NOUSEC, hastanelerdeki iki insan kaynaklı hata türünü birlikte ele alır: aldatma ve dikkatsizlik. Aldatmaya karşı sekiz kanalda simülasyon ve her cevaba gerekçeli geri bildirim; hataya karşı ölçüm ve hesap verebilirlik sunar: etkileşim sınıflandırması, sürüm takipli politika onayı ve taklit edilemeyen tamamlama. Klinik personel vardiyalı çalıştığı ve çoğu zaman aynı bilgisayarı paylaştığı için tamamlama, izlenen saniyelere göre sunucuda doğrulanır; iki hasta arasında açılıp bırakılan modül tamamlanmış sayılmaz.
E-posta yüzeyi, kendi rakamlarıyla.
Sağlıkta insan iki şekilde hata yapar. Programların çoğu yalnızca birini eğitir.
İlgiyi hep aldatma çeker. Oysa bu sektörde hata da ihlallerin ilk üç örüntüsü arasında.
Aldatma
Sistem sızması ve sosyal mühendislik. Klinik portallara yönelik kimlik bilgisi oltalaması, BT destek masasını arayan sahte senaryolar, bekleme alanlarındaki basılı materyallere yapıştırılmış QR tuzakları.
Karşılığı: çok kanallı simülasyon, saldırıyı ele veren işareti gösteren gerekçeli geri bildirim ve başarısız olana uyarlanmış eğitim ataması.
Dikkatsizlik
Yanlış alıcı, yanlış yapılandırma, yanlış ek, açık bırakılan ortak oturum.
Bugünkü karşılığı: zararlı ek ve bağlantı modülü; kendi veri işleme politikanıza karşı sürüm takipli politika onayı; okuyanla tıklayıp geçeni ayıran etkileşim sınıflandırması ve yarım kalan modülün tamamlanmış sayılmasını engelleyen sunucu tarafı izlenme eşiği.
Yalnızca şüpheciliği eğiten bir program, sektörün üçüncü büyük ihlal örüntüsüne hiç dokunmaz. Bu sayfanın finansal hizmetler sayfasının bir kopyası olmamasının sebebi de bu.
Gece nöbetindeki bir hemşire yirmi dakikalık eğitime oturmaz.
Burada ulaşmak, eğitimden önce bir format ve kanal sorunudur. Üç kitle, üç farklı cevap.
Klinik ve vardiyalı personel
Mikro formatlar. Servis alanları için poster ve infografikler; kaldığı yerden devam eden kısa modüller; masadan uzaktaki birine ulaşan kanal olduğu için QR kod simülasyonu. Kişisel cihaz gerektiren hiçbir şey yok.
Ortak kullanılan bilgisayarlar
Tamamlama, izlenen saniyelere göre sunucu tarafında kişiye yazılır; ortak bir terminalde açılıp bırakılan modül tamamlanmış sayılmaz. Etkileşim sınıflandırması, Atlayan ile Derin Katılımlı'yı aynı şekilde 'bitti' saymaz.
İdari ve destek birimleri
Yanlış alıcıya gönderim ve iş e-postası dolandırıcılığının (BEC) gerçekten yaşandığı kitle. E-posta, SMS ve geri arama simülasyonu; yayındaki BEC ve zararlı ek modülleriyle birlikte.
Paketlere yayılmış 14 format; 30 dil, bunların 9'u bugün tamamen yerelleştirilmiş, 21'i talep üzerine; iş e-postası dolandırıcılığı, kimlik bilgisi toplama, zararlı ek ve bağlantılar ve parola hijyenini kapsayan bir müfredat.
Çerçeve ve onu karşılayan kanıt.
Bir hastane grubunun denetimde karşılaştığı belgeler, ve her biri için platformun ürettiği kayıt.
