İnsan Riski Yönetimi Nedir? Güvenlik Ekipleri İçin Uygulamalı Rehber

Güvenlik duvarları, EDR çözümleri ve e-posta ağ geçitleri her yıl daha iyi hale geliyor. Saldırganlar da buna onların etrafından dolaşarak yanıt verdi. Verizon 2026 Data Breach Investigations Report, ihlallerin %62'sinde insan unsuru bulunduğunu söylüyor: biri tıkladı, biri kandırıldı, biri aynı parolayı yeniden kullandı. Bunu yalnızca teknoloji çözmüyor; yılda bir izletilen bir uyum videosu da çözmüyor.

İnsan riski yönetimi (İng. human risk management, HRM), güvenlik ekiplerinin altyapıya zaten uyguladığı yaklaşımı insanlara uygulayan disiplindir: çalışanları, veriye dayanarak ve sürekli olarak ölçülebilen, puanlanabilen ve güçlendirilebilen bir saldırı yüzeyi olarak ele alır.

Geleneksel farkındalık yaklaşımının sorunu

Kurumların çoğu siber güvenlik farkındalığını hâlâ on yıl önceki gibi yürütüyor: yılda bir eğitim modülü, üç ayda bir oltalama testi ve denetçi için bir tamamlama raporu. Bu modeli etkisiz kılan üç yapısal sorun var:

1. Sonucu değil, faaliyeti ölçüyor. Tamamlama oranı, bir videoyu kimin izlediğini söyler; yarın bir dolandırıcıya kimin havale göndereceğini söylemez.
2. Tek kanalı test ediyor. Saldırganlar yıllar önce sesli aramaya, SMS'e, QR koda ve deepfake sese geçti. CrowdStrike'ın 2025 Global Threat Report'una göre sesli oltalama (vishing) saldırıları 2024'ün ilk yarısından ikinci yarısına %442 arttı. Yalnızca e-postayı test eden bir program, bugünkü saldırı yüzeyinin büyük kısmını göremez.
3. Bir risk sinyali üretmiyor. Geçti/kaldı mantığıyla ölçülen bir tıklama oranı departmanlar arasında karşılaştırılamaz, zaman içinde izlenemez ve yönetim kuruluna diğer risk göstergelerinin yanında sunulamaz.

Bir de içerik sorunu var: araştırmalar, yıllık uyum eğitiminin tek başına davranışı değiştirmediğini gösteriyor. UC San Diego Health'te 19.500'den fazla çalışanla sekiz ay süren ve IEEE Symposium on Security & Privacy 2025'te yayımlanan bir araştırma (Ho ve ark.), yıllık eğitimi yakın zamanda tamamlamak ile oltalama simülasyonunda başarısız olmak arasında anlamlı bir ilişki bulmadı. Eğitimin ne sıklıkla verilmesi gerektiğini ayrı bir yazıda ele alıyoruz.

İnsan riski yönetimi gerçekte ne demek?

İnsan riski yönetimi bu boşluğu sürekli bir döngüyle kapatır. Zafiyet yönetimi programınızın zaten kullandığı döngünün aynısıdır, yalnızca insanlara uygulanır:

1. Gerçek saldırıları her kanalda simüle edin

Tek bir şablon e-postayı herkese göndermek yerine, saldırganların gerçekten kullandığı kanallarda rastgele zamanlanmış, gerçekçi simülasyonlar yürütülür: e-posta ile oltalama, SMS oltalama, sesli oltalama, deepfake sesli aramalar, WhatsApp tuzakları, QR kodlar, USB yemleme ve geri arama dolandırıcılığı. ENISA Tehdit Ortamı raporları sosyal mühendisliği Avrupa'daki başlıca tehditler arasında sayıyor; çünkü sosyal mühendislik kanal değiştirmekte savunmadan daha hızlı.

2. İnsanların gerçekte nasıl davrandığını ölçün

Her simülasyon davranış verisi üretir: kim etkileşime girdi, kim görmezden geldi, kim bildirdi. En çok önem taşıyan metrik bildirimdir. Şüpheli teması hızla bildiren çalışanlar, kurumunuz için bir zafiyet olmaktan çıkar ve bir tespit ağına dönüşür.

3. Riski tek bir skorla sayıya dökün

Veriler bir Human Risk Score (İnsan Risk Skoru) altında toplanır: çalışan, departman ve kurum bazında. İnsan riskini yönetilebilir kılan şey bu tek sayıdır. Zaman içinde izlenebilir, karşılaştırılabilir ve yönetime yama uyumu ile uç nokta kapsamının yanında raporlanabilir. NOUSEC bu skorun yöntemini yayımlıyor: yedi bileşen, her birinin ağırlığı ve skoru düşüren tek bileşen olarak bildirim.

4. Eğitimi yalnızca verinin gösterdiği yere verin

Uyarlanabilir mikro eğitim, ihtiyacı olan kişiye, zorlandığı kanalda ve hata anında gider; keyfi bir takvimle bütün şirkete değil. Bu yaklaşım eğitime harcanan dakikayı düşük, davranış değişikliğini yüksek tutar.

Değişimin tek cümlelik özeti: farkındalık programları eğitimi kimin bitirdiğini sayar; insan riski yönetimi ise bir sonraki gerçek saldırıya kimin kanacağını ölçer ve bunu düzeltir.

