NOUSEC; finans, sağlık, kamu, üretim ve enerji sektörlerinde insan kaynaklı siber riskleri ölçen bir platformdur. Platform her sektörde aynıdır: sekiz kanalda saldırı simülasyonu, doğrulanabilir eğitim takibi ve şeffaf bir risk skoru. Sektöre göre değişen; denetimlerde kanıtlamanız gerekenler, ulaşmanız gereken çalışanlar ve karşı karşıya olduğunuz tehditlerdir. Finans sektöründe ödeme dolandırıcılığı ve ses taklidi, sağlıkta oltalama ve yanlış alıcıya gönderilen e-postalar, kamuda insan kaynaklı hatalar, üretim ve enerjide ise tedarik zinciri riskleri öne çıkar.
Sektörel ihtiyaçlar farklı, platform aynı.
Her sektörün öncelikleri farklıdır. Denetim gereklilikleri, çalışan profilleri ve saldırı yöntemleri değişse de NOUSEC tüm bu riskleri tek bir platform üzerinden ölçmenizi sağlar.
Denetimlerde hangi gereklilikleri karşılamanız gerekiyor?
Bankalar için BDDK düzenlemeleri, sağlık kuruluşları için veri güvenliği, kamu kurumları içinse ilgili güvenlik standartları belirleyicidir. NOUSEC, eğitim ve simülasyon sonuçlarını kayıt altına alarak denetimlerde ihtiyaç duyduğunuz kanıtları sunmanıza yardımcı olur.
Hangi çalışanlara, nasıl ulaşmalısınız?
Her çalışanın görevi, çalışma ortamı ve karşılaştığı risk farklıdır. Ofiste çalışan bir personel ile gece vardiyasındaki bir sağlık çalışanının ihtiyaçları aynı değildir. Eğitimler ve simülasyonlar doğru kişilere, uygun içerik ve kanallarla ulaşmalıdır.
Saldırganlar hangi kanalları kullanıyor?
Finans ve sağlıkta oltalama e-postaları öne çıkar; üretimde ise tedarikçiler üzerinden gelen saldırılar ciddi bir risktir. SMS, WhatsApp, QR kodlar ve yapay zekâyla taklit edilen sesler de saldırılarda kullanılır. NOUSEC, bu riskleri sekiz farklı kanalda test etmenizi sağlar.
Dört sektörde siber risk karşılaştırması
Tablodaki veriler, belirtilen raporların ilgili sektör bölümlerinden alınmıştır. Değerler tahmin veya sektör ortalaması değildir; kaynak raporlarda yayımlanan oranları gösterir.
| Finans ve sigorta | Sağlık | Kamu | Üretim | |
|---|---|---|---|---|
| İnsan faktörünün rol oynadığı ihlaller | %65 | %54 | %69 | %56 |
| Oltalama ile başlayan saldırılar | %20 | %14 | %20 | %13 |
| Dış kaynaklı saldırılar | %88 | %81 | %56 | %95 |
| Kurum içinden kaynaklanan ihlaller | %12 | %19 | %44 | %5 |
| Casusluk amacı taşıyan saldırılar | %3 | %2 | %33 | %15 |
| Üçüncü tarafların rol oynadığı ihlaller | %34 | %32 | %36 | %61 |
| İlk üç kategorinin kapsadığı ihlaller | ihlallerin %81'i | %81 | %80 | %91 |
| Öne çıkan insan kaynaklı saldırı türleri | Sosyal mühendislik | Çeşitli hatalar ve sosyal mühendislik | Çeşitli hatalar ve yetkinin kötüye kullanılması | Sosyal mühendislik |
Kaynak: Verizon 2026 Data Breach Investigations Report, sektör bölümü, s. 84[1]. Sütunlar raporun sektör kodlarına karşılık gelir: Finans ve sigorta (52), Sağlık (62), Kamu yönetimi (92), İmalat (31–33). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025. DBIR, katkıda bulunan kuruluşların paylaştığı vakalara dayanır ve tüm ihlalleri temsil etmez; sektör bölümleri tahmin için değil, önceliklendirme içindir. Mavi nokta, satırdaki en yüksek değeri gösterir; son iki satır sıralama değildir. Türkiye'ye özgü bir kırılım bulunmamaktadır.
