İnsan Riski Skoru: Çalışan Kaynaklı Güvenlik Riski Nasıl Ölçülür?

Güvenlik ekipleri yama süresini, EDR kapsamını ve bekleyen her zafiyetin CVSS puanını ezbere söyleyebilir. Ama finans biriminin dördüncü sırasındaki masada oturan riskin ne kadar olduğunu sorduğunuzda çoğunun elinde bir sayı yoktur. Oysa Verizon'un 2026 Veri İhlali Araştırmaları Raporu (DBIR), ihlallerin %62'sinde insan unsurunun rol oynadığını söylüyor.

İnsan riski skoru tam olarak bu dengesizliği gidermek için var: CVSS'nin yazılım için yaptığını insanlar için yapan, sürekli güncellenen tek bir sayı. Riski karşılaştırılabilir, izlenebilir ve üzerinde aksiyon alınabilir hale getirir. Bu rehberde skora neyin girmesi gerektiğini, gerçek hayatla temas ettiğinde ayakta kalan bir skorun nasıl kurulduğunu ve faydalı bir metriği süs eşyasına çeviren hataları ele alıyoruz.

İnsan riskini neden sayıya dökmeliyiz?

Önem sırasına göre üç sebep var.

Önceliklendirme. Hiçbir güvenlik ekibi herkese birebir koçluk yapamaz. IEEE S&P 2025'te yayımlanan ve 19.500 çalışanı kapsayan araştırma, herkese aynı anda verilen yıllık eğitimin davranışı neredeyse hiç değiştirmediğini gösterdi. İşe yarayan şey hedefli ve zamanında müdahaledir. Hedefleyebilmek için de kimi hedefleyeceğinizi bilmeniz gerekir; skor bunu söyler.

İletişim. Yönetim kurulu oltalama tıklama raporlarını okumaz, eğilim çizgilerini okur. İki çeyrekte 68'den 41'e inen bir skor, CISO'nun tek bir slaytla anlatabileceği bir hikâyedir ve farkındalık çalışmasını bir maliyet kaleminden ölçülen bir risk azaltma programına dönüştürür. Bu, farkındalık eğitiminin yatırım getirisi üzerine yazdığımız analizin de ana argümanıdır.

Strateji. Gartner, 2027'ye kadar büyük kurumlardaki CISO'ların yarısının insan odaklı güvenlik tasarımı uygulamalarını benimseyeceğini öngörüyor. NIST SP 800-50r1 de farkındalığı yıllık bir etkinlik olarak değil, sürekli ve ölçülen bir program olarak tanımlıyor. İki eğilim de ölçümü varsayar. İnsan odaklı bir programı sezgiyle yönetemezsiniz.

İnsan riski skoru, çalışanlara verdiğiniz bir not değildir. Güvenlik ekibinize verdiğiniz bir önceliklendirme sistemidir.

Skorun içinde neler olmalı?

Savunulabilir bir skor iki boyutu birleştirir: davranış (insanların gerçekte ne yaptığı) ve maruziyet (yanlış yaptıklarında ne olacağı). Önüne gelen her tuzağa tıklayan ama hassas hiçbir şeye erişimi olmayan bir çalışan, ara sıra tıklayan bir etki alanı yöneticisinden daha küçük bir sorundur.

Bu tabloyla ilgili iki tasarım notu. Birincisi, zorluk önemlidir. Kaba bir tuzağa tıklamak ile kusursuz hazırlanmış hedefli bir oltalama e-postasına tıklamak aynı sinyal değildir. NIST Phish Scale tam olarak her oltalama e-postasının ne kadar zor fark edildiğini derecelendirmek için geliştirildi; başarısızlıkları (ve bildirimleri) bu dereceyle ağırlıklandırın. İkincisi, bildirim olumlu bir sinyaldir ve riski görünür biçimde düşürmelidir. Ara sıra tıklayan ama birkaç dakika içinde bildiren bir ekip, hiç tıklamayan ama hiç bildirmeyen bir ekipten operasyonel olarak daha güvenlidir; çünkü filtreyi aşan mesajları güvenlik ekibinizin durdurma şansı bildirimle doğar.

Beş adımda bir skor kurmak

1. Birimi ve ölçeği belirleyin. Kişileri puanlayın ama aksiyonu toplu düzeyde alın: ekip, departman, lokasyon. Adlandırılmış bantları olan 0–100 arası bir ölçeği anlatmak, ham olasılıkları anlatmaktan çok daha kolaydır. Yüksek skorun daha riskli anlamına gelip gelmediğine baştan karar verin ve bunu bir daha değiştirmeyin.

2. Elinizdeki sinyallerle başlayın. Kurumların çoğu ilk sürümü yalnızca oltalama simülasyonu sonuçları, eğitim kayıtları, MFA kaydı ve sızıntı izlemesiyle hesaplayabilir. Kusursuz telemetriyi beklemeyin. Dürüst dört sinyalle kurulmuş bir skor, on dört sinyal vaat eden bir yol haritası slaytından iyidir.

3. Tutum yerine davranışı, geçmiş yerine yakın zamanı ağırlıklandırın. Gözlenen eylemler (tıkladı, bildirdi, parolayı tekrar kullandı) anket yanıtlarına baskın gelmelidir. Zamanla azalan ağırlık uygulayın: eğitimin etkisi birkaç ay içinde zayıflar; bu yüzden geçen haftaki bir hata geçen yılkinden çok daha ağır basmalıdır. İyileşmeler de çalışanların çabalarının skora yansıdığını hissedecekleri kadar hızlı görünmelidir.

