Bir kurumun BT müdürü gururla söyledi: "Geçen çeyrek phishing simülasyonunda tıklama oranımız %22'den %4'e düştü." Güzel bir haber gibi görünüyor — ama yanlış soruyu sorduğumuzda güzel görünen bir sayıdır bu. Çünkü %4 tıklama oranının ardında iki çok farklı gerçeklik olabilir: (a) çalışanlar tehdidi gerçekten daha iyi tanıyor, ya da (b) çalışanlar yalnızca "o mavi düğmeli, o tonda yazılmış simülasyon maillerini" tanımayı öğrendi ve gerçek, yaratıcı bir saldırıda yine tıklayacaklar. Tıklama oranı bir sonuç göstergesi olabilir; ama bir hedef haline geldiği anda, ölçmek istediğimiz şeyi bozmaya başlar.
Tematik Serimizin bu yazısında, e-posta güvenliğinin "insan katmanını" ele alıyoruz: phishing simülasyonları ve Güvenlik Farkındalık Eğitimi (SAT — Security Awareness Training). Amaç, bu araçları satın alma listesine bir kutu olarak eklemek değil; onları işe yarar kılan (ve çoğu kurumun düştüğü tuzaklardan kaçınan) doğru yaklaşımı, teknik olmayan bir yöneticinin bile uygulayabileceği netlikte anlatmak.
1. Neden İnsan Katmanı? Teknoloji Tek Başına Neden Yetmez?
Bu seride teknolojinin gücünü çok anlattık: API tabanlı tarama, davranışsal analiz, DMARC, ATO tespiti. Ama hiçbir teknoloji %100 değildir; özellikle sosyal mühendisliğin kalbindeki insan kararını hedefleyen saldırılarda, son savunma hattı çoğu zaman bir çalışanın "bir dakika, bu tuhaf" deme refleksidir. Sektör yazılarımızın ortak kuralı olan "hesap değişikliğini ikinci kanaldan teyit et" bile teknik değil, insani bir alışkanlıktır.
Kritik çerçeve şu: teknoloji ve insan katmanı rakip değil, katmanlıdır. Teknoloji saldırıların büyük kısmını çalışana hiç ulaşmadan keser; insan katmanı, teknolojinin kaçırdığı yaratıcı azınlığı yakalar. Biri diğerinin mazereti olamaz — "eğitim veriyoruz, o yüzden teknik korumaya gerek yok" da, "teknik korumamız var, o yüzden eğitime gerek yok" da yanlıştır.
2. En Büyük Tuzak: Tıklama Oranını Hedefe Çevirmek
Bir ölçüm hedefe dönüştüğünde ölçüm olmaktan çıkar (yönetim literatüründe Goodhart Yasası olarak bilinir). Phishing simülasyonlarında bu şöyle tezahür eder:
- Kalıp öğrenme: Çalışanlar tehdidi değil, "sizin simülasyonlarınızı" tanımayı öğrenir. Hep aynı sağlayıcının, aynı tondaki maillerini gönderirseniz, ekip o kalıbı ezberler — gerçek saldırı farklı göründüğünde koruma çöker.
- Korku kültürü: Tıklayan çalışanı utandırmak/cezalandırmak, tıklama oranını düşürür ama yanlış nedenle: insanlar şüpheli maili bildirmekten de korkar hale gelir. Oysa asıl istediğiniz, tıklanınca bile hızlı bildirimdir.
- Bildirim körlüğü: Tek metrik tıklama oranıysa, "kaç kişi bu maili şüpheli diye bildirdi" görünmez olur — oysa gerçek olgunluğun en iyi göstergesi budur.
3. Doğru Metrikler: Neyi Ölçmeli?
- Bildirim oranı (report rate): Şüpheli maili aktif olarak bildiren çalışan yüzdesi. Yükselmesi, sağlıklı bir güvenlik kültürünün en iyi işaretidir — tıklama oranından daha değerli.
- Bildirim hızı (time-to-report): İlk bildirimin ne kadar çabuk geldiği. Gerçek bir saldırıda dakikalar önemlidir; erken bir bildirim tüm kurumu uyarabilir.
- Tekrar tıklama (repeat clickers): Aynı kişilerin sürekli tıklaması, hedefli ek destek gerektiren küçük bir grubu işaret eder — toplu utandırma yerine bireysel, yapıcı destek.
- Senaryo çeşitliliğine dayanıklılık: Farklı temalarda (kargo, İK, fatura, CEO, QR kod) tutarlı performans; tek kalıba değil, gerçek çeşitliliğe karşı direnç.
4. İyi Bir Programın Beş İlkesi
- Ceza değil, öğrenme anı: Tıklayan çalışan, o an kısa ve yapıcı bir mikro-eğitimle karşılaşmalı ("işte bu mailde gözden kaçırdığın 3 işaret"), utandırmayla değil. Amaç refleks kazandırmak, korku değil.
