Siber Güvenlik Farkındalık Eğitimi: Sınav ve Sertifika

Siber güvenlik farkındalık eğitimi, kurumun çalışanlarına sahte e-postayı, telefonla gelen kandırma girişimini ve kişisel verinin yanlış paylaşımını tanımayı öğreten kısa ve uygulamalı bir oturumdur. Bir oturum en az 45 dakika sürüyor, uzaktan yapılıyor ve katılımcı sayısına sınır koymuyoruz. Oturumun sonunda konuları ölçen bir sınav var; sınavı geçen katılımcıya sertifika veriyoruz.

Buradaki amaç süreyi doldurup fatura kesmek değil, kurumunuz için gerçekten faydalı bir eğitim vermektir. Oturumu sektörünüze, kullandığınız programlara ve ağırlıklı olarak istihdam ettiğiniz personelin türüne göre size özel hazırlıyor, en yüksek güvenliği sağlamayı hedefliyoruz. Bu yüzden en az 45 dakika olan eğitim kurumunuza göre daha uzun sürebilir; bu durum size ek ücret olarak yansımaz.

İlk yardım kursunu düşünün. Kurs kimseyi doktor yapmaz ve bunu da iddia etmez. Öğrettiği şey, olay anında ilk birkaç dakikayı doğru geçirmektir: tehlikeyi tanımak, zararı büyütmemek ve doğru kişiyi çağırmak. Kurs kısadır, herkes içindir, sonunda bir sınav ve bir belge vardır; bilgi tazelenmezse de zamanla unutulur. Farkındalık eğitimi de aynı işi görür:

• İlk yardım bilgisi çalışanın ilk müdahalesidir: şüpheli bağlantıya tıklamamak, parolayı vermemek.
• Tehlikeyi tanımak oltalama ve sosyal mühendislik girişimini fark etmektir.
• Doğru kişiyi çağırmak şüpheli durumu BT’ye bildirmektir.
• Kurs sonundaki sınav ve belge oturumun sınavı ve sertifikasıdır.

Bu sayfa siber güvenlik hizmetimizin insan katmanına odaklanıyor. Sosyal mühendisliğin neden en zayıf halka olduğunu ve güvenlik kültürünün nasıl oluştuğunu hub sayfamızın ilgili bölümünde anlattık; bu sayfa o halkayı güçlendiren eğitimin kendisini anlatıyor.

Farkındalık Eğitiminde Ne Yapıyoruz, Ne Yapmıyoruz?

Kapsamımız çalışanın günlük işinde karşılaştığı tehditlerdir. Sınırı baştan çiziyoruz, çünkü “siber güvenlik eğitimi” başlığı kısa bir farkındalık oturumundan aylar süren bir uzmanlık programına kadar her şeyi anlatabilir.

Yaptıklarımız:

• Kurumunuza özel içerik. Oturumun konularını sektörünüze, kullandığınız e-posta, dosya paylaşımı ve iş programlarına ve personelinizin türüne göre birlikte belirliyoruz. Muhasebe ağırlıklı bir ekip ile sahada çalışan bir ekip aynı oturumu almaz.
• En az 45 dakikalık uzaktan oturum. Oturumu görüntülü toplantı olarak yapıyoruz; katılımcı sayısına ve lokasyona sınır koymuyoruz. Kurumunuzun ihtiyacı süreyi uzatırsa bu size ek ücret olarak yansımaz.
• Sınav. Oturumun sonunda, anlatılan konuları ölçen bir sınav uyguluyoruz.
• Sertifika. Sınavı geçen her katılımcıya adına düzenlenmiş bir sertifika veriyoruz.
• Sonuç özeti. Hangi konuda en çok hata yapıldığını kurumla paylaşıyoruz, böylece bir sonraki oturumun konusu tahminle değil ölçümle seçiliyor.

Bu işin bittiği yer:

• Sertifika akredite bir belge değildir. Oturumu ve sınavı biz yapıyoruz; belge bir belgelendirme kuruluşunun ya da kamu kurumunun onayını taşımaz.
• Farkındalık eğitimi teknik korumanın yerini tutmaz. E-posta filtresi, çok faktörlü doğrulama ve uç nokta koruması ayrı işlerdir; eğitim onların kaçırdığını yakalamak içindir.
• Uzman yetiştirme programı değildir. Sistem yöneticisi ya da güvenlik uzmanı yetiştirmek ayrı bir düzendir ve aşağıda ayrıca anlatılıyor.

