Bilgi Güvenliği Farkındalığı İçin İç İletişim: Oltalama (Phishing) ve Siber Güvenlik Duyuruları
İç İletişim · 3 dk okuma · İç İletişim Editör Ekibi
Kısaca: Bilgi güvenliği farkındalığı yalnızca yılda bir yapılan eğitimle sağlanmaz; çalışanın her gün gördüğü kısa, net ve zamanında duyurularla sürer. Oltalama (phishing) uyarıları, güvenlik politikası güncellemeleri ve olay anı bilgilendirmeleri için iç iletişimin dört işi vardır: doğru kişiye hedeflemek, hızlı ulaştırmak, okunduğunu görmek ve anlaşıldığını ölçmek.
Siber Güvenlik Duyurularında İç İletişimin Rolü
Bilgi güvenliği ekibi riski bilir; iç iletişim ise mesajın çalışana nasıl ulaşacağını bilir. Banka, sigorta ve beyaz yaka ağırlıklı kurumlarda bu iki ekibin birlikte çalışması, teknik bir uyarının herkesin anlayacağı bir duyuruya dönüşmesini sağlar. Duyuru türleri genellikle şunlardır:
- Oltalama uyarısı: Dolaşımdaki şüpheli bir e-posta, SMS ya da arama hakkında çalışanı bilgilendirme.
- Politika duyurusu: Parola, cihaz kullanımı, veri sınıflandırma gibi kuralların yürürlüğe girmesi ya da değişmesi.
- Olay anı bilgilendirmesi: Bir güvenlik olayı sırasında çalışanın ne yapması, neyi yapmaması gerektiği.
- Dönemsel hatırlatma: Temiz masa, ekran kilidi, şüpheli bağlantıyı bildirme gibi alışkanlıkları canlı tutan kısa mesajlar.
Oltalama Uyarısı Nasıl Yazılır?
Oltalama uyarısı kısa olmalı ve çalışanın birkaç saniyede şunları anlamasını sağlamalıdır:
- Ne geliyor? Mesajın konusu, görünen gönderen adı ya da kanalı (e-posta, SMS, telefon).
- Nasıl tanınır? Dikkat edilecek işaretler: aciliyet baskısı, parola ya da kart bilgisi istenmesi, beklenmedik ek dosya.
- Ne yapmalı? Bağlantıya tıklamamak, bilgi vermemek, mesajı kurumun belirlediği kanala bildirmek.
- Tıkladıysa ne yapmalı? Suçlayıcı olmayan bir dille, hemen kime haber vereceğini söyleyin.
Uyarıda gerçek bir saldırı mesajının bağlantısını ya da tıklanabilir kopyasını paylaşmayın; gerekirse ekran görüntüsünü işaretleyerek kullanın. Genel duyuru kalıpları için şirket içi duyuru örnekleri yazımıza bakabilirsiniz.
Güvenlik Politikası Duyurusu ve Okunma Takibi
Yeni ya da güncellenen bir bilgi güvenliği politikasında amaç, metnin ilgili herkese ulaştığını gösterebilmektir. Duyuruyu kısa bir özetle verin, tam metni doküman olarak ekleyin, gerekiyorsa çalışandan "okudum, anladım" onayı isteyin. Okunma raporuyla okumayan birimleri görün ve yalnızca onlara hatırlatma gönderin. Adım adım süreç için kritik duyurularda okundu teyidi yazımızı inceleyebilirsiniz.
Olay Anında İletişim
Bir güvenlik olayı sırasında e-posta kanalı etkilenmiş olabilir ya da çalışanlar e-postaya güvenmekte tereddüt edebilir. Bu yüzden olay anı mesajları için önceden belirlenmiş, ayrı bir kanalın olması önemlidir.
| Aşama | Mesajın içeriği |
|---|---|
| İlk bildirim | Ne biliniyor, çalışandan şu an ne isteniyor, sonraki bilgilendirme ne zaman gelecek. |
| Güncelleme | Değişen durum, geçerliliğini yitiren talimatlar. |
| Kapanış | Olağan çalışmaya dönüş ve varsa kalıcı kural değişiklikleri. |
Push bildirim, mesajı bilgisayar başında olmayan çalışana da ulaştırır. Genel kriz planı için kriz anında iç iletişim yazımıza bakabilirsiniz.
Kısa Bilgi Yarışmasıyla Anlaşılırlığı Ölçün
Okunma, anlaşıldığı anlamına gelmez. Duyurunun ardından üç-beş soruluk kısa bir bilgi yarışması, örneğin "Bu e-postada hangi işaret şüphelidir?" gibi sorularla çalışanın bilgisini pekiştirir. Sonuçlar, hangi konunun yeniden anlatılması gerektiğini gösterir. Sonuçları kişileri öne çıkaran bir sıralama yerine birim düzeyinde değerlendirmek, farkındalık çalışmasını cezalandırıcı bir havadan uzak tutar.
Sıkça Sorulan Sorular
Oltalama uyarıları herkese mi gönderilmeli?
Saldırı belirli bir birimi hedefliyorsa (örneğin ödeme ya da müşteri hizmetleri ekipleri) uyarıyı o birimlere öncelikli gönderin. Kurum genelini etkileyen bir kampanyada ise tüm çalışanlara ulaşın. Gereksiz genel uyarılar zamanla dikkat kaybına yol açar.
Güvenlik duyuruları hangi kanaldan yayımlanmalı?
Resmî güvenlik duyurularının tek ve doğrulanabilir bir kanaldan yayımlandığı bilinirse, çalışan sahte "güvenlik uyarılarını" da daha kolay ayırt eder. Kurum dışı mesajlaşma grupları bu amaç için uygun değildir.
Okunma ve yarışma sonuçları KVKK açısından nasıl ele alınmalı?
Bu kayıtlar kişisel veri niteliği taşıyabilir; amaçla sınırlı kullanım, çalışanın aydınlatılması, rol bazlı erişim ve saklama süresi belirlenmelidir. Ayrıntılar için KVKK uyumlu çalışan uygulaması sayfamıza bakabilirsiniz. İç iletişim platformu seçerken tedarikçileri aynı kriterlerle karşılaştırmak için bilgi güvenliği ve uyum değerlendirme listesini ücretsiz alabilirsiniz.
Hedefli duyuru, push bildirim, okunma raporu, hatırlatma ve bilgi yarışmasını tek yerde kullanmak için şirket içi duyuru ve bildirim uygulaması sayfamızı, bankacılık ve sigortacılığa özel kullanım için banka ve sigorta için iç iletişim sayfamızı inceleyebilirsiniz.