Neden Önemli? Bölgesel Etki ve İş Değeri

Teknopark iş birlikleri; üniversite–sanayi sinerjisini artırır, yerli teknoloji üretimini hızlandırır ve KOBİ’ler için erişilebilir siber güvenlik sunar. Secure360 AI ile hedefimiz, kurumların görünürlüğü artırmasını, yanıt süresini kısaltmasını ve uyumluluğu sadeleştirmesini sağlamak.

Secure360 AI Nedir? (Kısa Tanım)

Secure360 AI, ağ–uç nokta–kimlik–bulut sinyallerini birleştirerek, yapay zekâ ve kurallar motoru ile bağlamlı olay akışı ve önceliklendirilmiş öneriler üreten bütünleşik bir karar destek yaklaşımıdır.

Projenin Hedefleri ve Kapsamı

Teknik Mimari ve Bileşenler

1) Toplama Katmanı

• Agent/Syslog/REST ile log–telemetri toplanması
• Bulut yerel servislerden (IaaS/PaaS) olay akışı

2) Zenginleştirme ve Korelasyon

• Tehdit istihbarı (TI) ve zafiyet verisi ile bağlam
• Olaylar arası ilişkisel korelasyon + anomaliler

3) Karar Desteği ve Otomasyon

• Önceliklendirilmiş öneriler: “Yapılacaklar listesi” mantığı
• SOAR/ITSM köprüleriyle otomatik aksiyonlar

Kurumlara Sağladığı Somut Değer

• Görünürlük: Tüm varlık, kullanıcı ve olayları tek panelde izleyin
• Hızlı Müdahale: Gürültü yerine bağlamlı olaylarla MTTR’ı azaltın
• Uyumluluk: ISO 27001/KVKK için denetim izleri ve raporlar
• Maliyet: Araç/lisans kalabalığını sadeleştirip süreç verimini artırın
• Yönetim Dili: Risk skorları ve OKR/KPI’larla stratejik görünürlük

Yol Haritası ve Milestone’lar

Ölçülebilir Başarı Metrikleri (KPI)

Aşağıdaki hedefler, projenin çıktılarını sayısal olarak takip etmek için kullanılır.

• MTTD/MTTR: İlk tespit ve yanıt süresinde çeyreklik düşüş hedefi
• Yanlış Pozitif Oranı: Korelasyon sayesinde anlamlı azalma
• Kritik Zafiyet SLA: Giderim sürelerinin kısalması
• Denetim Bulguları: Politika boşluklarında azalma
• Pano Kullanımı: Yönetim görünürlüğünde süreklilik

Sıkça Sorulan Sorular

Bilgi Güvenliği Farkındalık Eğitimi Neden Bu Kadar Önemli?

Siber güvenlik teknolojilerine milyonlar harcayan şirketler, hala en basit sosyal mühendislik saldırılarına kurban gidebiliyor. Çünkü teknolojik çözümler ne kadar gelişmiş olursa olsun, sistemleri kullanan insanlar bilgi güvenliği konusunda bilinçsizse, tüm güvenlik katmanları bir anda devre dışı kalabiliyor.

İşte bilgi güvenliği farkındalık eğitimlerinin kritik önemini ortaya koyan gerçekler:

• Phishing saldırılarının başarı oranını düşürür: Eğitimli çalışanlar şüpheli e-postaları kolayca tespit eder
• Veri sızıntısı riskini minimize eder: Çalışanlar hassas verileri nasıl koruması gerektiğini bilir
• Uyumluluk gerekliliklerini karşılar: ISO 27001, KVKK ve diğer regülasyonlar farkındalık eğitimlerini zorunlu kılar
• Kurumsal güvenlik kültürü oluşturur: Güvenlik herkesin sorumluluğu haline gelir
• Olay müdahale süresini kısaltır: Çalışanlar güvenlik olaylarını hızlı raporlar

ISO 27001’in Çalışan Farkındalığına Bakışı

ISO/IEC 27001:2022 standardı, çalışan farkındalığını bilgi güvenliği yönetim sisteminin temel taşlarından biri olarak görür. Standart, Madde 7.3’te “Farkındalık” başlığı altında açık gereklilikler belirler.

ISO 27001 Madde 7.3 – Farkındalık Gereklilikleri

Standarda göre, organizasyon bünyesinde çalışan tüm personel şu konularda bilinçlendirilmelidir:

Yavuzkan Hazel Fındık Eğitim Programı: Neler Yapıldı?

İnvekor olarak Yavuzkan Hazel Fındık bünyesinde gerçekleştirdiğimiz bilgi güvenliği farkındalık eğitimi, ISO 27001 standartlarına tam uyumlu ve sektör ihtiyaçlarına özel olarak tasarlandı.

