Oltalama Farkındalık Eğitimi: Ölçülebilir Program, Test ve KVKK Sınırları

Oltalama farkındalık eğitimi satın alan kurumların çoğu aynı hatayı yapıyor: programı bir eğitim videosu ve yılda bir gönderilen test e-postasıyla eşitliyor. Sonra ilk gerçek saldırıda, çalışanın tıkladığı mesajın eğitim kutusunda hiç görünmeyen bir özelliği olduğu ortaya çıkıyor ve kurum eğitimi artırmaya karar veriyor. Oysa ölçülmeyen bir programı büyütmek, yalnızca aynı hatayı daha çok kişiye yaymak oluyor.

Bu rehber üç iş yapıyor. Birincisi, Türkiye'de 2026'da oltalamanın gerçekte nasıl göründüğünü ve "göndereni kontrol et, bağlantının üzerine gel" tavsiyesinin neden çöktüğünü anlatıyor. İkincisi, programı yöneten üç sayıyı ve bu sayıların hangi örneklemde anlam kazandığını aritmetikle gösteriyor. Üçüncüsü, simülasyonun KVKK, 7545 sayılı Kanun ve Bilgi ve İletişim Güvenliği Rehberi karşısında nerede durduğunu, hangi kaydın hukuka uygun olduğunu ve bir çalışanın tıklamasının hangi noktada bildirim yükümlülüğü doğuran bir veri ihlaline dönüştüğünü adım adım yazıyor.

Görsel denetim neden artık işe yaramıyor

"Gönderen adresini kontrol et, bağlantının üzerine gel, aciliyet varsa şüphelen" tavsiyesi 2016 oltalamasına karşı iyi bir tavsiyeydi. O dönemin saldırısı dilbilgisi bozuk, logosu bulanık ve alan adı bariz yanlış bir e-postaydı; yani çalışanın gözü gerçekten bir filtreydi. Bugün bu üç işaretin hiçbiri zorunlu değil.

Aldatıcı alt alan adı, gerçek markanın adını üçüncü seviyede taşıyabilir; bağlantı kullanıcıya marka adını gösterirken kayıtlı alan adı başka birine ait olabilir. Saldırı sayfası artık kendi sunucusunda değil, itibarı yüksek bir bulut sağlayıcısında barınıyor; yani alan adı yaşı, sertifika ve barındırma itibarı temiz görünüyor. En önemlisi, kimlik avı vekil sunucusu tek kullanımlık kodu da çalıyor: çalışan gerçek siteye benzeyen sayfaya kodu yazıyor, vekil sunucu kodu gerçek siteye iletiyor, oturum çerezi saldırgana geçiyor ve cihazda hiçbir uyarı çıkmıyor. Bu senaryoda "kodu asla paylaşma" kuralı doğru uygulanmış olmasına rağmen hesap ele geçiyor.

Aynı listenin az konuşulan üyeleri: takvim daveti üzerinden gelen ve bağlantı içermeyen toplantı tuzağı, QR kod ile telefona yönlendirme, meşru bir SaaS uygulamasına verilen izin üzerinden posta kutusu okuma yetkisi ve ele geçirilmiş bir iş ortağı hesabından gelen, gerçek bir yazışma zincirinin içine yerleşmiş mesaj. Sonuncusu özellikle zor, çünkü mesajın teknik hiçbir işareti yanlış değil; yanlış olan tek şey, gönderenin o anda hesabının başkasının elinde olması.

