2026'da Çalışanlar için Siber Güvenlik Günü: program ve tatbikatlar

Çalışanlar için Siber Güvenlik Günü nasıl düzenlenir: istasyon programı, güvenli tatbikatlar, ekip rolleri, veri işleme ve bütçe faktörleri.

Çalışanlar için Siber Güvenlik Günü, bilinen kuralları sunumdan eyleme dönüştürür: katılımcı şüpheli e-postaları duyar ve bunları nereye bildireceğine hemen karar verir. Masa başı tatbikatında yöneticiler, çözümün kaybolduğu noktaları tespit eder. Aventura olarak bu formatı, müşterinin uzman ekibiyle birlikte oluşturuyoruz. Bilgi Güvenliği Müdürü (CISO) içerik ve güvenli sınırlardan sorumludur; biz ise program, rotalar, teknik altyapı ve mekan yönetiminden sorumluyuz.

Şirket için ayrı bir Siber Güvenlik Günü neden gerekli?

Kısaca: Bu günde şirket, çalışanların şüphe hakkında nasıl bildirimde bulunduğunu kontrol eder ve yöneticiler olay senaryosuna göre kararlar alır. Format, kuralların açıklanmasını, eylem eğitimini ve süreç analizini birleştirir. Tek bir etkinlik riski ortadan kaldırmaz ve teknik korumanın yerini tutmaz. Etkinlikten sonra, sorumlu çalışanların belirlendiği bir iyileştirme listesi oluşur.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), siber güvenlik ve gizlilik eğitimini tekrarlayan değerlendirme ve iyileştirme döngüsüne sahip sürekli bir program olarak tanımlar; bu nedenle Siber Güvenlik Günü'nü diğer iletişimlerin arasına yerleştirmek daha iyidir. Etkinlikten önce çalışanların tipik zorluklarını toplayın. Etkinlikten sonra kısa hatırlatma notları gönderin. Ayrıca, bulunan boşlukların kapatılıp kapatılmadığını kontrol edin.

Format, normal bir kursun test ile sona erdiği ancak kişinin çalışma ortamında nasıl davrandığını göstermediği durumlarda özellikle faydalıdır. Çalışan, «oltalama» terimini biliyor olabilir ancak şüpheli bir e-postayı nereye göndereceğini bilmiyor olabilir. Yönetici, müdahale planını hatırlıyor olabilir ancak operasyonu durdurma kararını kimin verdiğini bilmiyor olabilir. Gün, bu tür sorular için güvenli bir ortam sağlar.

Hazırlık öncesinde yönetimsel görevi belirleyin. Uygun ifadeler şöyle görünür:

1. Çalışanların şüpheli bir talep hakkında bildirimde bulunmak için standart kanalı bilip bilmediğini kontrol etmek.
2. Yöneticiler ve destek için eskalasyon zincirinin net olup olmadığını görmek.
3. Ödeme veya insan kaynakları talebinin bağımsız bir kanal aracılığıyla doğrulanmasını uygulamak.
4. İletişim, erişimler ve talimatlardaki boşlukları bulmak.
5. Tatbikattan sonra düzeltici eylem planı oluşturmak.

«Siber farkındalığı artırmak» hedefi çok geniştir. Katılımcının ne yapması gerektiğini ve müşterinin hangi sonucu alacağını belirtmez. Biz brifinge gözlemlenebilir bir eylemle başlarız ve ancak ondan sonra istasyonları, sahneyi ve tasarımı seçeriz.

Güvenli formatın sınırları

Güvenli Siber Güvenlik Günü, kötü amaçlı kod, üretim verileri veya hataların kamuya açık bir listesini gerektirmez. Eğitim ortamı çalışma alanından ayrılmıştır. Senaryolar mesajları, kararları ve rolleri test eder. Uzman ekip önceden durdurma kriterlerini onaylar, gösterimleri test eder ve katılımcıya baskı yapmadan egzersizi durdurabilir.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), masaüstü tatbikatlarını hedefler, senaryo, tartışma soruları ve nihai rapor etrafında kurar. Katılımcılar olay öncesinde, sırasında ve sonrasında ne yapılacağını tartışır. Bu format, bir saldırıyı yeniden üretmeden süreci test etmeye olanak tanır. Ekranda bir eğitim mesajı görünebilir, ancak ekip tehlikeli bir dosya çalıştırmaz ve gerçek altyapıyı araştırmaz.