| Mevzuat | Madde | Ne istiyor | NOUSEC nasıl kanıtlıyor |
|---|---|---|---|
| ISO/IEC 27001:2022[5] | md. 7.2 / 7.3, Ek A 6.3 | Yetkinlik, farkındalık ve bilgi güvenliği farkındalığı, eğitim ve öğretim. | Sunucu tarafı tamamlama eşiği; herkese açık sertifika doğrulama sayfası; denetim kaydı. |
| Sağlık Bakanlığı Bilgi Güvenliği Politikaları Kılavuzu, Sürüm 2.1[17] | — | Bakanlığın bilgi güvenliği politikaları kılavuzu personel farkındalığını ve eğitimini de ele alır. Kurumunuzun bu kılavuza göre üstlendiği yükümlülükleri kendi uyum ekibinizle birlikte belirleyin. | Rol bazlı kampanya kapsamı; denetime göre düzeltilmiş uyum karnesi; dışa aktarılabilir kayıt. |
| KVKK | Özel nitelikli kişisel veri | Sağlık verisi KVKK'da özel nitelikli kişisel veridir. Bu veriye erişen personelin ne öğrendiğini ve neyi onayladığını gösterebilmek gerekir. | Kendi veri işleme politikanıza karşı sürüm takipli politika onayı; denetim kaydı; SIEM aktarımı. |
| KVKK Kurul ilke kararı[16] | 2026/2035 | Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesinde çalışanın önceden bilgilendirilmesi, ölçülülük ve verilere sınırlı erişim. | Veriler AB'de (Frankfurt); KVKK/GDPR veri dışa aktarma ve silme. Simülasyon sonuçlarının çalışan verisi olarak işlenmesini bu kararla birlikte hukukçunuzla değerlendirin. |
| ISO/IEC 27701:2022 | — | Gizlilik bilgi yönetimi uzantısı. | Kurum bazında seçilebilir. |
Mevzuat özetleri yönlendirme amaçlıdır, hukuki görüş değildir. Tamamlama eşiği ve uyum karnesi Essentials'tan; politika onayı ve herkese açık sertifika doğrulama Professional'dan; denetim kaydı ve SIEM aktarımı Enterprise'dan itibaren.
Bu sayfanın dayandığı dört mekanizma.
İzlenen saniyeyle ölçülen tamamlama
Servise ulaşan kanallar
Etkileşim sınıflandırması
Her cevaba gerekçeli geri bildirim
İlgili okumalar: QR kod ile oltalama saldırıları, sözlükte iş e-postası dolandırıcılığı ve kimlik bilgisi doldurma maddeleri. Kendi güvenlik duruşumuz Güvenlik sayfasında.
Sorular
Bir hastanenin CISO'sunun ve veri koruma sorumlusunun ilk sorduğu sorular.
Bu sayfadaki her rakam ve nereden geldiği
Son gözden geçirme: 20 Ekim 2026. Mevzuat atıfları her gözden geçirmede Resmî Gazete'deki güncel metinle kontrol edilir.
- 2026 Data Breach Investigations ReportVerizon Business — sektör bölümü, s. 84, Finans ve Sigorta (NAICS 52). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025 · 2026Bu sayfadaki kullanımı: Sağlık (62): 1.492 olay; %54 insan unsuru; ilk erişimde %14 oltalama, %20 zafiyet istismarı; ihlallerin %81'ini kapsayan üç örüntü arasında Çeşitli Hatalar ve Sosyal Mühendislik.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS), Sivil Haklar Ofisi — s. 8–14 · 2024Bu sayfadaki kullanımı: 663 büyük ihlal, bunların 164'ü e-postada; 534 bilgisayar korsanlığı ya da BT olayı (bildirimlerin %81'i), 241.582.022 kişiyi, yani etkilenenlerin %99'unu etkiledi.
- Health Threat LandscapeENISA — Ocak 2021 – Mart 2023 dönemi · 2023Bu sayfadaki kullanımı: Oltalamanın, NIS kapsamında bildirilen önemli sağlık olayları içindeki payı: 2021'de %8, 2022'de %26. Raporun sosyal mühendislik payı yerine bu kullanıldı, çünkü gözlenen vakaların %95,3'ünde ilk erişim yolu bilinmiyordu.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Uluslararası Standardizasyon Örgütü (ISO) — 3. baskı · 2022Bu sayfadaki kullanımı: Madde 7.2 ve 7.3; Ek A kontrol 6.3'ün başlığı.
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı (İlke Kararı)Kişisel Verileri Koruma Kurumu — Resmî Gazete, 08.10.2026, sayı 33394 · 2026Bu sayfadaki kullanımı: Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesine ilişkin ilke kararı.
- Bilgi Güvenliği Politikaları Kılavuzu, Sürüm 2.1T.C. Sağlık Bakanlığı, Sağlık Bilgi Sistemleri Genel Müdürlüğü — Temmuz 2019 · 2019Bu sayfadaki kullanımı: Sağlık Bakanlığı'nın bilgi güvenliği politikaları kılavuzu; yalnızca adı ve sürümüyle anılmıştır.
- Directive (EU) 2022/2555 (NIS2)Avrupa Birliği Resmî Gazetesi, OJ L 333, 27.12.2022 · 2022Bu sayfadaki kullanımı: AB'de faaliyeti olan gruplar için: madde 21(2)(g) ve Ek I, 5. sektör.