Türkiye'de sık görülen aile	Nasıl görünür	Görsel denetimi neden geçer	Asıl kontrol
Kimlik doğrulama yenileme	e-Devlet veya kurumsal SSO ekranının kopyası, "oturumunuz sona erdi"	Sayfa gerçek sağlayıcıda değil saldırganın vekil sunucusunda	Oltalamaya dirençli MFA (FIDO2/passkey), oturum belirteci iptali
Kargo ve teslimat	PTT, Aras, Yurtiçi adına "adres eksik, 4,90 TL ödeyin"	Tutar düşük, görseller birebir, ödeme sayfası gerçek bir ödeme kuruluşunda	Alan adı izleme, ödeme sayfasında alan adı kontrolü
e-Fatura ve mali mühür	GİB veya entegratör adına fatura bildirimi, eki HTML	Ek, uzantısı gizlenmiş bir dosya; gövde kurumsal şablondan kopyalanmış	Ek türü politikası, makro ve HTML eki engeli, imza doğrulama
Banka ve ödeme	FAST/EFT limit artırımı, "işlem onayı" ekranı	Kullanıcı tarayıcıda işlem yaptığını fark etmiyor	Mobil uygulama dışı kanaldan işlem yasağı, vekil sunucu tespiti
Tebligat ve icra	Trafik cezası, icra dosyası, vergi borcu bildirimi	Aciliyet ve ceza korkusu mesajın dilini kusursuz yapar	Resmî kanal doğrulaması, ikinci kanal kuralı
Tedarik zinciri	Tedarikçinin gerçek adresinden gelen IBAN değişikliği	Başlık, imza ve geçmiş doğru; hesap ele geçirilmiş	IBAN değişikliğinde sözleşmedeki numaradan geri arama

Tablodan çıkan ders şu: eğitimin işi artık "sahteyi tanımak" değil, dört soruyu sormak ve dört isteği ikinci kanala taşımak. Dört soru: bu mesaj beni ne yapmaya çağırıyor; çağrı para, kimlik bilgisi veya oturum mu istiyor; gönderenin bu isteği yapmaya yetkisi var mı; bu istek normalde hangi kanaldan gelir. Dört istek ise her zaman ikinci kanaldan doğrulanır: ödeme yönlendirmesi, kimlik bilgisi veya tek kullanımlık kod girişi, uzaktan erişim izni ve yeni bir uygulamaya yetki. Bu dörtlü, çalışanın teknik bilgisinden bağımsız olarak çalışır; çünkü saldırı ne kadar iyi taklit edilirse edilsin, talebin kendisi değişmez.

Sizi bağlayan metinler: dört katman

Türkiye'de farkındalık programı, "iyi uygulama" olduğu için değil dört ayrı belge onu istediği için kurulur. Bu katmanları ayırmak, denetimde hangi kanıtın istendiğini de belirler.

Birinci katman, 6698 sayılı Kanun. Madde 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri alma yükümlülüğü verir. Kurul kararlarında bu tedbirin somut karşılığı aranıyor: ihlali önleyen teknik tedbirler, olay müdahale planı ve çalışan farkındalığı. Yayımlanan kararlarda bildirimde bulunmayan veya geç bildiren veri sorumlularına madde 12 ve 18 kapsamında idari para cezası uygulandığı görülüyor: 26.11.2019 tarihli 2019/352 sayılı kararda yalnızca bildirim gecikmesi kalemi 30.000 TL, 2021/407 sayılı kararda ise 25 gün gecikmeli bildirim ile veri güvenliği tedbirlerinin alınmaması birlikte 600.000 TL olarak hesaplanmış.

İkinci katman, 7545 sayılı Siber Güvenlik Kanunu. 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Kanun, kapsamını yalnızca kritik altyapıyla sınırlamıyor; siber ortamda faaliyet gösteren gerçek ve tüzel kişileri kapsıyor. Madde 7'deki yükümlülükler arasında mevzuatın öngördüğü siber güvenlik tedbirlerini almak ve tespit edilen zafiyet veya siber olayları Siber Güvenlik Başkanlığına gecikmeksizin bildirmek var. Kanun sayısal bir süre vermiyor, süreyi ikincil mevzuata bırakıyor; bu da olay prosedürünü "72 saate uyarız" diye değil, kendi iç saatinizi kurarak yazmayı gerektiriyor.