4. Gerçeğe göre kalibre edin. Skor bir tahmindir; onu bir tahmin gibi test edin. Skoru yüksek olan kullanıcılar gerçekten daha fazla olaya, daha fazla zararlı yazılım tespitine, kendilerini hedef alan daha fazla gerçek oltalama girişimine mi karşılık geliyor? Birkaç çeyrek sonra skorun en üst dilimi gerçek olayların orantısız bir payını açıklamıyorsa ağırlıkları yeniden ele alın. Risk modelini gösteriş metriğinden ayıran budur.

5. Skoru cezaya değil, müdahaleye bağlayın. Skorun çıktısı aksiyon olmalıdır: riski yükselen kullanıcılar otomatik olarak daha sık ve daha zor simülasyonlara ve kısa, hedefli eğitimlere alınır; ayrıcalıklı erişimi olan kritik düzeydeki kullanıcılar için koşullu erişim politikaları sıkılaştırılır. Asla tetiklememesi gereken şey disiplin işlemidir. Skor cezalandırmak için kullanıldığı anda çalışanlar bildirmeyi bırakır, veri kaliteniz çöker ve skor size yalan söylemeye başlar.

Yayımlanmış bir yöntem örneği: NOUSEC'in ağırlıkları

Yöntemi anlatmak kolaydır; ağırlıkları açıklamak cesaret ister. Bu yüzden kendi skorumuzun hesabını açıkça yayımlıyoruz. NOUSEC Human Risk Score 0 ile 100 arasındadır ve yedi bileşenden oluşur:

Risk seviyeleri şöyledir: Düşük 0–25, Orta 26–50, Yüksek 51–74, Kritik 75–100. Yukarıdaki iki ilke burada somutlaşır: bildirim skoru düşürür ve sızıntı verisi kişisel bir kusur gibi yazılmaz.

Skor programlarını batıran hatalar

Tek sinyal tuzağı: Yalnızca tıklama oranına dayanan bir skor, şanslı ya da şanssız tek bir şablonla 30 puan oynayabilir. Kapalı kutu tuzağı: Kimsenin açıklayamadığı bir skor ilk itirazda çöker; çalışana gösterilen her skor, istendiğinde bileşenlerine ayrılabilmelidir. Lig tablosu tuzağı: "En riskli çalışanlar" sıralamasını yayımlamak bir güvenlik aracını moral sorununa çevirir. Ekip düzeyindeki eğilimleri geniş, bireysel ayrıntıyı dar bir çevreyle paylaşın.

Gizlilik sonradan eklenen bir not değil, tasarımın parçası olmalıdır. Türkiye'deki kurumlar için bu, KVKK kapsamında çalışanları neyin, hangi amaçla ölçüldüğü konusunda bilgilendirmek, veriyi amaçla sınırlı tutmak ve hukuk birimini en baştan sürece katmak demektir. AB'de çalışanınız varsa GDPR da devreye girer. Her iki çerçevede de en savunulabilir duruş aynıdır ve yukarıdaki kurala denk düşer: skor cezaya değil, müdahaleye bağlanır.

Skoru yönetim kuruluna nasıl sunarsınız?

Yönetim kurulu her toplantıda aynı üç soruyu sorar ve iyi kurulmuş bir skor üçüne de tek sayfada cevap verir.

"Bugün neredeyiz?" Kurum geneli tek bir güncel skor ve riskin nerede yoğunlaştığını gösteren departman kırılımı. Çoğu kurumda yoğunlaşma tahmin edilebilir yerlerde çıkar: ödeme yetkisi olan finans ekipleri, yönetici asistanları, işe yeni başlayanlar. Sayıyı göstermek yetmez; hangi bileşenin yükselttiğini de gösterin.

"İyileşiyor muyuz?" Aydan aya eğilim çizgisi. Burada dikkat edilmesi gereken nokta, faaliyeti değil sonucu raporlamaktır. "Bu çeyrekte 4.000 eğitim tamamlandı" bir faaliyet cümlesidir; "finans biriminin skoru Riskli banttan Öğrenen banda indi" bir sonuç cümlesidir. Kurul ikincisini sorar.

"Diğerlerine göre durumumuz ne?" Sektör karşılaştırması. Burada yalnızca kaynağı, baskısı ve yılı belli olan karşılaştırma verisi kullanın; kaynağı gösterilemeyen bir "sektör ortalaması" ilk soruda güvenilirliğinizi alır götürür.

Son bir öneri: skordaki her değişikliği bir aksiyonla eşleştirin. "Skor yükseldi, şu ekibe şu simülasyon ve şu eğitim atandı, iki ay sonra şuraya geldi" cümlesi, insan riskini yönetilebilir bir risk kalemi olarak gösterir.

Skordan programa

İnsan riski skoru, bir insan riski yönetimi programının bağlayıcı dokusudur: simülasyonlar ve gerçek hayattan gelen veriler skoru besler, skor uyarlanabilir eğitimi ve kontrolleri yönlendirir, ortaya çıkan davranış değişikliği de yeniden skora yansır. Bu döngüyü sürekli çalıştırdığınızda, durağan farkındalık programlarının hiçbir zaman veremediği şeyi elde edersiniz: "İnsan kaynaklı riskimiz azalıyor mu?" sorusuna yönetim kuruluna sunulabilir ve yanlışlanabilir bir cevap.

Simülasyon davranışını, kimlik bilgisi hijyenini ve eğitim sinyallerini sürekli hesaplanan tek bir skorda görmek isterseniz, NOUSEC Human Risk Score tam olarak bunun için tasarlandı.