Siber Güvenlikte Raporlama Kültürü: Tıklayan Çalışanı Cezalandırmak Neden Ters Teper?

Oltalama bağlantısına tıklayan bir çalışan cezalandırıldığında, diğerlerinin ne yapacağını tahmin etmek zor değil: Onlar da tıklayacak, ama kimseye söylemeyecek. Açık, kimsenin bilmediği bir yerde günlerce bekleyecek. Siber güvenlik kültürünün temeli, hatanın hızla ve korkmadan bildirilebilmesidir. Bu yazıda raporlama kültürünün neden kritik olduğunu ve nasıl kurulabileceğini anlatıyoruz.

Çalışan sessizliği bir güvenlik riskidir

Hatalar paylaşılmıyorsa, şüpheli e-postalar raporlanmıyorsa, politikalarla ilgili tereddütler dile getirilmiyorsa güvenlik operasyonu hızla zayıflar. Bu durumda asıl zafiyet insan davranışında ortaya çıkar.

Bir saldırganın kurum içinde fark edilmeden geçirdiği her gün, verdiği zararı büyütür. Çoğu zaman o saldırıyı ilk fark eden kişi, hatayı yapan çalışanın ta kendisidir. Konuşmazsa, kurum en erken uyarı sinyalini kaybeder.

"Ben asla kanmam" diyenler daha büyük risk

"Ben asla bir phishing e-postasına kanmam" cümlesini kuran kişi, saldırganın aradığı hedef profiline uyar. Kendine güvenen biri e-postayı daha az inceler, "zaten fark ederim" diye düşünür ve ikinci kez bakmayı atlar.

Bunun en çarpıcı örneklerinden biri, "Have I Been Pwned" sitesinin kurucusu Troy Hunt. Dünyanın en tanınmış siber güvenlik uzmanlarından biri olan Hunt, Mart 2025'te bir oltalama e-postasına kandı. Uzun bir uçak yolculuğundan yeni dönmüş, yorgundu. Mailchimp'ten geldiğini iddia eden bir e-posta, hesabının spam şikayeti nedeniyle kısıtlandığını söylüyordu. Hunt bağlantıya tıkladı, şifresini ve tek kullanımlık kodunu girdi. Sayfa donduğunda ne olduğunu anladı ama saldırı otomatikti ve binlerce e-posta adresi saniyeler içinde dışa aktarılmıştı.

Hunt yaşadıklarını kamuoyuyla açıkça paylaştı. Bu, raporlama kültürünün bireysel ölçekteki en iyi örneğidir: Herkes bir gün yorgun, meşgul ve dikkati dağınık olabilir. Önemli olan hatadan sonra ne yaptığınızdır.

Doğru cevap: "Teşekkürler, hemen bakıyoruz"

"Bir şey yaptım, sorun olabilir mi?" diyen çalışana verilecek en doğru cevap "Teşekkürler, hemen bakıyoruz" olmalıdır. Bunu söyleyebilen bir güvenlik ekibi, kurumun en erken uyarı sistemine sahip olur.

Ama güvenlik ekibi bu kültürü tek başına yaratamaz. Raporlayanı koruyan bir kültür için yönetimin desteği şarttır. Muhasebe ya da İK için işe alınmış biri kurumun güvenliğini tek başına taşımak zorunda kalmamalı. Güvenlik ekibi de bu kültürü kurma yükünü tek başına taşımamalı.

Çalışanlarınız raporlamayı biliyor mu? 30 saniyelik test

Şu senaryoyu düşünün: "Günün sürprizi: ilk 10 kişiye öğle kahvesi hediye. Hemen QR kodu okutun!" Bu bir e-postayla geliyor. Açmak, okumak ve kullanıcı adı ile şifre yazmak kabaca 30 saniye sürer.

Şimdi bunun bir aldatmaca olduğu anlaşıldığında:

• Çalışan bunu kime bildirecek?
• Nasıl bildirecek: e-posta, telefon, bir buton?
• Süreç tanımlı mı?
• Bildirim ne kadar sürüyor?
• Bütün çalışanlar bu soruların cevabını biliyor mu?

Saldırının 30 saniyede gerçekleştiği bir dünyada raporlama sürecinin 30 dakika sürmesi büyük bir açıktır.

Raporlama kültürü nasıl kurulur?

1. Tek ve kolay bir kanal belirleyin. E-posta istemcisinde bir "şüpheli bildir" butonu en etkili yöntemdir.
2. Her bildirime geri dönün. Bildirim yapan kişi, bildiriminin işe yaradığını görmelidir.
3. Hatayı itiraf edeni koruyun. Tıkladıktan sonra hemen haber veren çalışan, tıklamayıp sessiz kalandan daha değerlidir.
4. Liderler örnek olsun. Yöneticilerin kendi şüpheli e-postalarını bildirdiğini görmek, kültürü en hızlı yayan şeydir.
5. Ölçün. Raporlama oranı ve raporlama süresi, güvenlik kültürünün en somut göstergeleridir.

Kültür değişimi uzun soluklu bir süreçtir. Güven ortamı kurmak, çalışanların söz hakkına sahip olduğu bir yapı oluşturmak zaman ve kararlılık ister. Lider kadrosu süreci sahiplenmezse dönüşüm başarılı olmaz.

Sık sorulan sorular

---
InfoLore, raporlama odaklı güvenlik kültürü programları tasarlar. Kurumunuzdaki raporlama sürecini birlikte gözden geçirmek için bize ulaşabilirsiniz.