Giriş

Bir çalışan, şüpheli bir bağlantıya tıkladığını fark ettiğinde ilk olarak ne düşünür? “Hemen güvenlik ekibine haber vermeliyim” mi, yoksa “Umarım kimse fark etmez” mi? Bu sorunun yanıtı, kurumun güvenlik kültürünü anlamak için iyi bir başlangıçtır.

Güvenlik kültürü; çalışanların riskleri nasıl değerlendirdiği, yöneticilerin hangi davranışları teşvik ettiği ve iş süreçlerinin güvenli çalışmayı ne ölçüde desteklediğiyle şekillenir. Kurumun gerçek yaklaşımı, politika dokümanları kadar günlük kararlarında da görünür.

Benim yaklaşımım, güvenliği kurumun iş yapma biçimine yerleştirmek üzerine kurulu. Bunun için teknik kontrollerin yanında açık sorumluluklara, uygulanabilir süreçlere ve çalışanların katkısını önemseyen bir yönetim anlayışına ihtiyaç var.

Ana bölüm

1. Yönetimin davranışları standardı belirler

Çalışanlar, güvenliğe verilen önemi yöneticilerin kararlarından da öğrenir. Bir yönetici, zaman kazanmak için hesabının başka biriyle paylaşılmasını istediğinde kurumun erişim politikasından daha güçlü bir mesaj verebilir.

Bu nedenle yönetimin desteği somut davranışlarla görünür olmalıdır:

Yöneticiler de kurumun güvenlik kurallarını uygulamalıdır.
Güvenlik ihtiyaçları için bütçe, zaman ve sorumlu belirlenmelidir.
İş hedefleri görüşülürken bu hedefleri etkileyen siber riskler de değerlendirilmelidir.

NCSC'nin güvenlik kültürü ilkeleri de liderlerin örnek davranışlarını ve çalışanlarla kurdukları güven ilişkisini bu sorumluluğun parçası olarak ele alır.

Örneğin, acil bir proje için güvenlik istisnası gerekiyorsa riskin sahibi, uygulanacak ek önlemler ve istisnanın bitiş tarihi belli olmalıdır. Böylece çalışan, aciliyetin nasıl yönetileceğini görür.

2. Hata bildirimini güvenli ve kolay hâle getirin

Şüpheli bir e-postayı bildirmek isteyen çalışanın uzun bir form doldurması veya doğru kişiyi araması gerekiyorsa bildirim sürecini yeniden düşünmek gerekir.

Çalışanın üç soruya kolayca yanıt verebilmesi önemlidir:

Neyi bildirmeliyim?
Hangi kanaldan bildirmeliyim?
Bildirdikten sonra ne olacak?

Örneğin, sahte bir giriş sayfasına parolasını yazan çalışan için ilk ihtiyaç hızlı destek alabilmektir. Güvenlik ekibinin ilk yanıtı, bildirimi aldığını ve gerekli adımları başlattığını açıkça belirtmelidir. İnceleme sırasında olayın oluşmasına katkıda bulunan süreç ve kontrol eksiklikleri de değerlendirilmelidir.

NCSC, kolay erişilen bildirim kanallarını ve iyi niyetli hatalara adil yaklaşılmasını önerir. Bu yaklaşım hesap verebilirliği korurken çalışanların konuşabilmesini sağlar.

3. Güvenli çalışmayı uygulanabilir kılın

Bir güvenlik kuralı belirlenirken, çalışanın o kurala uyarak işini nasıl tamamlayacağı da tasarlanmalıdır.

Büyük dosyaları paylaşmak zorunda olan bir ekibe yalnızca kişisel dosya paylaşım servislerinin yasak olduğunu söylemek yeterli olmaz. Ekibin kullanabileceği, erişim yetkileri yönetilen ve ihtiyacını karşılayan kurumsal bir seçenek sunulmalıdır.

Benzer şekilde:

Parola paylaşımı yerine kişiye özel hesaplar ve uygun yetkilendirme sağlanmalıdır.
Hassas veri paylaşımı için onaylı kanallar ve anlaşılır kullanım kuralları bulunmalıdır.
Yapay zekâ araçlarının kullanımında hangi verilerin paylaşılabileceği açıkça belirtilmelidir.