Üçüncü katman, Bilgi ve İletişim Güvenliği Rehberi. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi koordinasyonunda hazırlanan Rehber, kamu kurumları ve kritik altyapı işletmeleri için bağlayıcı. 3.5.2.1 numaralı tedbir tüm personele düzenli aralıklarla farkındalık eğitimi verilmesini istiyor; içerik listesinde parola güvenliği, e-posta kullanımı, sosyal ağlar ve kişisel verilerin güvenliği var. Asıl kritik cümle şu: eğitimin etkinliğine yönelik ölçüm yapılması ve ölçüm sonucuna göre aksiyon planlanması isteniyor; ölçüm yöntemi olarak eğitim öncesi ve sonrası yazılı sınav ile sosyal mühendislik saldırıları sayılıyor. Yani simülasyon, kamu tarafında isteğe bağlı bir tercih değil, adı konmuş bir ölçüm yöntemi.

Dördüncü katman, standartlar ve sözleşmeler. ISO/IEC 27001:2022 Ek A 7.2.2, tüm çalışanların ve gerektiğinde yüklenicilerin uygun farkındalık, eğitim ve düzenli güncelleme almasını ister; 2013 sürümündeki A.6.3'ün yeni numarasıdır ve denetimde "eğitim verildi" değil, "eğitim tekrarlandı ve kaydı tutuldu" aranır. PCI DSS v4.0'ın 12.6 maddesi farkındalık programının sürekli bir faaliyet olmasını ve oltalama ile ilgili saldırıları kapsamasını ister; 4.0 ile simülasyon beklenen bir uygulama hâline geldi.

Talep	Kaynak	Ne istiyor	Denetimde istenen kanıt
Teknik ve idari tedbir	KVKK md.12	Uygun güvenlik düzeyi, ihlali önleyen tedbirler	Eğitim kaydı, simülasyon sonuçları, olay müdahale planı
İhlal bildirimi	KVKK md.12(5), 2019/10 sayılı karar	Öğrenildiği andan itibaren en kısa sürede, 72 saat içinde Kurula bildirim	Bildirim formu, saat kaydı, karar gerekçesi
Siber olay bildirimi	7545 md.7	Zafiyet ve olayları gecikmeksizin Başkanlığa bildirme	Olay kaydı, bildirim yazışması, süre ölçümü
Etkinlik ölçümü	BİGR 3.5.2.1	Eğitim etkinliğinin ölçülmesi, sosyal mühendislik testi	Ön test ve son test skorları, simülasyon raporu, aksiyon planı
Sürekli eğitim	ISO 27001 A.7.2.2, PCI DSS 12.6	Düzenli tekrar, rol bazlı içerik, kayıt	Takvim, katılım kaydı, içerik sürümü

Bu dört katmanın ortak noktası, hiçbirinin "kaç saat eğitim verildi" diye sormaması. Hepsi etkinin ölçülmesini istiyor. Dolayısıyla programın tasarımı eğitim saatinden değil, hangi davranışın değiştiğinden başlamak zorunda.

Programı yöneten üç sayı

Farkındalık programlarında tutulan onlarca metrik var, ama bir yönetim kuruluna götürülecek üç tanesi şunlar: tıklama oranı, bildirim oranı ve tıklamadan bildirime geçen süre. Üçü birlikte okunduğunda programın gerçek durumunu gösteriyor; tek başına hiçbiri göstermiyor.

Tıklama oranı kaç kişinin tuzağa düştüğünü söyler ve gecikmeli bir göstergedir: eğitim etkisini aylar sonra yansıtır, kampanya tasarımına aşırı duyarlıdır ve tek bir zor senaryo bütün eğilimi bozar. Yine de bir taban çizgisi olmadan program başlatılamaz, çünkü ilk ölçüm olmadan iyileşme iddia edilemez.

Bildirim oranı kaç kişinin şüpheli mesajı bildirdiğini söyler ve öncü bir göstergedir: yükselmesi, savunmanın haberdar olma hızını doğrudan artırır. Bir kurumda tıklama oranı yüksek ama bildirim oranı da yüksekse durum, tıklama oranı düşük ve bildirim oranı sıfıra yakın bir kurumdan iyidir; çünkü ilk kurumda saldırı dakikalar içinde görünür hâle gelir, ikincisinde ise haftalar sonra faturalardan öğrenilir.

Tıklamadan bildirime geçen süre ise üçüncü ve en çok ihmal edilen sayı. Çalışan tıkladıktan sonra mesajı bildirmek için iki saat beklediyse, kimlik avı vekil sunucusu o iki saat içinde oturumu çoktan kullanmış olabilir. Bu yüzden programın hedefi "tıklama oranını düşürmek" değil, "tıklama olduğunda bunu on dakika içinde bilmek" olarak yazılmalı. İkinci hedef teknik olarak da daha ulaşılabilir, çünkü tıklamayı sıfırlamak mümkün değil ama bildirim süresini kısaltmak mümkün.

Ölçüm tabanı: üç kaynak neden birbirini tutmuyor

Rakam karşılaştırırken en sık yapılan hata, farklı popülasyonlardaki oranları aynı tabloya koymak. 2026'da en çok atıf alan üç kaynak ve ölçtükleri şey:

• KnowBe4'ün 2025 oltalama kıyaslama raporu, 67,7 milyon simülasyon, 14,5 milyon kullanıcı ve 62.460 kurum üzerinden, eğitim öncesi taban oltalama eğilimini yüzde 33,1 olarak veriyor; on iki ay sürekli eğitim ve simülasyondan sonra bu oran yüzde 4,1'e iniyor. Bu, eğitim almamış bir popülasyonun ilk testi ile aynı popülasyonun bir yıl sonraki hâlinin karşılaştırması.
• Verizon'un 2025 Veri İhlali Araştırmaları Raporu, 100.000'i aşkın kampanya üzerinden kampanya başına medyan tıklama oranını yüzde 1,5 olarak veriyor; daha önemli sayı ise şu: yakın zamanda eğitim almış popülasyonlarda simüle edilmiş oltalamayı bildirenlerin oranı yüzde 21 civarında, taban oran ise yüzde 5 dolayında. Yani asıl fark tıklamada değil, bildirimde açılıyor.
• Fortra'nın 2025 kıyaslaması, 14 milyon alıcı üzerinden yüzde 5,42 tıklama, yüzde 1,99 kimlik bilgisi girme ve yalnızca yüzde 10,5 bildirim oranı buluyor. Üçüncü sayı, çoğu programın neden yanlış metrikle yönetildiğini tek başına açıklıyor.

Bu üç kaynağı birleştirmenin doğru yolu, kendi kurumunuz için tek bir çıpa seçmek ve onu sabit tutmak. Örneğin ilk yıl hedefi "bildirim oranını yüzde 10'dan yüzde 25'e çıkarmak" gibi yazılabilir; ama bu hedefin ölçülebilmesi için iki şey gerekir: aynı tanım ve yeterli örneklem. Tanım tarafında en sık karışan şey, bildirimin ne sayıldığı: yalnızca e-posta bildirme düğmesine basmak mı, yardım masasına telefon etmek mi, yoksa mesajı silip hiçbir şey yapmamak mı. Program belgesinde bu tanım tek cümleyle yazılmadığı sürece, iki dönemin oranı karşılaştırılamaz.

Örneklem aritmetiği: hangi fark gerçek, hangisi gürültü

Bir kurumun aylık simülasyon sonuçlarını sunum hâline getirdiğinde en sık yaptığı hata, iki ay arasındaki birkaç puanlık farkı eğilim sanmak. Oysa tıklama oranı bir orandır ve her oranın bir belirsizlik bandı vardır. Yüzde 10 civarında bir taban oran için standart hata, kişi sayısının kareköküyle küçülür:

Test edilen kişi sayısı	Standart hata	Yüzde 95 güven aralığı	Bu örneklemde görülebilecek gerçek fark
250	1,90 puan	±3,72 puan	5 puandan küçük farklar gürültüdür
500	1,34 puan	±2,63 puan	4 puandan büyük fark anlamlı olabilir
2.000	0,67 puan	±1,31 puan	3 puanlık fark okunabilir
5.000	0,42 puan	±0,83 puan	2 puanlık fark bile görünür

Bir örnek yeterince açık: 250 kişilik bir kurumda bir ay 20, sonraki ay 15 kişi tıklarsa oranlar yüzde 8 ve yüzde 6 olur ve fark istatistiksel olarak anlamsızdır; iki oran testinde z değeri 0,88 çıkar, yani bu farkın şansa bağlı olma olasılığı kabaca üçte birin üzerindedir. Aynı iki puanlık farkı 2.000 kişilik bir kurumda 160'a karşı 130 kişiyle görürseniz z değeri 1,83 olur; bu da yüzde 5 anlamlılık eşiğinin altında kalır. Yani iki bin kişide bile 8 ile 6,5 puan arasındaki fark tek başına kanıt değil.

Bundan çıkan tasarım kuralı şu. Yüzde 10 taban oranında, yüzde 80 güç ve yüzde 5 anlamlılıkla:

• 5 puanlık bir düşüşü kanıtlamak için grup başına yaklaşık 283 kişi yeterli.
• 3 puanlık bir düşüş için grup başına yaklaşık 785 kişi gerekiyor.
• 2 puanlık bir düşüş için grup başına yaklaşık 1.767 kişi gerekiyor.

250 kişilik bir kurumda aylık test yapılıyorsa, tek bir ayın sonucu yönetim raporuna "iyileşme" veya "bozulma" olarak girmemeli. Doğru yaklaşım, aylık veriyi kümülatif okumak: yılda 12 test çarpı 250 kişi, 3.000 gözlem demek ve bu hacim 2-3 puanlık hareketleri görünür kılıyor. Yani küçük kurumda doğru metrik "bu ayın oranı" değil, "son üç ayın hareketli ortalaması" ve "bildirim süresi medyanı". Bu iki sayı, örneklem sorunundan etkilenmez: medyan süre bir oran değil, bir süre; 20 kişinin tıkladığı bir ayda bile okunabilir.

Test kayıt defteri: on iki alan

Programın denetimde işe yarayan tek çıktısı, simülasyon kayıt defteri. Bu defter tutulmadığında, yıllar sonra "eğitim verildi" iddiası bir sunum slaytından ibaret kalır. Aşağıdaki on iki alan, hem BİGR 3.5.2.1'in etkinlik ölçümü talebini hem ISO 27001 denetiminde istenen kanıt zincirini karşılıyor. Bu, Türkiye'deki bir kurum için asgari alan kümesi.

Alan	Neden gerekli
Kampanya kimliği ve sürümü	İçeriğin hangi hâlinin gönderildiğini kanıtlar; aynı senaryonun tekrarı ile yeni senaryoyu ayırır
Gönderim zamanı ve süresi	Ölçüm penceresini sabitler; yıl sonu kampanyası ile normal hafta karşılaştırmasını mümkün kılar
Hedef kitle tanımı ve sayısı	Paydadır; oran bu sayı olmadan hesaplanamaz
Senaryo ailesi	Kimlik doğrulama, tedarikçi, İK, kargo gibi aileleri ayrı izlemeyi sağlar
Zorluk seviyesi	Zor senaryoda yükselen tıklama oranı programın bozulduğunu göstermez
Tıklayan kişi sayısı	Oranın payı; kişi bazlı liste ayrı ve erişimi kısıtlı tutulur
Kimlik bilgisi giren kişi sayısı	Tıklamadan daha ağır sonuç; ayrı sayılmalı ve ayrı müdahale gerektirir
Bildiren kişi sayısı	Programın asıl öncü göstergesi
Tıklamadan bildirime geçen süre	Medyan ve en yavaş yüzde 10; oturum iptalinin yetişip yetişmediğini gösterir
Olay müdahalesi tetiklendi mi	Tıklamanın gerçek bir ihlal incelemesine dönüşüp dönüşmediğini kaydeder
Alınan aksiyon	BİGR'in istediği "ölçüm sonucuna göre aksiyon" maddesi; eğitim, kontrol veya süreç değişikliği
Saklama ve erişim notu	Kişisel veri niteliğindeki kaydın saklama süresi ve kimlerin eriştiği

Defterin kişi bazlı bölümü, yani kimin tıkladığı listesi, programın en hassas verisi. Bu liste performans değerlendirmesine girdiği anda hem KVKK açısından ölçülülük tartışması başlar hem de çalışanların bildirim davranışı bozulur: cezalandırılacağını düşünen çalışan tıklamayı saklar, saklanan tıklama ise müdahale edilemeyen bir olay hâline gelir.