İzin verilen ve yasaklanan mekanikleri daha konsept aşamasında ayırırız.

Her gösterim için bir içerik sahibi gereklidir. Bu genellikle CISO, bilgi güvenliği ekibinden bir çalışan veya müşteri tarafından davet edilen uzman bir kişidir. Organizatör ekibi siber savunma uzmanı gibi davranmaz ve gösteriş uğruna onaylanmış senaryoyu değiştirmez.

Durdurma kriterleri de önceden yazılır. Bunlara gerçek verilerin beklenmedik şekilde açığa çıkması, çalışma sistemine geçiş, erişim kontrolünün kaybı ve onaylanmış eğitim ortamından herhangi bir sapma dahildir. Böyle bir sinyalde sunucu bloğu duraklatır, teknik ekip onu kapatır ve katılımcılara tarafsız bir neden ve bir sonraki adım bildirilir.

İstasyonlar ve genel tatbikat programı

Çalışma programı kısa bir genel başlangıcı, belirli görevlere sahip birkaç istasyonu ve final değerlendirmesini birleştirir. Gruplar kuyruk oluşturmamak için farklı noktalardan başlar. Dalga boyutunu en dar istasyon belirler. Yöneticiler için, çalışanlar pratik modüllerden geçerken ayrı bir masa başı tatbikatı eklenebilir.

İstasyon mini dersten farklıdır. Katılımcı şüphe bildirir, talebi kontrol eder veya senaryoya göre karar verir. Kart, hedefi, kapasiteyi ve lideri kaydeder. Teknik, durdurma kriteri ve yedek ayrıca yazılır.

Örnek bir program şu şekilde oluşturulabilir:

Kesin set hedef kitleye bağlıdır: finans departmanına ödeme talebinin doğrulanması daha yakındır, insan kaynakları (İK) ekibi ise personel verilerinin korunmasını ele alır. Yöneticiler yükseltme ve öncelikler hakkında kararlar alır. Bilgi teknolojileri (BT) uzmanları, destek ekibiyle birlikte eğitim sinyallerinin alımını kontrol eder. Tüm bu roller için tek bir ders nadiren eşit derecede faydalı sonuç verir.

Akışlar en dar noktadan tasarlanır. Bir istasyonda güvenle sekiz kişi çalışıyorsa, yirmi beş kişilik bir grup kuyruk oluşturur ve dikkati kaybeder. Kitleyi dalgalara bölmek, onlara farklı başlangıç numaraları vermek ve rota rengini yaka kartında, navigasyonda ve ekranda tekrarlamak daha iyidir.

Ayrıntılı rotasyon ilkesini İş Güvenliği Günü makalesinde ele aldık. Siber güvenlik için içerik değişir, ancak üretim mantığı aynı kalır: bir modül, bir eylem, bilinen kapasite, geçiş süresi ve yedek.

Uzman içeriğini, istasyonları, mekanı ve rotaları tek bir şemada birleştirebiliriz. Bizden bir teklif isteyin. Hedef ve kısıtlarla başlayacağız, ardından program ve etkinlik organizasyonu için çözümler göstereceğiz.

Aventura'nın Telegram kanalına abone olun, böylece kurumsal etkinlikler hakkında yeni pratik materyaller alırsınız.

Çalışanlar için tuzak olmadan bir phishing simülasyonu nasıl hazırlanır?

Kısaca: simülasyon, suçlu aramadan sistemin çalışmasını kontrol eder; bu nedenle bilgi güvenliği yöneticisi, İK, BT ve hukuk departmanı hedefi ve kitleyi önceden kararlaştırır. Ayrıca işleme gerekçesini ve sonuçların saklanma süresini belirlerler. Eğitim e-postası gerçek parolaları toplamaz ve ekip bunu bir kontrol grubu üzerinde test eder. Egzersiz sonrasında sakin bir değerlendirme yapılır.