Programın işe yarayıp yaramadığını görmek için yayımlanmış oranlara bakmak yararlı. KnowBe4'ün 2026 Phishing by Industry Benchmarking raporu (64.000 kurumda 14,8 milyon kullanıcıya gönderilen 42 milyon simülasyon), eğitim almamış kurumların başlangıçta %33,2 oltalamaya açıklık oranıyla başladığını, eğitim ve simülasyonun birlikte yürütüldüğü 90 günün sonunda bu oranın %20,1'e, on iki ayın sonunda %4,2'ye indiğini bildiriyor. Bunlar bir tedarikçinin kendi müşteri verileri; yine de doğru soruyu gösteriyorlar: ölçmediğiniz bir şeyin iyileşip iyileşmediğini bilemezsiniz.

Farkındalık eğitimi ile insan riski yönetimi yan yana

İkisi birbirinin rakibi değil; insan riski yönetimi, farkındalık eğitimini bir veri döngüsünün içine yerleştirir. Farkı en açık gösteren, her birinin hangi soruya cevap verdiğidir:

Tablodaki en önemli satır "temel soru" satırıdır. Bir tamamlama oranı yüzde yüz olabilir ve kurum yine de bir sonraki sesli oltalama aramasına hazırlıksız kalabilir. İnsan riski yönetimi bu ikisi arasındaki mesafeyi ölçülebilir hale getirir: hangi departmanın hangi kanalda zorlandığını, bildirim alışkanlığının yerleşip yerleşmediğini ve verilen eğitimin gerçekten davranışı değiştirip değiştirmediğini gösterir.

Bu ölçüm, eğitimin kendisini de dürüst hale getirir. Bir modülün tıklama oranını düşürüp düşürmediğini görebildiğinizde, işe yaramayan içeriği bırakıp işe yarayana kaynak ayırabilirsiniz. Sadece "eğitim verildi" diyebilen bir programda bu ayrımı yapmak mümkün değildir.

Bu konu 2026'da neden daha önemli?

Üretken yapay zekâ, sosyal mühendislikteki son sürtünmeyi de ortadan kaldırdı. Verizon'un 2026 raporu, ortanca tehdit aktörünün yapay zekâyı artık belgelenmiş 15 saldırı tekniğinde kullandığını belirtiyor. Deloitte, deepfake destekli dolandırıcılığın kayıplarının 2027'ye kadar 40 milyar dolara ulaşacağını öngörüyor. Her dilde kusursuz yazılmış tuzaklar, klonlanmış yönetici sesleri ve otomatikleştirilmiş çok kanallı kampanyalar, "yazım hatasını yakala" döneminin bittiği anlamına geliyor. Türkçe oltalama e-postalarındaki dil bozukluğu da artık güvenilir bir ipucu değil.

Düzenleyiciler de çıtayı yükseltiyor. ISO/IEC 27001, farkındalık ve eğitimi (madde 7.3 ve Ek A 6.3) yönetim sisteminin bir parçası olarak ele alıyor. Bankalar için BDDK'nın bilgi sistemleri yönetmeliği bir adım daha ileri gidiyor: 19. madde, güncel saldırı yöntemlerine göre hazırlanmış sosyal mühendislik senaryolarıyla periyodik test ve testi geçemeyenlere hedefli eğitim istiyor. Ayrıntılar için finansal hizmetlerde insan riski yazımıza bakabilirsiniz. AB'de faaliyeti olan kurumlar için GDPR, NIS2 ve DORA da kanıtlanabilir, riske dayalı eğitim bekliyor. "Riske dayalı" ise bir tamamlama sertifikasının gösteremediği şeyin ta kendisi. NIST SP 800-50r1 gibi çerçeveler de kurumları ölçülebilir program sonuçlarına yönlendiriyor.

Kişisel veriler konusunda bir uyarı: simülasyon ve skor verileri çalışan verisidir. Programı tasarlarken çalışanların önceden bilgilendirilmesini, ölçülülüğü ve verilere erişimin sınırlandırılmasını hukukçunuzla birlikte değerlendirin.

İnsan riski yönetimi programına nasıl başlanır?

Her şeyi aynı anda yapmanız gerekmiyor. Pratik bir başlangıç şöyle görünür:

1. Sessizce bir başlangıç ölçümü yapın. Dürüst bir başlangıç skoru elde etmek için ilk çok kanallı simülasyon dalgasını önceden duyurmadan yürütün.
2. Puanlayın ve gruplara ayırın. En yüksek riskli departmanları ve rolleri belirleyin. Finans ekipleri ve yönetici asistanları, bahane senaryoları ve deepfake girişimlerinde genellikle listenin başında yer alır.
3. Önce bildirimi düzeltin. "Bildir" işlemini tek tıklık bir eyleme dönüştürün ve bildirenleri görünür biçimde takdir edin. Bildirim oranı tıklama oranından daha hızlı iyileşir ve gerçek olaylarda karşılığını verir. Bildirim kültürü üzerine yazımız bu adımı ayrıntılandırıyor.
4. Döngüyü otomatikleştirin. Kampanyalardan sürekli örneklemeye geçin; böylece Human Risk Score aylık, istikrarlı bir metriğe dönüşür.
5. Yukarıya raporlayın. Skoru diğer risk göstergelerinizle aynı panoya koyun. Yönetim kurulu insan riskinin düştüğünü gördüğünde program kendi bütçesini savunur.

NOUSEC'in yeri

NOUSEC tam olarak bu döngü için kuruldu: deepfake ses dahil 8 kanalda oltalama simülasyonu yürütür, çalışanların gerçek davranışını ölçer, testi geçemeyenlere uyarlanabilir farkındalık eğitimi atar ve sonuçları yönetim kurulunuzun okuyabileceği tek bir Human Risk Score altında birleştirir. Kurumunuzun skorunun nasıl göründüğünü görmek isterseniz demo talep edin.