Bir kural sürekli aşılmaya çalışılıyorsa çalışanlarla birlikte iş akışını incelemek gerekir. Sorun, kuralın anlaşılmasında veya sunulan çözümün işi karşılamasında olabilir.

4. Farkındalığı gerçek iş senaryolarıyla geliştirin

Yıllık eğitimlerin günlük davranışlara dönüşmesi için çalışanların kendi işleriyle bağlantı kurması gerekir.

Finans ekibi için tedarikçi banka hesabı değişikliği, insan kaynakları için aday dosyaları, teknik ekipler için ayrıcalıklı erişimler üzerinden çalışılabilir.

Örneğin, finans ekibine şu senaryo verilebilir:

Düzenli çalıştığınız bir tedarikçi, banka hesabının değiştiğini belirten bir e-posta gönderiyor. Ödemenin bugün yapılmasını istiyor. Nasıl ilerlersiniz?

Bu örnekte hedef, çalışanın uygulanacak doğrulama adımını bilmesidir: Değişiklik talebini, e-postadaki yeni iletişim bilgilerine güvenmeden, önceden kayıtlı bir kanal üzerinden teyit etmek.

Kısa senaryo çalışmaları, ardından verilen açıklayıcı geri bildirimle birlikte düzenli olarak tekrarlanabilir.

5. Güvenliği birimler arasında sahiplenin

Güvenlik ekibinin koordinasyonunda her birimin kendi süreçlerindeki riskleri ve sorumlulukları tanımlaması gerekir.

İnsan kaynakları işe giriş ve ayrılış süreçlerini, satın alma tedarikçi değerlendirmelerini, iş birimleri kullandıkları verileri ve erişim ihtiyaçlarını bu çerçevede ele almalıdır.

Birimlerde güvenlik irtibat kişileri belirlemek de iletişimi kolaylaştırabilir. Bu kişilerin görevi, ekiplerinin ihtiyaçlarını güvenlik ekibine taşımak ve alınan kararların günlük işe uygulanmasına yardımcı olmaktır.

6. Katılım kadar davranış değişimini de izleyin

Eğitim tamamlama oranı bir başlangıç göstergesidir. Kültürün gelişimini değerlendirmek için başka sorular da sorulmalıdır:

Çalışanlar şüpheli durumları ne kadar sürede bildiriyor?
Bildirimlere ne kadar hızlı dönüş yapılıyor?
Tekrarlayan olaylardan sonra süreçler iyileştiriliyor mu?
Çalışanlar güvenlik ekibine soru sormakta rahat mı?

NCSC'nin de vurguladığı gibi, bildirim sayısındaki artış tek başına kötüleşme anlamına gelmeyebilir; çalışanların sürece daha fazla güvendiğini de gösterebilir. Bu nedenle sayıları olayların niteliği ve bildirim süreleriyle birlikte yorumlamak gerekir.

Sonuç

Kurumda güvenlik kültürü kurmak, günlük kararların güvenliği desteklemesini gerektirir. Yönetimin örnek olması, çalışanların rahatça bildirim yapabilmesi ve iş süreçlerinin güvenli davranışı kolaylaştırması bu yapının temelidir.

Başlamak için bu hafta farklı birimlerden birkaç çalışana aynı soruyu sorun: “Şüpheli bir e-postadaki bağlantıya tıkladığını fark etsen ilk olarak ne yaparsın?” Yanıtlar belirsizse önce bildirim kanalını ve izlenecek adımları netleştirin. Ardından kısa bir senaryoyla sürecin gerçekten çalıştığını kontrol edin.

Güvenlik kültürü, çalışanın o anda doğru adımı bildiği ve atabildiği yerde karşılık bulur.

Team

Management

17 October 2026

5 min

Building a Security Culture in an Organisation

Recent Posts

Building a Security Culture in an Organisation

Categories

Tags

Technical Depth Strategic Vision