Önceliklerinizi, tabi olduğunuz düzenlemelere göre belirleyin.
Finansal hizmetler
Kontrolleriniz çalıştı ancak ödemeyi onaylayan ses klonlanmıştı. BDDK m.19, periyodik sosyal mühendislik testi ve testi geçemeyenlere hedefli eğitim şartı getiriyor. Üst yönetim de bu kapsamın içinde yer alıyor.
Sağlık
Sağlıkta ilk üç ihlal örüntüsünde hata, sosyal mühendislikle yan yana yer alıyor. Nöbet arasındaki bir hekim, yirmi dakikalık bir modülü sonuna kadar izlemez.
Kamu sektörü
Dört sektör içinde hem insan faktörünün hem de kurum içi kaynaklı ihlallerin payı en yüksek olan sektördür. Önemli olan yalnızca eğitimi vermek değil, tamamlandığını ve etkisini kanıtlamaktır.
Üretim ve enerji
DBIR’da üçüncü taraf dahlinin en yüksek olduğu sektör. Doğrudan operasyon personelini hedef alan bahaneler öne çıkıyor. Risk altındaki çalışanların çoğunun kendine ait bir bilgisayarı bulunmuyor.
Bilgi güvenliği eğitimlerine ilişkin yasal yükümlülükler
Hangi yükümlülüklerin geçerli olduğu, faaliyet gösterdiğiniz sektöre ve tabi olduğunuz düzenlemelere bağlıdır. Burada yalnızca birincil mevzuat metninden doğruladığımız hükümlere madde numarasıyla yer veriyoruz.
Güncel saldırı yöntemlerine dayalı sosyal mühendislik senaryolarıyla düzenli test; testi geçemeyen çalışanlara ek hedefli eğitim.
m.19(1)–(2) kapsamlı bir farkındalık programı ve yılda en az bir gözden geçirme ister; m.8(1)(f) üst yönetimin, dış hizmet sağlayıcıların ve müşterilerin de kapsama alınmasını öngörür.
Personele, görevine uygun bilgi güvenliği eğitimi.
Sermaye piyasası kurumları için geçerlidir; banka değilseniz BDDK m.19 yerine bu madde esas alınır.
Yetkinlik ve farkındalık şartları ile “bilgi güvenliği farkındalığı, eğitim ve öğretim” kontrolü.
Sertifika denetçileri katılım listesi değil, eğitimin etkili olduğuna dair kanıt ister.
Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesinde çalışanın önceden bilgilendirilmesini, ölçülülüğü ve verilere sınırlı erişimi şart koşar.
Bir eğitim yükümlülüğü değildir; ancak simülasyon sonuçları çalışan verisi sayıldığından bu kararı hukuk ekibinizle birlikte değerlendirmenizi öneririz.
Sağlık Bakanlığı'nın Bilgi Güvenliği Politikaları Kılavuzu, Siber Güvenlik Başkanlığı'nın Bilgi ve İletişim Güvenliği Rehberi ve EPDK'nın Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği.
Bu üç belgenin eğitime ilişkin hükümleri birincil metinden doğrulanana kadar madde numarası vermiyoruz. Sektör sayfanızda da aynı ilkeyi uyguluyoruz.
İçerik, tabi olduğunuz düzenleyiciye göre hazırlanır.
Türkiye
Bankalar için BDDK m.19, sermaye piyasası kurumları için SPK VII-128.10 madde düzeyinde; KVKK Kurulu'nun 2026/2035 sayılı ilke kararı; sağlık, kamu ve enerji için ilgili sektör düzenlemeleri. İçerikler Türkçe ve resmî üslupla hazırlanır.
Avrupa Birliği
AB'deki iştirakleriniz için Ek I ve Ek II kapsamındaki 18 sektörde NIS2; 17 Ocak 2025'ten itibaren DORA; GDPR ve ISO 27001:2022 kontrol seti. Veriler Frankfurt'ta barındırılır.
Diğer bölgeler
Kurum bazında seçilebilen SOC 2 ve ISO 27701 uyumu, tam beyaz etiket ve otomatik para birimi desteği.
