NOUSEC, imalat ve enerjide insan riskini farklı kılan iki şeyi ele alır: tedarik zinciri ve üretim sahası. Verizon DBIR'a göre imalattaki ihlallerin %61'inde üçüncü bir taraf yer alıyor; bu, rapordaki en yüksek oran. Bu yüzden önemli olan senaryolar tedarikçi banka bilgisi değişikliği, yeni tedarikçi kaydı ve operasyon personeline gelen sahte işe alım teklifleridir. Çalışanların büyük kısmının kendine ait bir bilgisayarı olmadığı için NOUSEC e-postanın yanında QR kod, USB bırakma, SMS ve WhatsApp üzerinden de simülasyon yapar; eğitimi kısa formatlarda, ekranın olmadığı alanlar için afiş ve infografik olarak da sunar.
Beş yıldır en çok saldırıya uğrayan sektör.
Tedarik zinciriniz bir sosyal saldırı yüzeyi.
%61'lik üçüncü taraf payı, tedarikçi risk anketiyle çözülecek bir sorun değil. Ucunda satın alma siparişi olan bir insan sorunu.
| Senaryo | Neden işe yarıyor | Dayanan kontrol |
|---|---|---|
| Tedarikçi banka bilgisi değişikliği | Gerçek bir ticari ilişkinin içinden, doğru üslupla ve fatura döngüsünün tam akla yatkın bir anında gelir. | Talepteki iletişim bilgisiyle değil, kayıtta zaten bulunan irtibat kişisiyle doğrulama. |
| Yeni tedarikçi kaydı ya da sahte teklif | Satın almanın işi zaten yeni tedarikçilere hızlı yanıt vermektir. | Belgeleri olağan kanal dışından kabul etmeyen, tanımlı bir tedarikçi kayıt süreci. |
| Operasyon personeline sahte işe alım teklifi | Kişiyi pohpohlar, kişiseldir ve kurumsal kanalların tamamen dışında ilerler. | Örüntüyü adıyla anlatan eğitim ve çalışana hiçbir bedeli olmayan bir bildirim yolu. |
Bu bir varsayım değil. Dragos, 2026 OT yıllık değerlendirmesinde PYROXENE adıyla izlediği tehdit grubunun operasyon personelini sosyal mühendislikle hedef alan çok yıllı tedarik zinciri kampanyaları yürüttüğünü anlatıyor; bunlar arasında işe alım uzmanı kılığına girmiş sahte LinkedIn profilleri de var.[13]
Ulaşmanız gereken insanların çoğu e-posta okumuyor.
Vardiyalı çalışma, ortak terminaller ve birçok görevde kişiye ait bir e-posta kutusunun hiç olmaması. Üç ayrı kitle, üç ayrı cevap.
Üretim sahası ve saha ekipleri
Vardiyalı çalışma, ortak kullanılan terminaller ve birçok görevde kişiye ait bir e-posta kutusu hiç yok. QR kod ve USB bırakma simülasyonu, e-postanın ulaşamadığı yere ulaşır; eğitim 20 dakikalık bir kurs yerine afiş, infografik ve kısa modüller olarak gelir.
Satın alma, muhasebe ve mühendislik
Tedarik zinciri senaryolarının gerçekte hedef aldığı kitle. E-posta, SMS, WhatsApp ve geri arama simülasyonu, hazır iş e-postası dolandırıcılığı (BEC) ve kimlik bilgisi toplama modülleri ve ölçülen hataya göre uyarlanan atama.
OT ve kontrol odası personeli
Sentetik medyayı ayırt etmeye değil, süreç kontrollerine göre eğitilir: eskalasyon yolları, olağan kanal dışından doğrulama ve insanların neyi ayırt edip neyi edemeyeceğine dair dürüst tutum.
14 format, 30 dil (bugün 9'u tamamen yerelleştirilmiş, 21'i talep üzerine) ve tedarikçi dolandırıcılığı, iş e-postası dolandırıcılığı, kimlik bilgisi toplama ve zararlı ekleri kapsayan bir müfredat. Birden fazla ülkede faaliyet gösteren gruplar için tam beyaz etiket ve otomatik para birimi yönetimi.
Denetçinin sorduğu soru ve ona cevap veren kayıt.
