NOUSEC, bir farkındalık programını yalnızca yürütmesi değil, yürüttüğünü kanıtlaması gereken kamu kurumları içindir. Siber Güvenlik Başkanlığı'nın Bilgi ve İletişim Güvenliği Rehberi, eğitim ve farkındalık faaliyetlerine ayrı bir bölüm (3.5.2) ayırır; bir denetimde sorulan da programın var olduğu, insanların onu tamamladığı ve kaydın savunulabilir olduğudur. NOUSEC bu kanıtı üretir: sürüm takipli politika onayı, ham ve denetime göre düzeltilmiş tamamlama oranlarını gösteren uyum karnesi, herkese açık doğrulama sayfası olan sertifikalar, denetim kaydı ve CSV, NDJSON ya da JSON biçiminde SIEM aktarımı. Uç nokta ajanı yoktur, veriler Frankfurt'ta tutulur.
Avrupa'da en çok hedef alınan sektör.
Kamuda ceza belirsiz olabilir. Denetim değil.
Kamu kurumlarına çoğu zaman hiç karşılaşmayacakları bir yaptırım satılır. Oysa güvenlik ekibinin üzerindeki baskı mali değil, kanıta dayalıdır.
Bir kamu kurumunun bilgi güvenliği ekibine sorulan soru, bir program olup olmadığından çok o programın kanıtıdır: kim hangi eğitimi gerçekten tamamladı, hangi politikanın hangi sürümünü kim onayladı ve bu kayıt bir denetçiye tablo uzlaştırmasına girişmeden teslim edilebilir mi? Bilgi ve İletişim Güvenliği Rehberi'nin eğitim ve farkındalık faaliyetlerine ayrı bir bölüm ayırması, bu sorunun denetimde gündeme geleceğini gösterir.[18]
Tarayıcının “tamamlandı” dediği bir video ya da yalnızca atanmış bir eğitim bu soruyu cevaplamaz. Cevaplayan, kişi bazında, üçüncü bir tarafın kontrol edebileceği ve platformun dışına çıkarılabilen bir kayıttır.
Bu bir ürün sorunu ve bizim çözmek için kurduğumuz sorun tam olarak bu.
| Kanıt | Neyi kanıtlar | Nasıl doğrulanır | Paket |
|---|---|---|---|
| Sürüm takipli politika onayı | Kim hangi sürümü ne zaman kabul etti | Kişi bazında kayıt, dışa aktarılabilir | Professional |
| Uyum karnesi: ham ve denetime göre düzeltilmiş | Tamamlama ve bir kalite eşiğinden geçen tamamlama | İki oran birlikte gösterilir; test puanı %40'ın altındaysa tamamlama düzeltilmiş orana sayılmaz | Essentials |
| Tamamlama kanıtı | Eğitimin atanmadığı, alındığı | Tekil saniye bazında ≥ %90 izlenme, sunucuda hesaplanır; sahte tamamlama isteği 403 alır | Essentials |
| Herkese açık doğrulama sayfası olan sertifika | Sertifikanın gerçek olduğu | Üçüncü bir taraf, ortamınıza erişmeden doğrulayabilir | Professional |
| Denetim kaydı | Programda kimin neyi değiştirdiği | Değiştirilemez kayıt | Enterprise |
| SIEM aktarımı | Kaydın platformun dışına çıkabildiği | CSV, NDJSON ya da JSON | Enterprise |
Aktörlerin neredeyse yarısı zaten içeride.
Kamu sayfasını diğerlerinden ayıran bulgu bu; ne sattığımız konusunda en dikkatli olmamız gereken yer de burası.
DBIR, Kamu Yönetimi'nde ihlallerin %44'ünde iç aktör kaydediyor ve yetki kötüye kullanımını en sık üç örüntüden biri olarak sayıyor; dört sektör içinde bunun geçerli olduğu tek sektör bu. Vakaların üçte birinde motivasyon casusluk.[1]
Bunun bir kısmı kötü niyet, bir kısmı hatadır. NOUSEC kullanıcı davranış analitiği, veri sızıntısı önleme ya da içeriden tehdit tespiti ürünü değildir; yaptığı şey, her ikisinin de öncesinde duran davranışları eğitmek ve ölçmektir: hassas kayıtların ele alınışı, politika onayı, kimlik bilgisi hijyeni ve bir şeyi bildirmenin kişiyi teşhir etmek yerine Human Risk Score değerini iyileştirdiği bir bildirim kültürü.
Bildirim tasarım gereği skoru düşürür: şüpheli bir mesajı bildiren çalışan kendi skorunu iyileştirir. Üçüncü taraf bir sızıntıdan gelen maruziyet kusur değil, maruziyet olarak sayılır; e-posta adresi 2017'deki bir sızıntıda yer alan kullanıcı bunu kendisi seçmedi.
Çerçeve ve onu karşılayan kanıt.