Farkındalık Eğitimi Kime Gerekir?

Farkındalık eğitimi çoğu kurumun gündemine bir olaydan ya da bir yükümlülükten sonra girer. En sık karşılaştığımız durumlar şunlar:

• Bir oltalama girişimi başarılı oldu. Bir çalışan sahte bir bağlantıya parolasını girdi ya da sahte bir ödeme talimatına inandı; kurum aynı şeyin tekrar olmamasını istiyor.
• KVKK tarafında hazırlık yapılıyor. Kişisel Verileri Koruma Kurumu’nun veri güvenliği rehberi çalışanların eğitilmesini idari tedbirler arasında sayıyor; kurum bunu yaptığını gösterebilmek istiyor.
• Bilgi güvenliği yönetim sistemi kuruluyor. ISO 27001 Ek A, bilgi güvenliği farkındalığını, eğitimini ve öğretimini kişilere ilişkin kontroller arasında ayrı bir madde olarak arıyor.
• Kurum hızla büyüyor. Yeni gelen çalışanlar kurumun araçlarını ve kurallarını bilmeden işe başlıyor; farkındalık eğitimi işe alışma sürecinin bir adımına dönüşüyor.

Dürüst bir alt sınır da çizelim. Beş kişilik bir ofiste bu eğitimin değeri daha çok kişisel alışkanlıktadır; kurumsal kayıt ve ölçüm tarafı çalışan sayısı arttıkça anlam kazanır.

Farkındalık Eğitiminde Ne Anlatıyoruz?

Oturumun konuları kuruma göre seçilir ve ağırlığı sektörünüze ve personelinize göre değişir, ama çoğu kurumda aynı beş başlık öne çıkar. Hepsinin ortak noktası, çalışanın tek bir kararla savunmayı ya kapatması ya da açmasıdır; tıpkı ilk yardımda ilk birkaç dakikanın sonucu belirlemesi gibi.

Oltalama E-postası: Kapıyı İçeriden Açtırmak

Oltalama (phishing), güvenilir görünen sahte bir mesajla kullanıcıyı parolasını vermeye ya da zararlı bir bağlantıya tıklamaya ikna etmektir. Oturumda gerçek oltalama örneklerini birlikte inceliyoruz: gönderen adresindeki küçük harf farkı, acele ettiren dil, bağlantının üzerine gelince görünen gerçek adres. Amaç bir kural ezberletmek değil, durup bakma alışkanlığı kazandırmaktır. Bir mailin göründüğü yerden gelip gelmediğini başlığından sınamanın yolunu mail başlığı yazımızda anlattık.

Telefonla Gelen Sosyal Mühendislik

Her saldırı e-postayla gelmez. Kendini BT destek, banka ya da yönetici olarak tanıtan bir telefon, parolayı ya da doğrulama kodunu doğrudan isteyebilir. Oturumda bu aramaların ortak kalıbını anlatıyoruz: aciliyet, otorite ve gizlilik talebi. Üçü bir arada geliyorsa telefonu kapatıp bilinen bir numaradan geri aramak en güvenli yoldur.

Bu aramada yukarıdaki kalıplardan ikisi birebir vardı: hızlı konuşma ve hemen ödeme isteğiyle aciliyet, devlet kurumu kimliğiyle otorite. Üçüncüsünün yerinde ise bir kanal değişikliği duruyordu; resmî bir yazı yerine bir IBAN ve bir WhatsApp mesajı.

Üstüne iki şey daha bindi ve ikisi de eğitimlerin en sık atladığı yerdir:

• Saldırgan hakkınızda gerçek bir bilgiyle gelir. Arayan başvurunun varlığını gerçekten biliyordu, çünkü o bilgi kamuya açıktı. Doğru bir ayrıntı, aramayı sahici gösterir ama kimliği kanıtlamaz.
• Konuşma bir dosyaya bağlanır. Sosyal mühendislik telefonda başlar ve açılan bir ekle zararlı yazılıma dönüşebilir.

İşin uzmanını durduran şey teknik bilgi değil, iki basit alışkanlıktı: tutarsızlığı fark edince durmak ve kanalı değiştirip kurumu kendi bildiği yoldan aramak. Oturumda öğretmeye çalıştığımız da tam olarak bu iki alışkanlıktır.