Türkiye'deki bir fabrika için ortak payda ISO/IEC 27001 ve KVKK'dır; enerji şirketleri için ayrıca EPDK'nın kendi çerçevesi, AB'de faaliyeti olan gruplar için NIS2 vardır.
| Mevzuat | Madde | Ne istiyor | NOUSEC nasıl kanıtlıyor |
|---|---|---|---|
| ISO/IEC 27001:2022[5] | md. 7.2 / 7.3, Ek A 6.3 | Yetkinlik, farkındalık ve bilgi güvenliği farkındalığı, eğitim ve öğretim. | Herkese açık sertifika doğrulama sayfası; sunucu tarafı tamamlama kaydı. |
| KVKK Kurul ilke kararı[16] | 2026/2035 | Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesinde çalışanın önceden bilgilendirilmesi, ölçülülük ve verilere sınırlı erişim. | Veriler AB'de (Frankfurt); KVKK/GDPR veri dışa aktarma ve silme. Simülasyon sonuçlarının çalışan verisi olarak işlenmesini bu kararla birlikte hukukçunuzla değerlendirin. |
| NIS2 (AB'de faaliyeti olan gruplar)[3] | md. 21(2)(g) | Asgari zorunlu tedbir olarak siber hijyen ve siber güvenlik eğitimi. | Atama kaydı değil, tamamlama kanıtı. |
| NIS2 | Ek I.1 / Ek II.5 | Enerji Ek I'de (yüksek kritiklikteki sektörler), imalatın belirli alt sektörleri Ek II'de yer alır; sınıflandırmayı ek değil, madde 3'e göre büyüklük belirler. | Aynı kanıt zinciri, iki ayrı sınıflandırma için. |
Mevzuat özetleri yönlendirme amaçlıdır, hukuki görüş değildir. Tamamlama kapısı ve uyum kartı Essentials'tan; politika onayı ve sertifika doğrulama Professional'dan; denetim kaydı ve SIEM aktarımı Enterprise'dan itibaren.
Bu sayfanın dayandığı dört mekanizma.
QR kod ve USB bırakma
Ekran gerektirmeyen formatlar
Ölçülen hataya göre uyarlanan atama
Ülkeler arasında beyaz etiket
İlgili okumalar: QR kod oltalama saldırıları; sözlükte fatura dolandırıcılığı, OSINT ve bahane senaryosu (pretexting) maddeleri. Kendi güvenlik duruşumuz Trust ve Güvenlik sayfalarında.
Sorular
Birden fazla tesisi ve ülkesi olan bir grubun CISO'sunun ilk sorduğu sorular.
Bu sayfadaki her rakam ve nereden geldiği
Son gözden geçirme: 20 Ekim 2026. Mevzuat atıfları her gözden geçirmede Resmî Gazete'deki güncel metinle kontrol edilir.
- 2026 Data Breach Investigations ReportVerizon Business — sektör bölümü, s. 84, Finans ve Sigorta (NAICS 52). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025 · 2026Bu sayfadaki kullanımı: İmalat (31–33): 3.627 olay; %61 üçüncü taraf katılımı; sosyal saldırıların %77'si oltalama; sosyal mühendislik sektörün en sık ikinci ihlal örüntüsü (raporun sözle belirttiği tek sıralama).
- X-Force Threat Intelligence Index 2026IBM — 25 Şubat 2026'da yayımlandı, 2025 verileri · 2026Bu sayfadaki kullanımı: İmalatın üst üste beşinci yıl en çok saldırıya uğrayan sektör olması; gözlenen olayların %27,7'si.
- OT Cybersecurity Year in ReviewDragos — 9. yıllık baskı, 17 Şubat 2026 · 2026Bu sayfadaki kullanımı: 2024'teki 80'den %49 artışla 119 fidye yazılımı grubu, 3.300 endüstriyel kuruluş, mağdurların üçte ikisinden fazlası imalat; PYROXENE'in operasyon personeline yönelik çok yıllı tedarik zinciri sosyal mühendisliği. %49, izlenen grup sayısındaki artıştır; mağdur ya da saldırı sayısındaki artış değildir.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Uluslararası Standardizasyon Örgütü (ISO) — 3. baskı · 2022Bu sayfadaki kullanımı: Madde 7.2 ve 7.3; Ek A kontrol 6.3'ün başlığı.
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı (İlke Kararı)Kişisel Verileri Koruma Kurumu — Resmî Gazete, 08.10.2026, sayı 33394 · 2026Bu sayfadaki kullanımı: Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesine ilişkin ilke kararı.
- Directive (EU) 2022/2555 (NIS2)Avrupa Birliği Resmî Gazetesi, OJ L 333, 27.12.2022 · 2022Bu sayfadaki kullanımı: AB'de faaliyeti olan gruplar için: madde 21(2)(g); Ek I.1 ve Ek II.5 üyeliği; madde 3'e göre büyüklük temelli sınıflandırma.
- Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli YönetmeliğiEnerji Piyasası Düzenleme Kurumu (EPDK) — Resmî Gazete, 06.06.2023, sayı 32213 (son değişiklik 25.11.2025) · 2023Bu sayfadaki kullanımı: Yalnızca adı, Resmî Gazete tarihi ve sayısı. Bu sayfa yönetmelikten madde aktarmıyor.