Sorular
Sektör sayfanızı seçmeden önce en sık sorulan sorular.
Kullanılan veriler ve kaynakları
Her kaynağın adı, yayımcısı, yılı, bağlantısı ve bu sayfada ne için kullanıldığı. Burada yer almayan bir rakam sayfada da yoktur.
Son gözden geçirme: 20 Ekim 2026. Mevzuat atıfları her gözden geçirmede Resmî Gazete'deki güncel metinle kontrol edilir.
- 2026 Data Breach Investigations ReportVerizon Business — sektör bölümü, s. 84, Finans ve Sigorta (NAICS 52). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025 · 2026Bu sayfadaki kullanımı: Sektör karşılaştırma tablosu ve dört sektör kartı: Finans ve Sigorta (52), Sağlık (62), Kamu Yönetimi (92) ve İmalat (31–33) için insan faktörü, oltalama, saldırgan kaynağı, saldırı amacı, üçüncü taraf dahli ve ilk üç ihlal kategorisi oranları.
- Threat Landscape 2025ENISA — 13. baskı, v1.2, 4.875 olay, 1 Temmuz 2024 – 30 Haziran 2025 · 2025Bu sayfadaki kullanımı: Kamu yönetiminin AB'de en çok hedef alınan sektör olduğu bulgusu. 4.875 olay, 1 Temmuz 2024 – 30 Haziran 2025.
- Directive (EU) 2022/2555 (NIS2)Avrupa Birliği Resmî Gazetesi, OJ L 333, 27.12.2022 · 2022Bu sayfadaki kullanımı: AB'de faaliyet gösteren iştirakler için: madde 21(2)(g) ve 20.
- Regulation (EU) 2022/2554 (DORA)Avrupa Birliği Resmî Gazetesi — 17 Ocak 2025'ten itibaren uygulanıyor · 2022Bu sayfadaki kullanımı: AB'de faaliyet gösteren finansal kuruluşlar için: madde 13(6).
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Uluslararası Standardizasyon Örgütü (ISO) — 3. baskı · 2022Bu sayfadaki kullanımı: Madde 7.2 ve 7.3; Ek A kontrol 6.3'ün başlığı.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS), Sivil Haklar Ofisi — s. 8–14 · 2024Bu sayfadaki kullanımı: Sağlık kartı: 663 büyük ihlalin 164'ünün e-posta kaynaklı olması.
- Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında YönetmelikBankacılık Düzenleme ve Denetleme Kurumu (BDDK) — Resmî Gazete, 15.03.2020, sayı 31069 · 2020Bu sayfadaki kullanımı: Madde 19(1)–(4) ve madde 8(1)(f).
- Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10)Sermaye Piyasası Kurulu (SPK) — Resmî Gazete, 13.03.2025, sayı 32840 · 2025Bu sayfadaki kullanımı: Madde 7(3)(ç): personele görevine uygun bilgi güvenliği eğitimi.
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı (İlke Kararı)Kişisel Verileri Koruma Kurumu — Resmî Gazete, 08.10.2026, sayı 33394 · 2026Bu sayfadaki kullanımı: Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesine ilişkin ilke kararı.
- Bilgi Güvenliği Politikaları Kılavuzu, Sürüm 2.1T.C. Sağlık Bakanlığı, Sağlık Bilgi Sistemleri Genel Müdürlüğü — Temmuz 2019 · 2019Bu sayfadaki kullanımı: Sağlık sektörü için yalnızca adıyla anılır; madde atfı yapılmamıştır.
- Bilgi ve İletişim Güvenliği Rehberi, Sürüm 1.1Siber Güvenlik Başkanlığı — 01.03.2026 · 2026Bu sayfadaki kullanımı: Kamu kurumları ve kritik altyapı işletmecileri için yalnızca adıyla anılır; madde atfı yapılmamıştır.
- Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli YönetmeliğiEnerji Piyasası Düzenleme Kurumu (EPDK) — Resmî Gazete, 06.06.2023, sayı 32213 (son değişiklik 25.11.2025) · 2023Bu sayfadaki kullanımı: Enerji sektörü için yalnızca adıyla anılır; madde atfı yapılmamıştır.