Çalışanlar İçin Siber Güvenlik Farkındalık Eğitimi: Ne Anlatılmalı?

Kısa cevap: Siber saldırıların önemli bir kısmı bir çalışanın sahte bir e-postaya tıklaması, parolasını paylaşması ya da sahte bir ödeme talimatına inanmasıyla başlar. Farkındalık eğitimi; kimlik avı e-postalarını tanımayı, güçlü parola ve iki adımlı doğrulama kullanmayı, banka hesabı değişikliği gibi ödeme taleplerini ikinci bir kanaldan doğrulamayı, şüpheli durumları hemen bildirmeyi ve cihazları güvenli kullanmayı öğretir. En etkili yöntem, işe girişte başlayan ve yıl içinde kısa tekrarlar ile deneme kimlik avı testleriyle sürdürülen düzenli bir programdır.

Eğitimde işlenecek konular

• Kimlik avı: Sahte gönderici, aciliyet baskısı, beklenmeyen ek ve bağlantıların tanınması.
• Ödeme dolandırıcılığı: Tedarikçi ya da yönetici adına gelen hesap numarası değişikliği ve acil ödeme taleplerinin telefonla doğrulanması.
• Parolalar: Her hesap için farklı parola, parola yöneticisi ve iki adımlı doğrulama.
• Telefonla sosyal mühendislik: Kendini destek ekibi ya da banka olarak tanıtan aramalarda bilgi paylaşmamak.
• Cihaz güvenliği: Ekranı kilitlemek, bilinmeyen USB bellek takmamak, güncellemeleri ertelememek.
• Bildirim: Şüpheli bir durumda suçlanma korkusu olmadan hemen BT sorumlusuna haber vermek.

Programı nasıl kurmalı?

1. İşe başlayan her çalışana kısa bir temel eğitim verilir.
2. Yıl içinde kısa ve güncel örneklerle tekrarlar yapılır.
3. Çalışanlara önceden bilgi verilen deneme kimlik avı e-postalarıyla farkındalık ölçülür.
4. Sonuçlar kişileri suçlamak için değil, eğitimi iyileştirmek için kullanılır.
5. Şüpheli e-postaları bildirmek için tek tıkla kullanılabilecek basit bir yol sağlanır.

Kimlik avı örneklerini kimlik avı e-postaları, temel önlemleri küçük işletmeler için siber güvenlik temelleri, saldırı senaryolarını fidye yazılımı rehberimizde anlattık.

İlgili rehberler: sahte fatura ve IBAN değişikliği dolandırıcılığı ve telefonla sosyal mühendislik

Sık sorulan sorular

Farkındalık eğitimi ne sıklıkla yapılmalı?

Tek seferlik uzun bir eğitim yerine işe girişte temel eğitim ve yıl içine yayılmış kısa tekrarlar daha kalıcı sonuç verir.

Deneme kimlik avı testi çalışanları rahatsız eder mi?

Testin amacı ve genel kuralları önceden duyurulur, sonuçlar kişisel olarak ifşa edilmez ve hata yapanlara ek eğitim sunulursa test öğretici bir araç olarak kabul görür.

Küçük ekipler için de gerekli mi?

Evet. Küçük işletmelerde genellikle ayrı bir güvenlik ekibi olmadığından, her çalışanın temel riskleri tanıması daha da önemlidir. Hesap güvenliğini parola yöneticisi ve iki adımlı doğrulama yazımızda ele aldık.