- Çeşitlilik ve gerçekçilik: Senaryolar sektörünüze özgü olmalı (sektör yazılarımızdaki vektörler birebir simülasyon senaryosu olur: otomotivde tedarikçi taklidi, gıdada sahte portal, sigortada hasar IBAN değişikliği).
- Bildirimi kolaylaştırın: Tek tıkla "şüpheli bildir" düğmesi (Microsoft 365 / Google eklentisi) olmalı; bildirmek tıklamaktan kolay olmalı.
- Süreklilik: Yılda bir kampanya değil, düzenli ve küçük dozlarda. Farkındalık bir olay değil, bir alışkanlıktır.
- Liderlik dahil: Yöneticiler de simülasyona dahil olmalı; "CEO'ya phishing testi yapılmaz" kültürü, tam da en değerli hedefi korumasız bırakır (whaling).
5. SAT'ı Teknik Katmanla Birleştirmek
En güçlü kurgu, insan ve teknoloji katmanlarının aynı veriyi paylaştığı kurgudur. Check Point Harmony Email & Collaboration tarafında bu şöyle işler:
- Gerçek engellenen tehditler, simülasyon senaryolarına dönüştürülür — ekip, kurumu gerçekten hedefleyen saldırı türlerine karşı eğitilir, jenerik şablonlara değil.
- Tek tıkla bildirim düğmesi, çalışan bildirimini doğrudan güvenlik ekibine ve otomatik müdahaleye bağlar; bildirilen mail, aynıysa diğer kutulardan da geriye dönük temizlenir.
- Bir çalışan tıklasa bile, teknik katman (click-time URL koruması, kimlik toplama sayfası tespiti) çoğu zaman zararı önler — insan hatası tek başına felaket olmaz.
Yani doğru kurgu, SAT'ı teknolojinin yerine değil, onun görünürlüğünü ve refleksini artıran bir katman olarak konumlar.
Sıkça Sorulan Sorular
Tıklama oranı hiç mi önemli değil?
Önemli — ama tek başına ve hedef olarak değil. Zaman içindeki eğilimi (özellikle çeşitli senaryolarda) izlemek anlamlıdır; ancak bildirim oranı ve hızıyla birlikte okunmalıdır. Tek metriğe indirgendiğinde kalıp öğrenmeyi ödüllendirir ve gerçek dayanıklılığı gizler.
Tıklayan çalışanı gerçekten cezalandırmamalı mıyız?
Ceza, insanları hata yapmaktan değil, hatayı bildirmekten caydırır — bu da gerçek bir saldırıda en tehlikeli sonuçtur. Yapıcı mikro-eğitim ve tekrar tıklayanlara bireysel destek, korku kültüründen çok daha etkilidir. İstisna: kasıtlı, ısrarlı politika ihlalleri ayrı bir İK/uyum konusudur.
Küçük bir ekibiz; simülasyon abartı olmaz mı?
Hayır. Küçük ekiplerde tek bir tıklama tüm kurumu düşürebilir (ATO yazımızdaki domino etkisi). Küçük ekipler için basit, düzenli ve sektöre özgü senaryolar; pahalı bir platform şart değil — süreklilik ve gerçekçilik, hacimden önemlidir.
SAT'ımız var; teknik e-posta korumasına yine de gerek var mı?
Evet, mutlaka. Eğitim, teknolojinin kaçırdığı yaratıcı azınlığı hedefler; teknoloji, çalışana hiç ulaşmaması gereken büyük çoğunluğu keser. En iyi eğitimli ekip bile günde yüzlerce mail arasında yorulur; teknik katman bu yükü alır. İkisi katmanlıdır, biri diğerinin yerine geçmez.
Şimdi Ne Yapmalı?
Bir farkındalık programınız varsa, tek soru: "Bildirim oranımızı ve hızımızı ölçüyor muyuz, yoksa yalnızca tıklama oranına mı bakıyoruz?" Programınız yoksa, başlamak için pahalı bir platform beklemenize gerek yok.
- Ücretsiz Saha Denetimi: Kurumunuzu gerçekten hedefleyen saldırı türlerini raporlar, bunları sektörünüze özgü simülasyon senaryolarına dönüştürürüz.
- Katmanlı kurgu: Tek tıkla bildirim, gerçek tehditlerden türetilmiş simülasyon ve doğru metrik seti (bildirim oranı/hızı) ile SAT'ı teknik korumayla birleştiririz.
Bu yazı hakkında: Tematik Serimizin bir yazısıdır; e-posta güvenliğinin insan katmanını ele alır. Kinetik Bilişim, Check Point Software Technologies'in Advanced Partner 2026 seviyesindeki Türkiye iş ortağıdır; Email, Endpoint & Browser, Mobile ve SASE Solution Specialization akreditasyonlarına sahiptir. Yazar Kemal Özleyen, Check Point Workspace Security Expert sertifikalı bir siber güvenlik mühendisidir.