Birleşik Krallık National Cyber Security Centre, hiçbir eğitim paketinin her phishing girişimini tanımayı öğretemeyeceğini açıkça uyarır. Tıklama cezası, hatayı bildirme isteğini azaltabilir. Bu nedenle faydalı bir metrik, e-posta eyleminin yanı sıra resmi kanal üzerinden yapılan bildirimleri de dikkate alır.

Başlatmadan önce asgari kontrol seti şunları içerir:

1. Simülasyonun hedefini ve sınırlarını tek bir belgede tanımlayın.
2. Hedef kitleyi, senaryoyu ve veri işlemeyi CISO, İK, BT ve hukuk departmanıyla kararlaştırın.
3. Hastalık, ölüm, işten çıkarma, borçlar ve diğer travmatik yemleri hariç tutun.
4. Girilen parolaları saklamayın ve çalışan zararlı kod kullanmayın.
5. E-postayı, sayfayı, bildirimi ve raporu bir test grubu üzerinde kontrol edin.
6. Destek ekibinin eğitim mesajlarını kabul etmeye hazır olduğundan emin olun.
7. Gönderimi durdurabilecek bir kişi atayın.
8. Destekleyici bir değerlendirme ve anlaşılır bir talimat hazırlayın.
9. Sonuçlara erişimi sınırlayın ve silme süresini önceden belirleyin.
10. Tek bir sonucu otomatik disiplin cezasıyla ilişkilendirmeyin.

Ön bildirim seviyesi, metodolojiye ve yerel belgelere bağlıdır. Tüm kuruluşlarda tam gizlilik sözü vermek veya aynı türde onay talep etmek evrensel olarak mümkün değildir. Kararı müşterinin hukuk ve ilgili ekibi verir. Bu makalede üretimsel ve etik sorular soruyoruz, ancak hukuki görüşün yerini tutmaz.

Simülasyon yalnızca teknik engeller ve anlaşılır prosedürlerle birlikte faydalıdır. Programa, önemli taleplerin bilinen başka bir kanal üzerinden doğrulanması, çok faktörlü kimlik doğrulama, güncellemeler, yedek kopyalar ve erişim kısıtlamaları dahil edilmelidir. Çalışan, savunmanın son ve tek hattı olarak kalmamalıdır.

Takım Rolleri ve Sorumluluk Alanı

Bilgi güvenliği yöneticisi içeriği onaylar ve egzersizi durdurabilir, İK ise iş kurallarını ve cezalandırıcı olmayan tonu izler. BT, güvenlik izleme merkezi (SOC) ile birlikte test ortamını hazırlar. Hukuk servisi veri işlemeyi kontrol eder. Biz «Aventura»'da bu kararları program, mekan, akışlar ve teknik ile birleştiriyoruz.

İş bölümü projeyi iki aşırı uçtan korur. İlkinde organizasyon ekibi değerlendiremediği teknik bir senaryo alır. İkincisinde bilgi güvenliği yöneticisi kayıt, mobilya, navigasyon ve akışları kendisi toplamak zorunda kalır. Ortak çalışma grubu her kararı yetkin sahibine bırakır.

Bir kişi birden fazla işlevi birleştirebilir, ancak rol adlarını korumak faydalıdır. Böylece ekip sinyali kimin izlediğini, kararı kimin verdiğini, kimin uyguladığını, katılımcılara kimin bildirdiğini ve sonucu kimin kaydettiğini anlar. Bu şemayı aynı zamanda etkinliğin kriz planında da kullanıyoruz.

Adım Adım Hazırlık

Hazırlık, hedef, hedef kitle ve veri sınırları ile başlar. Bundan sonra ekip rotayı, test ortamını ve iletişimi bir araya getirir. Her karmaşık eylem, mekanda kullanılacak aynı cihazlar ve dosyalar üzerinde teknik prova yapılır. Son prova, 'düzeltildi' işareti yerine tekrarlanan testle düzeltmeleri kapatır.