Parola ve Çok Faktörlü Doğrulama

Parolaların çoğu kırılmaz, tanınır: başka bir sızıntıdan gelen aynı parola, başka bir sistemde de denenir. Bunun nasıl çalıştığını şifreleme rehberimizdeki saha notunda anlattık. Oturumda her sistemde farklı parola kullanmanın ve çok faktörlü doğrulamanın bu zinciri neden kırdığını gösteriyoruz.

Kişisel Verinin Yanlış Paylaşımı

Kişisel veri ihlallerinin önemli bir kısmı saldırıyla değil, dikkatsizlikle olur: yanlış alıcıya gönderilen bir e-posta, herkese açık bırakılmış bir paylaşım bağlantısı, masada unutulmuş bir çıktı. Oturumda bu hataların kurum içindeki tipik biçimlerini ve kişisel veriyi paylaşmadan önce sorulacak soruları anlatıyoruz. Teknik tarafta bu riskin nasıl sınırlandığı DLP rehberimizin konusudur.

Şüpheliyi Bildirmek: 112’yi Aramak

İlk yardımda en değerli adımlardan biri doğru kişiyi zamanında çağırmaktır. Siber güvenlikte bunun karşılığı, şüpheli bir e-postayı ya da yanlışlıkla tıklanan bir bağlantıyı hemen BT’ye bildirmektir. Oturumda kurumunuzun bildirim yolunu adıyla anlatıyoruz ve bir şeyi özellikle vurguluyoruz: tıkladıktan sonra bildiren çalışan suçlu değil, olayı küçük tutan kişidir.

Benzetme burada kopuyor ve kopma noktası eğitimin en önemli dersidir. İlk yardımda tehlike kendini belli eder: kanama görünür, düşen kişi yerdedir. Siber saldırıda ise tehlike kendini tam tersine güvenilir gösterir; tanıdık bir yöneticinin adıyla, bilinen bir kargo firmasının logosuyla gelir. Bu yüzden farkındalık eğitimi yalnız “tehlikeyi tanı” demez, “fazla tanıdık görünene de dikkat et” der.

Farkındalık Sınavı ve Sertifika: Neyi Ölçer, Neyi Ölçmez?

Oturumun sonundaki sınav, anlatılan konuların gerçekten anlaşılıp anlaşılmadığını ölçer. Sorular oturumda işlenen örneklere dayanır ve bir e-postanın sahte olup olmadığını gösteren işaretleri, bir telefon talebinde nerede durulması gerektiğini ve şüpheli bir durumun kime bildirileceğini sorar. Sınavı geçen katılımcı, adına düzenlenmiş bir sertifika alır.

Sertifikayla iki şeyi hedefliyoruz. Birincisi çalışanın kendisi için: konuyu bir sınavdan geçerek öğrendiğini gösteren, kariyerinde yanında taşıyabileceği bir belge. İkincisi kurum için: hangi çalışanın eğitimi tamamladığını gösteren bir kayıt. Bu kayıt, KVKK tarafında çalışanların bilgilendirildiğini gösterebilmenin de en somut yoludur.

Ölçmediği şeyi de açıkça söyleyelim. Sınav, çalışanın bir gün gerçek bir saldırıyla karşılaştığında doğru davranacağını garanti etmez; o günün davranışını ancak tekrar ve alışkanlık belirler. Sertifika da akredite bir belgelendirme değildir, oturumu ve sınavı yapan tarafın verdiği bir başarı belgesidir.

Farkındalık Neden Körelir?

İlk yardım belgesi alan birinin bilgisi yıllar içinde silikleşir; bu yüzden kurslar belli aralıklarla tazelenir. Farkındalık da aynı şekilde körelir, üstelik saldırı yöntemleri değiştiği için bir kez öğrenilen bilgi zamanla eskir.

Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi (Nisan 2025) de policy ve prosedürlerde önemli bir değişiklik olduğunda bunun yeni eğitimlerle çalışanların bilgisine sunulmasını ve tehditlere ilişkin bilgilerinin güncel tutulmasını istiyor. Bu yüzden eğitimi tek seferlik bir etkinlik değil, yeni çalışanlarla ve değişen tehditlerle tekrarlanan bir döngü olarak planlıyoruz.

BT Ekibinize Eğitim: Vaka Temelli Sistem Yöneticisi Eğitimi

Farkındalık oturumu bütün çalışanlar içindir; kurumun kendi BT ekibinin yetiştirilmesi ise ayrı bir düzendir. BT ekibinize bizim yaptığımız işi öğretmemizi isterseniz bunu aylık ilerleyen bir program olarak yürütüyoruz. Bu programda hedefimiz teorik ders anlatmak değil, kurumun kendi projelerini vaka olarak işleyip doğal bir öğrenme süreci kurmaktır.