Eğitim Programının Yapısı

Eğitim Metodolojisi

Klasik sunum odaklı eğitimlerin yetersiz kaldığını bilerek, interaktif ve uygulamalı bir yaklaşım benimsedik:

• Gerçek Vakalar: Sektörden gerçek güvenlik ihlali örnekleri üzerinden tartışmalar
• Senaryo Bazlı Öğrenme: Çalışanların kendi rolleriyle ilgili güvenlik senaryoları
• Soru-Cevap Oturumları: Personelin merak ettiği konuların detaylı açıklanması
• Pratik Alıştırmalar: Phishing testi simülasyonları ve güvenli parola oluşturma egzersizleri
• Değerlendirme Testleri: Eğitim sonrası bilgi ölçümü ve katılımcı geri bildirimleri

Eğitim Kapsamında İşlenen Ana Başlıklar

Yavuzkan Hazel Fındık personeline verdiğimiz eğitimde dört temel başlık üzerinde yoğunlaştık:

1. Bilgi Güvenliğinin Temel İlkeleri

Bilgi güvenliğinin üç temel direği olan Gizlilik (Confidentiality), Bütünlük (Integrity) ve Erişilebilirlik (Availability) kavramları detaylı şekilde anlatıldı.

Ayrıca şu konular işlendi:

• Bilgi varlıklarının tanımlanması ve sınıflandırılması
• Tehdit, zafiyet ve risk kavramları
• Güvenlik olayı ve ihlal arasındaki fark
• Savunma derinliği (defense in depth) yaklaşımı

2. Fiziksel ve Dijital Güvenlik Önlemleri

Bilgi güvenliği yalnızca dijital ortamla sınırlı değildir. Fiziksel güvenlik açıkları da ciddi veri kayıplarına yol açabilir.

Fiziksel Güvenlik Konuları:

• Temiz Masa Politikası: Hassas dokümanların açıkta bırakılmaması
• Kilitli Ekran Kuralı: Bilgisayardan ayrılırken ekran kilitleme
• Ziyaretçi Yönetimi: Misafirlerin denetimli alanda tutulması
• Doküman İmha: Gizli belgelerin güvenli şekilde yok edilmesi
• USB ve Taşınabilir Cihaz Kontrolü: Yetkisiz depolama ünitelerinin engellenmesi

Dijital Güvenlik Önlemleri:

• Güçlü Parola Kullanımı: Karmaşık ve uzun parolaların önemi
• Çok Faktörlü Kimlik Doğrulama (MFA): İkinci doğrulama katmanı
• Şifreleme: Hassas verilerin korunması
• Yama Yönetimi: Yazılımların güncel tutulması
• Yedekleme: Kritik verilerin düzenli yedeğinin alınması

3. Kurumsal Veri Koruma Politikaları

Yavuzkan Hazel Fındık’ın kendi politika ve prosedürleri, somut örneklerle personele aktarıldı.

4. Çalışan Farkındalığı ve Sorumluluk Bilinci

Eğitimin belki de en önemli kısmı, her çalışanın güvenlikte aktif bir rol oynadığını anlamasını sağlamaktı.

Çalışanlara şu sorumluluklar aktarıldı:

• Şüpheli durumları derhal IT veya güvenlik ekibine bildirmek
• Güvenlik politikalarına tam uyum göstermek
• Kendilerini sürekli güncel tutmak
• İş arkadaşlarını da bilinçlendirmek
• Güvenlik kültürünün yaygınlaşmasına katkı sağlamak

Bilgi Güvenliği Kültürü Nasıl Oluşturulur?

Tek seferlik bir eğitim, kalıcı bir güvenlik kültürü oluşturmaz. Sürdürülebilir bir farkındalık programı için sistematik bir yaklaşım gerekir.

Kültür Oluşturmanın Aşamaları

Kültür Oluşturmada Kritik Başarı Faktörleri

• Üst Yönetim Desteği: CEO ve yönetim kurulu güvenliği önceliklendirir
• Açık İletişim: Güvenlik olayları cezalandırılmadan raporlanabilir
• Süreklilik: Düzenli hatırlatmalar, güncellemeler ve tazeleme eğitimleri
• Kişiselleştirme: Her departmanın kendi risklerine özgü eğitimler
• Ölçülebilirlik: Farkındalık seviyesi düzenli testlerle izlenir
• Ödüllendirme: Güvenlik kurallarına uyan ve ihlal tespit eden çalışanlar takdir edilir

Etkili Bir Farkındalık Programının 7 Temel Prensibi

Yıllardır onlarca kuruluşa eğitim veren İnvekor olarak, başarılı programların ortak özelliklerini şu yedi prensipte topladık:

1. Kapsamlı Ama Anlaşılır

Teknik jargondan kaçının. Herkesin anlayabileceği basit dil kullanın. Karmaşık konuları günlük hayattan örneklerle açıklayın.