Çalışma sırası şu şekildedir:

1. Sonuç için bir sahip atayın ve katılımcının gözlemlenebilir eylemini tanımlayın.
2. Hedef kitleyi roller, departmanlar, vardiyalar ve katılım yöntemlerine göre ayırın.
3. İzin verilen eğitim senaryolarını, verileri ve durdurma kriterlerini onaylayın.
4. Her hedef kitleye uygun istasyonları ve genel tatbikatı seçin.
5. Akış haritası, modül kapasiteleri ve geçiş aralıklarını oluşturun.
6. Kayıt, erişimler ve minimum alan setini belirleyin.
7. Test hesapları, taslaklar ve yedek materyalleri hazırlayın.
8. Davetiyeleri, kuralları ve yöneticiler için mesajı koordine edin.
9. Katılımcının girişinden nihai rapora kadar teknik prova yapın.
10. Testten sonra senaryoyu güncelleyin ve sorunlu bölümleri tekrarlayın.
11. Nihai rapor formunu ve düzeltici eylem planını hazırlayın.

Provada, mekanda kullanılacak aynı bağlantılar, cihazlar, ekranlar ve dosya sürümleri gereklidir. Ekip davet, kayıt, giriş, istasyon, sonuç kaydı ve geçişi test eder. Ağ arızası, cihaz arızası, hatalı dosya ve dar alan aşırı yüklenmesi ayrı ayrı simüle edilir.

Her tespit, yeniden üretim koşulları, sahibi ve son tarih alır. Düzeltmeden sonra ekip aynı adımı tekrarlar. Ayrıntılı şema, etkinliğin teknik provası hakkındaki materyalde mevcuttur.

Katılımcılar vardiyalı çalışıyorsa, programı tek bir genel pencereye sıkıştırmak gerekmez. Aynı modülleri birkaç dalga halinde tekrarlayabilir, genel başlangıcı kaydedebilir veya her vardiya için gerçekleştirebilirsiniz. Ana talimatlar ve uzmana erişim bu durumda eşit kalmalıdır.

Hangi verileri toplamalı ve nasıl saklamalı?

Yalnızca net bir eylem gerektiren verileri toplayın: kayıt için genellikle isim, departman, katılım durumu ve yardım talebi yeterlidir. Egzersiz sonuçlarını agregalar halinde analiz etmek daha iyidir. Etkinlikten önce ekip, alanların bileşimini, erişimi ve saklama süresini onaylar. Ayrıca anonimleştirme ve silme kurallarını belirler.

152-FZ sayılı Federal Yasa'nın 5. Maddesi, veri işlemeyi belirli bir amaçla ilişkilendirmeyi gerektirir. Bu amaç için gerekenden fazla veri olmamalıdır. Tanımlayıcı bilgiler, yasa veya sözleşme aksini belirtmedikçe gerekli süreden daha uzun saklanamaz. Normun belirli bir projeye uygulanmasını müşterinin avukatı kontrol eder.

Her alan için dört soru sorun:

1. Bu değere göre hangi kararı vereceğiz?
2. Kim görecek ve neden?
3. Ne zaman gereksiz hale gelecek?
4. Aynı sonucu kişiyi tanımlamadan elde etmek mümkün mü?

Yönetime rapor için genellikle tamamlanan istasyon sayısı, hedef kitleye göre agrega ve süreç boşluklarının listesi yeterlidir. 'Kim hata yaptı' kişisel tablosu ek risk oluşturur ve prosedürü düzeltmeye nadiren yardımcı olur. Bireysel sonuçlar gerekiyorsa, bu kararın ayrı bir gerekçesi ve sınırlı erişimi olmalıdır.

Kayıt tek bir ana listede tutulur. Yedek dışa aktarma, atanmış bir çalışanda saklanır ve yalnızca arıza durumunda kullanılır. Erişilebilirlik talebi, tanıyı açıklama isteği olarak değil, gerekli yardım olarak formüle edilir. Daha fazla pratik ayrıntı için etkinlik katılımcı kaydı makalesine bakın.