Farkı bir örnekle anlatalım. Bir sistem yöneticisine Group Policy’yi slaytla anlatmak bir şeydir; kurumunuzun kendi Active Directory yapısında gerçek bir değişikliği birlikte planlayıp uygulamak başka bir şey. İkincisinde öğrenilen şey hem kalıcıdır hem de doğrudan işe yarar; ekip bir sonraki değişikliği tek başına planlayabilir hale gelir ve kurumun bilgisi bir danışmanın değil kendi çalışanlarının elinde kalır. Bu programın kapsamı ve bedeli ekibinizin ve kurumunuzun büyüklüğüne göre değişir, aşağıdaki gösterge bedel bloğunda ayrıca yazıyor.

Farkındalık Eğitimini Nasıl Yürütüyoruz?

Süreç dört adımdır ve sonunda kurumun elinde bir kayıt kalır.

1. İlk görüşme, uzaktan ve ücretsiz. Çalışan sayınızı, kullandığınız araçları ve yaşadığınız ya da endişe ettiğiniz olayları konuşuyoruz.
2. Konu ve takvim. Oturumun konularını sektörünüze, programlarınıza ve personelinize göre seçiyor, kaç oturum gerektiğini ve tarihlerini belirliyoruz.
3. Oturum ve sınav. En az 45 dakikalık oturumu uzaktan yapıyor, sonunda sınavı uyguluyoruz. Süreyi saat değil içerik belirler.
4. Sertifika ve sonuç özeti. Sınavı geçenlere sertifikalarını veriyor, kurumla hangi konuda en çok hata yapıldığını paylaşıyoruz.

Eğitimin teknik tedbirlerle nasıl birlikte çalıştığını görmek isterseniz, paylaşılan parolaları kişisel hesaplara taşıdığımız ağ erişimi sıkılaştırma vakamız iyi bir örnek: orada da en kalıcı değişiklik, çalışanın kendi hesabının sorumluluğunu üstlenmesiydi. KVKK tarafının teknik tedbirlerinin bütününü KVKK teknik uyum rehberimizde anlattık.

Farkındalık Eğitimi Fiyatını Ne Belirler?

Bedel oturum başına ilerliyor; kaç oturum gerektiğini ekibinizin büyüklüğü ve konu kapsamı belirliyor. Oturumun kurumunuza göre 45 dakikadan uzun sürmesi bedeli değiştirmez. Teklifi etkileyen kalemler şunlar:

• Oturum sayısı. Katılımcı sayısına sınır koymasak da farklı vardiyalar ya da farklı ekipler için ayrı oturumlar gerekebilir.
• Konu kapsamı. Genel farkındalık oturumu ile kurumun kendi araçlarına ve olaylarına göre hazırlanmış bir oturum aynı hazırlığı istemez.
• Tekrar sıklığı. Tek seferlik bir oturum ile yeni çalışanlar ve değişen tehditler için yılda birkaç kez tekrarlanan bir döngü farklı planlanır.
• BT ekibi eğitimi. Kurumun kendi BT ekibinin yetiştirilmesi ayrı ve aylık ilerleyen bir programdır.

Teklif karşılaştırırken tek bir soru çoğu şeyi ayırır: oturumun sonunda öğrenilenler bir sınavla ölçülüyor ve kuruma bir sonuç özeti veriliyor mu? Verilmiyorsa, eğitim yapılmış olur ama işe yarayıp yaramadığını kimse bilmez.

Sonuç: Farkındalık Eğitimi İlk Kararı Doğru Verdirir

Farkındalık eğitimi çalışanı güvenlik uzmanı yapmaz, tıpkı ilk yardım kursunun kimseyi doktor yapmaması gibi. Yaptığı şey, olay anındaki ilk kararı doğru verdirmektir: tıklamadan önce durmak, parolayı vermemek, şüpheliyi hemen bildirmek. Kurumunuza özel hazırlanmış bir oturum, bir sınav ve bir sertifika bu ilk kararı hem öğretir hem de kayda geçirir.

O noktada sorulacak soru da tek olur: kurumunuzda sahte bir e-postayı ilk fark eden çalışan, bunu kime ve nasıl bildireceğini biliyor mu?

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn