Phishing Saldırılarına Karşı Çalışan Farkındalık Eğitimi Planı

Kurumsal güvenlik olaylarının büyük bölümü teknik bir zafiyetten değil, çalışanın bir phishing (oltalama) mesajına kanmasından doğar. Firewall, antivirüs ve tüm sıkılaştırma politikaları bir çalışanın zararlı bağlantıya tıklamasıyla etkisiz hale gelebilir. Planlı bir farkındalık programı, teknik önlemlerin tamamlayıcısıdır ve çoğu zaman en yüksek getiriyi sağlar.

Phishing Neden En Büyük Risk?

Phishing, meşru görünen bir e-posta veya mesajla kullanıcıyı zararlı bağlantıya tıklamaya, ek indirmeye veya kimlik bilgisi paylaşmaya ikna etmektir. KOBİ ortamlarında yaygın saldırı senaryoları:

• "Kargo takip" veya "fatura" görünümlü zararlı ek
• CEO/CFO'dan geliyormuş gibi acil ödeme talebi (business email compromise)
• Microsoft veya banka taklidi hesap doğrulama bağlantısı
• Tedarikçi adına sahte ödeme bilgisi güncellemesi
• LinkedIn veya CV ekindeki zararlı dosya
• Sosyal medyada paylaşılan sahte indirim bağlantıları
• Seyahat rezervasyon onayı kılığında phishing

Saldırıların büyük kısmı toplu değil, işletmeye özel hazırlanmış (spear phishing) olduğu için filtrelerden geçebilir.

Etkili Eğitim Planı — 5 Aşama

1. Mevcut Farkındalık Seviyesini Ölç

Eğitim başlamadan önce çalışanların gerçek seviyesi ölçülmelidir. Kontrollü bir phishing simülasyonu göndererek kim kaçırıyor, kim bildiriyor, kim tıklıyor verisi alınır. Bu ilk ölçüm eğitim odağını belirler.

2. Kısa ve Hedefli Eğitim Modülleri

Saat süren video eğitimleri yerine 10-15 dakikalık odaklı modüller tercih edilir. Her modül belirli bir saldırı tipine odaklanır: "sahte kargo e-postası", "CEO sahteciliği", "yanlış bağlantı tanıma". Ayda bir modül sürdürülebilir bir ritim oluşturur.

3. Düzenli Simülasyon Kampanyaları

Eğitim sonrası çeyrek bazında sahte phishing kampanyaları düzenlenir. Tıklayan çalışan hemen öğretici bir sayfayla karşılaşır; ceza değil eğitim amaçlı bir mesaj gösterilir. Bildiri yapanlar teşvik edilir.

4. Bildirme Kültürü ve Hızlı Yanıt

Şüpheli e-postaları IT'ye iletmek tek tıkla yapılabilir olmalı. Outlook/Gmail'de "Phishing olarak bildir" butonu entegre edilir. Bildiri yapan kullanıcıya hızlı geri bildirim gönderilir ("aferin, gerçekten phishing imiş, teşekkürler").

5. Veri ve Rapor

Her çeyrek tıklama oranı, bildirme oranı ve yeniden eğitim ihtiyacı raporlanır. Bu veri yıllık güvenlik planına girdi sağlar.

Eğitim İçeriği Örneği

Modül 1: Phishing'in Temelleri

Nedir, nasıl işler, neden başarılı olur. Basit örnekler: gerçek ve sahte e-posta yan yana, farklar işaretlenir.

Modül 2: Gönderici Adresini Kontrol Et

Görünen ad yerine gerçek e-posta adresi nasıl kontrol edilir. noreply@amaz0n.com gibi tipik örnekler gösterilir.

Modül 3: Bağlantıları Tıklamadan Önce

Fareyle üzerine gelip hedef URL'yi görme alışkanlığı. Kısaltılmış linklerden kaçınma. Şüpheliyse IT'ye sor.

Modül 4: Ek Dosyalar Tehlikesi

Word macro'su, ZIP içinde exe, PDF sahteciliği. Güvenli davranış: beklenmeyen eki açmadan önce gönderici ile ikinci kanaldan teyit et.

Modül 5: CEO Sahteciliği

Aciliyet duygusuyla yapılan ödeme talepleri. İş akışı kuralı: belirli tutar üzerinde tüm talepler telefonla doğrulanır.

Modül 6: Uzaktan Çalışma Özel Riskleri

Kafede Wi-Fi, halka açık USB şarj, paylaşılan ekran. Günlük alışkanlık düzeyinde dikkat noktaları.

Simülasyon Aracı Seçimi

Araç	Özellik
KnowBe4	Büyük kütüphane, yerelleştirilmiş içerik, olgun raporlama
Proofpoint Security Awareness	Kurumsal odaklı, geniş entegrasyon
Cofense	Bildiri analizi güçlü
Microsoft Defender Attack Simulator	M365 Business Premium+ dahilinde
Hoxhunt	Oyunlaştırma yaklaşımı

KOBİ için Microsoft Defender Attack Simulator ve KnowBe4 yaygın tercihlerdir.

Sık Yapılan Hatalar

• Tıklayan çalışanı utandırmak — öğrenmeyi engeller
• Çok uzun tek seferlik eğitim; zaman içinde unutulur
• Gerçekçi olmayan örneklerle eğitim yapmak
• Bildiri yapanı ödüllendirmemek
• Eğitimi yalnızca IT departmanıyla sınırlamak
• Yeni işe başlayanın eğitime alınmaması
• Yöneticilerin eğitimi atlaması (hedef onlardır)

Gerçek İşletme Örnekleri

Örnek 1: Muhasebe Firmasında Baseline Ölçümü

Bir muhasebe firmasında farkındalık düzeyi bilinmiyordu. İlk simülasyon kampanyasında tıklama oranı yüksek çıktı. Üç ay süren eğitim + simülasyon döngüsü sonrası oran belirgin düştü; bildirim oranı arttı.

Örnek 2: Üretim Tesisinde CFO Sahteciliği

Bir üretim tesisinde CFO adına sahte ödeme talebi geldi. Eğitim gören muhasebe çalışanı aciliyet hissi yaratıldığını fark etti, telefonla doğruladı, talep sahte çıktı. Eğitim tam da bu senaryoyu işlemişti.

Örnek 3: Danışmanlık Firmasında Sürekli Program

Bir danışmanlık firması farkındalık eğitimini yılda bir zorunlu tutmak yerine aylık mini modüle çevirdi. Tıklama oranı bir yıl içinde istikrarlı şekilde düştü; çalışanlar "phishing bildirimi" kanalını aktif kullandı.

Yamanlar Bilişim Bu Süreçte Nasıl Destek Sağlar?

Yamanlar Bilişim, işletmenizin çalışan profiline uygun bir farkındalık eğitim programı kurgular. Baseline ölçümünden başlayarak kademeli modüller, simülasyon kampanyaları ve raporlama birlikte yürütülür. Marka tonunda Türkçe eğitim içerikleri hazırlanabilir.

Yamanlar Bilişim'in destek verebildiği başlıca alanlar şunlardır:

• Baseline phishing simülasyonu
• Çalışan profiline uygun eğitim modülleri
• Düzenli simülasyon kampanyaları
• Outlook/Gmail için "Phishing Bildir" butonu entegrasyonu
• Çeyrek bazında metrik raporu ve iyileştirme önerisi
• Yöneticiler için özel modüller (CEO sahteciliği odaklı)
• Yeni işe başlayan çalışanlar için onboarding eğitimi
• Şüpheli e-posta durumunda hızlı yanıt süreci

SSS