Yüz yüze ve hibrit programın erişilebilirliği

Katılımcı rotayı erişilebilir bir şekilde tamamlamalıdır: bir eylem gerçekleştirmek, gözlemlemek, dinlemek, okumak veya soru sormak. Mekan, yayın, materyaller ve yedekler birlikte kontrol edilir. Kayıt, gizlilik içinde yardım istemeye olanak tanır. Altyazılar, mikrofonlar, okunabilir navigasyon ve metin alternatifleri yedek senaryoya geçişte de korunur.

World Wide Web Konsorsiyumu (W3C), yüz yüze mekanı ve uzaktan platformu dikkate almayı, önemli görsel bilgileri sesli olarak ifade etmeyi ve kaliteli bir mikrofon kullanmayı önerir. Program anlaşılır bir genel bakışla başlamalı ve ana sonuçlar erişilebilir metin formatında tekrarlanmalıdır.

Üretim planına şunları ekleyin:

• girişten tüm zorunlu alanlara erişilebilir bir rota;
• oturması gereken veya tekerlekli sandalye kullanan katılımcılar için yerler;
• yeterli kontrasta sahip büyük navigasyon;
• salondan sorular için mikrofon;
• önemli videolar için altyazı veya metin alternatifi;
• etkinlik öncesinde materyaller erişilebilir formatta;
• kişisel akıllı telefon gerektirmeyen bir istasyon;
• soru sormak için sessiz bir yol;
• yoğun bloklar arasında molalar;
• yedek devrede erişilebilirliğin korunması.

Hibrit katılımcı, hareket etme imkânı olmayan kısaltılmış bir sürüm almamalıdır. İstasyon bir eğitim mesajı göndermeyi gerektiriyorsa, test amaçlı bir uzak kanal hazırlayın. Bu mümkün değilse, gözlem ve karar seçimi için eşdeğer bir senaryo önerin. Teknik kılavuzlar, etkinliğin erişilebilir yayını hakkındaki materyalde toplanmıştır.

Olay Olmayacağı Vaat Etmeyen Metrikler

Soyut «güvenlik» yerine eylemleri ve düzeltmeleri ölçün. Standart kanalın kullanımı, eskalasyonun doğruluğu, ilk bildirime kadar geçen süre, destek üzerindeki yük ve iyileştirme planının uygulanması faydalıdır. Bir Siber Güvenlik Günü, standarda uygunluğu kanıtlamaz ve olay yaşanmayacağını garanti etmez. Dinamikler yalnızca karşılaştırılabilir egzersizler arasında kıyaslanır.

Nihai belge, tatbikatın hedeflerini ekibin gözlemleyebildiği eylemlerle ilişkilendirir. İçinde güçlü yönler, geliştirilecek alanlar, düzeltici eylemler, sorumlular ve son tarihler yer alır. Bu, tek bir ortalama test puanından daha faydalıdır ve olay sonrasında alınan kararlara geri dönmeye yardımcı olur.

Çalışma metrik seti şunları içerebilir:

«İnsan faktörünü ortadan kaldırmayı» veya riski keyfi bir yüzdeyle azaltmayı vaat etmeyin. İnsanlar sistem içinde çalışır: eylemlerini arayüzler, erişimler, iş yükü, teknik engeller ve destek kalitesi etkiler. Avrupa Birliği Siber Güvenlik Ajansı (ENISA) da eğitim programlarını tek bir evrensel etkinlik yerine hedef kitlelere, kanallara ve göstergelere göre oluşturur.

Günün ardından, sahiplerle kısa bir değerlendirme toplantısı planlayın. Sahipler, hızlı düzeltmeleri tamamlar, karmaşık sorunları çalışma planına gönderir ve çalışanlara tatbikattan sonra şirketin neyi değiştirdiğine dair net bir yanıt verir. Bu olmadan, format parlak ama izole bir bölüm olarak kalma riski taşır.