Rehber'in tedbirlerini burada yorumlamıyoruz; kurumunuz için hangisinin hangi seviyede geçerli olduğunu Rehber'in kendisi belirler. Bu tablo, hangi belgenin hangi konuyu ele aldığını ve bizim hangi kanıtı ürettiğimizi gösterir.
| Mevzuat | Madde | Ne istiyor | NOUSEC nasıl kanıtlıyor |
|---|---|---|---|
| Bilgi ve İletişim Güvenliği Rehberi Sürüm 1.1[18] | 3.5.2 | Eğitim ve farkındalık faaliyetlerine ayrılmış bölüm. Tedbirlerin metni ve seviyeleri için Rehber'in kendisine bakın. | Sunucu tarafı tamamlama kapısı; denetime göre düzeltilmiş uyum karnesi; sürümlü politika onayı. |
| ISO/IEC 27001:2022[5] | md. 7.2 / 7.3, Ek A 6.3 | Yetkinlik, farkındalık ve bilgi güvenliği farkındalığı, eğitim ve öğretim. | Herkese açık sertifika doğrulama sayfası; denetim kaydı. |
| KVKK Kurul ilke kararı[16] | 2026/2035 | Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesinde çalışanın önceden bilgilendirilmesi, ölçülülük ve verilere sınırlı erişim. | Veriler AB'de (Frankfurt); KVKK/GDPR veri dışa aktarma ve silme. Simülasyon sonuçlarının çalışan verisi olarak işlenmesini bu kararla birlikte hukukçunuzla değerlendirin. |
Mevzuat özetleri yönlendirme amaçlıdır, hukuki görüş değildir. Tamamlama kapısı ve uyum karnesi Essentials'tan; politika onayı, sertifika doğrulama ve Human Risk Score Professional'dan; denetim kaydı ve SIEM aktarımı Enterprise'dan itibaren.
Bir ihalede her zaman sorulan dört soru.
Uç nokta ajanı yok
Hiçbir cihaza bir şey kurulmaz. Bildirim düğmesi isteğe bağlı bir e-posta istemcisi eklentisidir.
Veriler AB'de
Frankfurt'ta; kurum düzeyinde dışa aktarma ve silme ile.
Kendi kurum kimliğiniz
Kurumunuzun kimliğiyle, 30 dilde: dokuzu bugün tam yerelleştirilmiş, yirmi biri talep üzerine.
Yayımlanmış yöntem
0–100 arası skor, bileşen dökümüyle gösterilir. Kapalı kutu yok.
Beyana dayanmayan kanıt
Hesabını gösteren bir skor
İlgili sayfalar: Human Risk Score yöntemi, neden NOUSEC ve sözlükte içeriden tehdit ile bahane senaryosu (pretexting). Kurumunuz enerji ya da üretim altyapısı da işletiyorsa aynı kanıt zincirinin üretim ve enerji tarafını da karşılaması gerekir. Kendi güvenlik duruşumuz Güvenlik sayfasında.
Sorular
Bir kamu kurumunun bilgi güvenliği ekibinin ve satın alma biriminin ilk sorduğu sorular.
Bu sayfadaki her rakam ve nereden geldiği
Son gözden geçirme: 20 Ekim 2026. Mevzuat atıfları her gözden geçirmede Resmî Gazete'deki güncel metinle kontrol edilir.
- 2026 Data Breach Investigations ReportVerizon Business — sektör bölümü, s. 84, Finans ve Sigorta (NAICS 52). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025 · 2026Bu sayfadaki kullanımı: Kamu Yönetimi (92): 3.634 olay; %69 insan unsuru; %44 iç aktör; ihlallerin %33'ünde casusluk motivasyonu; ilk erişimde %20 oltalama, %40 zafiyet istismarı; yetki kötüye kullanımı en sık üç örüntü arasında.
- Threat Landscape 2025ENISA — 13. baskı, v1.2, 4.875 olay, 1 Temmuz 2024 – 30 Haziran 2025 · 2025Bu sayfadaki kullanımı: AB'de tespit edilen olayların %38,2'si kamu yönetimini hedef aldı. 4.875 olay, 1 Temmuz 2024 – 30 Haziran 2025.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Uluslararası Standardizasyon Örgütü (ISO) — 3. baskı · 2022Bu sayfadaki kullanımı: Madde 7.2 ve 7.3; Ek A kontrol 6.3'ün başlığı.
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı (İlke Kararı)Kişisel Verileri Koruma Kurumu — Resmî Gazete, 08.10.2026, sayı 33394 · 2026Bu sayfadaki kullanımı: Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesine ilişkin ilke kararı.
- Bilgi ve İletişim Güvenliği Rehberi, Sürüm 1.1Siber Güvenlik Başkanlığı — 01.03.2026 · 2026Bu sayfadaki kullanımı: Belgenin adı, sürümü, tarihi ve içindekiler tablosundaki 3.5.2 "Eğitim ve Farkındalık Faaliyetleri" başlığı. Bölümün içeriği bu sayfada aktarılmamıştır.