Yıllık Zorunlu Siber Güvenlik Eğitimi Neden Yetmiyor? Tamamlama Oranı Yanılgısı

Yılda bir kez verilen zorunlu siber güvenlik eğitimi, çalışanların gerçek bir saldırı anındaki davranışını değiştirmek için yeterli değildir. "Eğitim tamamlandı" olarak işaretlenen bir çalışan, aynı gün bir oltalama bağlantısına tıklayabilir. Asıl sorun, başarının tamamlama oranıyla ölçülmesi. Bu yazıda yıllık eğitim modelinin neden yetersiz kaldığını ve sürekli bir farkındalık programının neyi farklı yaptığını anlatıyoruz.

Kayıplar artarken eğitimler de artıyordu

FBI'ın İnternet Suçları Şikayet Merkezi (IC3) verilerine göre ABD'de bildirilen siber suç kayıpları 2020'deki yaklaşık 4,2 milyar dolardan 2025'te 20,9 milyar dolara çıktı. Yani beş yılda yaklaşık beş kat. Aynı dönemde şirketlerin büyük çoğunluğu yıllık güvenlik eğitimlerini sürdürüyor, hatta artırıyordu.

İki eğilimin aynı anda yaşanması bir şeylerin yanlış gittiğini gösteriyor. Siber güvenlik topluluğu bunu iki farklı şekilde açıklıyor:

• Birinci görüş: Sorun eğitimin kendisinde değil. İçerik zayıf, tekrar yetersiz, ölçüm eksik. Doğru yapılsaydı sonuç değişirdi.
• İkinci görüş: Tamamlama oranı hiçbir zaman bir güvenlik göstergesi olmadı. Çalışanlar bir modülü bitirdi diye farklı davranmaya başlamıyor.

İki görüş de aynı noktaya varıyor: Yılda bir kez "tıkla, bitir" eğitimi insan kaynaklı riski azaltmıyor.

Tamamlama oranı neden yanıltıcı?

Birçok kurumda başarı şu sorularla ölçülüyor: Kaç kişi eğitimi aldı? Kaç modül açıldı? Kim listede üstte?

Asıl sorular ise çoğu zaman cevapsız kalıyor:

• Davranış değişti mi?
• Karar alma biçimi etkilendi mi?
• İş sonuçlarına yansıdı mı?

Yöneticiler yüzde 100 tamamlama oranına bakıp "ekibimiz hazır" diyor. Güvenlik ekipleri ise sahada farklı bir tabloyla karşılaşıyor. Tamamlama oranı, bir çalışanın ekrandaki videoyu sonuna kadar oynattığını gösterir. O çalışanın yorgun bir cuma öğleden sonrası şüpheli bir e-postayı fark edip etmeyeceğini göstermez.

Oyunlaştırma, mikro öğrenme, e-öğrenme: araç amaca dönüşünce

Eğitim ve gelişim tarafında son yıllarda oyunlaştırma, mikro öğrenme ve yapay zeka destekli içerikler öne çıktı. Bunların hiçbiri başlı başına yanlış değil. Sorun, bu araçların amaca dönüşmesi ve öğrenmenin yerine konması.

İnsanlar tekrarlayan her şeyden yoruluyor. Oyunlaştırma başta işe yarıyor, sonra etkisini kaybediyor. Herkese aynı paketi vermek ya da daha fazla içerik üretmek davranış değişikliği yaratmıyor.

Sürekli farkındalık programı neyi farklı yapıyor?

Forrester Research bu yaklaşıma bir isim verdi: insan riski yönetimi (human risk management). Klasik eğitim modelinden ayrıldığı nokta şu: Herkese aynı içeriği vermek yerine her çalışanın gerçek davranışına bakıyor.

Etkili bir sürekli program genellikle şu bileşenlerden oluşur:

1. Düzenli oltalama simülasyonları: Çalışanların gerçek bir saldırıya benzer senaryolara nasıl tepki verdiğini ölçer.
2. Kısa ve sık eğitimler: Yılda bir saatlik video yerine ayda birkaç dakikalık, güncel tehditlere odaklanan içerik.
3. Role göre içerik: Muhasebedeki çalışanın karşılaştığı risk ile yazılım ekibinin riski aynı değildir.
4. Kolay raporlama: Şüpheli bir e-postayı tek tıkla bildirebilmek.
5. Davranış verisi: Tıklama oranı, raporlama oranı ve raporlama süresi gibi metriklerin zaman içindeki değişimi.

Ne ölçmeli?

Tamamlama oranının yerine şu metrikler daha anlamlıdır:

• Raporlama oranı: Simülasyon e-postasını fark edip bildiren çalışanların oranı
• Raporlama süresi: İlk bildirimin ne kadar sürede geldiği
• Tekrarlayan hata: Aynı kişinin aynı tür senaryoda tekrar hata yapıp yapmadığı
• Risk dağılımı: Hangi departman veya rolün daha fazla desteğe ihtiyaç duyduğu

Marsh McLennan'ın 2025'te yayımladığı Cybersecurity Signals raporunda, güvenlik farkındalığı eğitimi ve phishing testleri ihlal riskini azaltma etkisi açısından incelenen 12 kontrol arasında üçüncü sırada yer aldı. Raporun dikkat çeken bir bulgusu da şu: Eğitimin sıklığından çok kalitesi, yani güncel içerik ve gerçekçi simülasyonlar sonuçla ilişkili. Bu etkiyi görünür kılmanın yolu, tamamlama oranının ötesine geçen ölçümden geçiyor.

Sık sorulan sorular

---
InfoLore'un güvenlik kültürü programları davranış verisine odaklanır. Mevcut programınızı birlikte değerlendirmek için bize ulaşabilirsiniz.