Siber Güvenlik Günü Bütçesi

Bütçe, istasyon sayısına, akışlara ve tekrarlara bağlıdır. Uzmanlar, test ekipmanı, mekân, erişilebilirlik ve prova ayrıca hesaplanır. Önce yapı ve sınırlar onaylanır, ardından üretim hesaplanır. Katılımcı başına evrensel bir fiyat vermiyoruz: aynı sayıda misafir, tek bir salon veya birden fazla vardiya için karmaşık çok bölgeli bir program gerektirebilir.

Bütçeyi bloklara göre toplamak uygundur:

Öğrenme eylemini etkilemeyen şeyleri kısmak daha iyidir. Bazen dekoru basitleştirmek mümkündür, ancak test ortamını, erişilebilirliği, koordinasyonu ve prova süresini korumak gerekir. Pahalı bir sahne, çalışmayan bir mesaj düğmesini düzeltmez ve karar verme yetkisine sahip bir uzmanın yerini tutmaz.

Bütçe kalemlerinin genel mantığı, kurumsal etkinlik bütçesi hakkındaki makalede açıklanmıştır. Ön hesaplama için şehir, kitle, format, istasyon sayısı, vardiya düzeni, veri, mekân ve hibrit katılım gereksinimleri gereklidir.

Ajansa brif: ne hazırlanmalı

İyi bir brif, etkinliğin organizasyonundan uzmanlık içeriğini ayırır: müşteri hedefi, hedef kitleyi, güvenlik sahibini ve kısıtlamaları getirir. Aventura'da mekânı, akışları, teknik altyapıyı, erişilebilirliği, ekip kompozisyonunu ve karar takvimini netleştiririz. Başlangıç verileri azsa, bir başlangıç toplantısı düzenler ve soruları toplarız. Bilgi güvenliği politikasını müşterinin uzman ekibi belirler.

Başvurmadan önce şunları hazırlamak faydalıdır:

1. Günün amacı ve çalışanların gerçekleştirmesi gereken eylem.
2. Hedef kitlelerin bileşimi, şehirler, departmanlar, vardiyalar ve uzaktan katılımcılar.
3. İçeriğin sahibi ve CISO, HR, IT ve hukuk biriminden onaylayanların listesi.
4. İzin verilen senaryolar, veriler, cihazlar ve durdurma kriterleri.
5. İstenen istasyonlar ve zorunlu iç prosedürler.
6. Kayıt, erişim, fotoğraf, video kaydı ve raporlama gereksinimleri.
7. Erişilebilirlik ve dil ihtiyaçları.
8. Mekânı veya seçimine ilişkin kısıtlamaları.
9. Bütçe aralığını ve kısılamayacak kalemleri.
10. Yönetimin nihai değerlendirme sonrasında alacağı kararı.

Aventura'da organizasyonel kısmı üstlenebiliriz: konsept, senaryo planı, mekân, rotalar, teknik altyapı, dekorasyon, koordinatörler, prova ve etkinlik günündeki çalışma. Müşterinin uzmanı istasyonların içeriğini ve siber tatbikatı onaylar. Bu iş bölümü ekibe net sınırlar sağlar ve ciddi bir konuyu eğlenceli bir bilgi yarışmasına dönüştürmemeye yardımcı olur.

Çalışanlar için bir Siber Güvenlik Günü hazırlıyorsanız, portfolyomuza göz atın. Ön hesaplama almak için, bütçe teklifi isteyin. Görevi, rolleri ve kısıtlamaları netleştiririz. Ardından programı ve etkinlik hazırlık planını sunarız.

Kaynaklar

• NIST: Building a Cybersecurity and Privacy Learning Program
• CISA: Tabletop Exercise Packages

• NCSC: Phishing attacks, defending your organisation
• ICO: Monitoring workers checklists
• W3C WAI: Making Events Accessible
• ConsultantPlus: 152-FZ sayılı Federal Kanun "Kişisel Veriler Hakkında"
• Microsoft Learn: Attack simulation training
• ENISA: Awareness Raising in a Box