2. Rol Bazlı ve İlgili

IT personeline verdiğiniz eğitimle, muhasebe çalışanına verdiğiniz eğitim aynı olamaz. Her rolün karşılaştığı risklere özel içerik hazırlayın.

3. İnteraktif ve Eğlenceli

Oyunlaştırma (gamification) tekniklerini kullanın. Quiz’ler, simülasyonlar ve yarışmalar motivasyonu artırır.

4. Düzenli ve Güncel

Tek seferlik değil, periyodik eğitimler planlayın. Yeni tehditler ortaya çıktıkça içeriği güncelleyin.

5. Ölçülebilir ve Takip Edilebilir

Eğitim öncesi ve sonrası testler yapın. Phishing simülasyonlarıyla gerçek dünya performansını ölçün.

6. Üst Yönetim Tarafından Desteklenen

CEO ve yöneticiler eğitimlere katılmalı, güvenliğin önemini mesajlarıyla vurgulamalıdır.

7. Olumlu Yaklaşımlı

Korku ve cezalandırma yerine, farkındalık ve ödüllendirme odaklı yaklaşım benimseyin.

Ölçülebilir Sonuçlar ve Sürekli İyileştirme

Eğitimin başarısını ölçmek, sürekli iyileştirme için kritiktir. İşte kullanılabilecek metrikler:

Sürekli İyileştirme Döngüsü

Farkındalık programınızı PDCA (Plan-Do-Check-Act) döngüsü ile yönetin:

• Plan: Hedef belirleyin, içerik ve metotları tasarlayın
• Do: Eğitimi uygulayın, materyalleri dağıtın
• Check: Metrikleri ölçün, geri bildirim toplayın
• Act: Sonuçlara göre iyileştirmeler yapın, yeni planlara geçin

Sıkça Sorulan Sorular

Kurumsal veri artık sadece sunucularda değil; bulutta, e-postalarda, mobil cihazlarda ve üçüncü parti SaaS hizmetlerinde de dolaşıyor. Bu da veri kaybı önleme (Data Loss Prevention – DLP) teknolojilerini 2025’te her ölçekten kurum için stratejik hale getiriyor.

DLP Nedir?

DLP; hassas verinin nerede bulunduğunu, kim tarafından kullanıldığını ve nereye gittiğini izleyip, yetkisiz hareketleri engelleyen bir güvenlik yaklaşımıdır. Amaç, veri sızıntılarını hem kaza hem kötü niyetli eylemlerden korumaktır.

“DLP, yalnızca bir yazılım değil; görünürlük, politika ve kullanıcı farkındalığının birleşimidir.”

Temel Bileşenler

Uygulama Stratejisi

• 1. Veri Sınıflandırma: Dosyalar “Kişisel”, “Gizli”, “Çok Gizli” gibi etiketlenir.
• 2. Politika Tanımları: KVKK, ISO 27001 veya şirket içi kurallara göre aktarım politikaları belirlenir.
• 3. İzleme ve Test: İlk aşamada yalnızca izleme modu ile hatalı bloklamalar minimize edilir.
• 4. Otomatik Eylemler: Belirli senaryolarda e-posta karantinaya alınır veya veri maskelenir.

Örnek Politika Kuralı

// TC Kimlik Numarası içeren belgelerin e-posta ile dışarı gönderimi engellensin
IF (file.containsPattern("TC Kimlik No") && destination.domain != "invekor.net") {
   ACTION = "block";
   ALERT = "Security Team";
}

Kazayla Veri Sızıntısı Örnekleri

• Excel dosyasında müşteri listesi yanlış kişiye gönderildi.
• USB bellekle dışarı çıkarılan proje planı kayboldu.
• Google Drive klasörü “Herkese Açık” olarak paylaşıldı.

DLP ve KVKK Uyumu

KVKK’nın 12. maddesi, “kişisel verilerin yetkisiz erişim, ifşa, tahrip veya kaybolmaya karşı korunması” yükümlülüğünü getirir. DLP çözümleri, bu maddeye uygun teknik tedbirlerin otomatik uygulanmasını sağlar.

2025 Trendleri

• Yapay Zeka Destekli DLP: Anlam-bazlı içerik tanıma (NLP) ve kullanıcı davranış analitiği.
• Zero Trust ile Bütünleşme: Kimlik, cihaz ve veri bağlamının aynı politika motorunda birleşmesi.
• Otomatik Veri Maskesi: Ekran görüntüsü veya metin kopyalama sırasında dinamik maskeleme.

Başarı Ölçütleri

Sonuç

Etkin bir DLP stratejisi, sadece veriyi değil; markanın itibarını da korur. İnvekor olarak; Bitdefender DLP, Safetica, FortiDLP ve Microsoft Purview çözümleriyle kurumlara KVKK uyumlu, merkezi yönetilebilir veri koruma altyapıları sunuyoruz.