullanıcı tek savunma hattı olmamalıdır.

Sonuç: Security Awareness'in Hedefi Çalışanı Sınamak Değil, Güvenli Davranışı Güçlendirmektir

Kurumsal güvenlik farkındalığında en büyük yanlışlardan biri programı yalnızca eğitim tamamlama oranı üzerinden değerlendirmektir.

%100 training completion iyi bir compliance göstergesi olabilir.

Ancak şu soruların cevabını vermez:

Çalışan phishing geldiğinde ne yapıyor?

Şüpheli MFA isteğini onaylıyor mu?

Yanlış file gönderdiğinde hemen report ediyor mu?

Public AI tool'a confidential data yüklüyor mu?

Fake support call geldiğinde identity verification yapıyor mu?

Gerçek başarı burada ölçülür.

Bu nedenle modern Security Awareness programı:

Knowledge

↓

Behavior

↓

Measurement

↓

Improvement

zinciri üzerine kurulmalıdır.

Training bilgi verir.

Simulation behavior'ı test eder.

Metrics risk seviyesini gösterir.

Targeted education behavior'ı geliştirir.

Technical controls ise user'ın hata yapması durumunda impact'i sınırlar.

Bu nedenle güçlü security culture:

“Çalışan hata yapmaz.”

kültürü değildir.

Güçlü security culture:

“Çalışan şüpheli durumu fark eder, hızlı bildirir ve organization hatayı felakete dönüşmeden yönetebilir.”

kültürüdür.

Click Rate bunun küçük bir parçasıdır.

Daha önemli sorular şunlardır:

Users phishing'i ne kadar hızlı report ediyor?

Finance team fake payment request'i process control ile durdurabiliyor mu?

Help Desk social engineering karşısında identity verification yapıyor mu?

Privileged users stronger authentication kullanıyor mu?

Employees hata yaptığında olayı gizlemek yerine security team'e geliyor mu?

Gerçek Human Risk Management bu sorulara cevap verir.

Modern Security Awareness programının temel formülü:

Continuous Training + Role-Based Awareness + Phishing Simulation + Positive Reporting Culture + Behavioral Metrics + Technical Controls + Human Risk Management

şeklinde düşünülebilir.

Ancak serinin tamamı açısından bundan daha önemli bir formül vardır:

Awareness + Identity Security + Endpoint Security + Data Security + Detection + Response

Çünkü son kullanıcı güvenliği yalnız kullanıcıyı eğitmek değildir.

Kullanıcı phishing'e tıklayabilir.

Endpoint protection devreye girmelidir.

Credential paylaşabilir.

MFA ve Identity Security devreye girmelidir.

Yanlış file gönderebilir.

DLP devreye girmelidir.

Security alert'i görebilir.

SOC devreye girmelidir.

Bu nedenle son kullanıcı güvenliğinin ana prensibi şudur:

Kullanıcıyı güvenliğin en zayıf halkası olarak görmek yerine, teknik kontrollerle desteklenen aktif bir güvenlik sensörü haline getirin.

İnsan hatasını tamamen ortadan kaldıramazsınız; ancak insan hatasının siber güvenlik olayına dönüşmesini engelleyen bir güvenlik mimarisi kurabilirsiniz.