Simülasyonu hukuka uygun kurmak

Bir oltalama simülasyonu, hukuken iki şeyi aynı anda yapar: çalışanın davranışını gözler ve o davranışı kişiyle eşleştirerek kaydeder. İkinci kısım, yani kayıt, programı bir KVKK konusu hâline getirir. "Saldırıyı biz yaptık, dolayısıyla veri işleme yok" savunması geçersiz; çünkü işlenen veri saldırganın değil, çalışanın verisidir ve veri sorumlusu işverendir.

Hukuki dayanak. Uygulamada en savunulabilir dayanak, 6698 sayılı Kanun md.5(2)(f) kapsamındaki meşru menfaat: ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için işlemenin zorunlu olması. Bu dayanağı kullanmak, bir denge testi yazmayı gerektirir: kurumun menfaati (veri ihlali riskini azaltmak, md.12 tedbirini yerine getirmek), çalışanın etkilenen hakkı (özel hayatın gizliliği, kişilik hakkı) ve bu ikisini dengeleyen ek güvenceler. Çalışanın açık rızasına dayanmak iş ilişkisinde zayıf bir tercih, çünkü bağımlılık nedeniyle rızanın özgür iradeye dayandığını savunmak zor; ayrıca rıza geri alınabilir ve program o zaman yarısı boş kalır.

Aydınlatma. md.10 kapsamında çalışana, simülasyonun ne olduğu, hangi verilerin kaydedildiği (tıklama, kimlik bilgisi girişi, bildirim, süre), amacı, saklama süresi ve kimlerle paylaşıldığı önceden yazılı olarak bildirilmelidir. Bu bildirimi kampanyadan sonra yapmak, aydınlatmayı cezaya dönüştürür. Pratik bir çözüm, bildirimi işe alım paketinin ve yıllık gizlilik bildiriminin parçası yapmak; böylece her yeni kampanyada tekrar edilmez.

Ölçülülük ve veri minimizasyonu. md.4'ün ölçülü olma ilkesi burada somut: amaç davranışı ölçmekse, kaydedilmesi gereken alan tıklama, kimlik bilgisi girme, bildirim ve süre. Kaydedilmemesi gerekenler: çalışanın yazdığı parola, ekran görüntüsü, tuş kaydı, kamera, konum, hangi saatte hangi siteye girdiği. Yazdığı parolanın kaydedilmediğini program belgesinde açıkça yazmak, hem hukuki hem teknik bir gereklilik: birçok ticari ürün varsayılan olarak bu alanı boş bırakır, ama bazı kurulumlarda form verisi teşhis amacıyla loglanır.

Cezalandırma yasağı. Simülasyon sonucunun disiplin yaptırımına dayanak yapılmayacağı yazılı olmalı. Bu bir hukuk nezaketi değil, ölçüm kalitesi sorunu: cezalandırılacağını bilen çalışan tıklamayı bildirmez, tıklama da ilk saatte görünmez. Aynı nedenle raporlama "kim tıkladı" listesiyle değil, ekip düzeyinde yapılmalı; kişi bazlı liste yalnızca müdahale için, erişimi kısıtlı biçimde tutulmalı.

Sınır: kimin sistemine dokunuyorsunuz. Simülasyon kendi çalışanınıza ve kendi alan adlarınıza yapılır. Müşteri, tedarikçi veya iş ortağı adreslerine test mesajı göndermek, o kişilerin rızası olmadan yapıldığında hem sözleşmeye hem de 5237 sayılı Kanun'un bilişim suçlarına ilişkin hükümlerine konu olabilir. Bir kurumun kendi çalışanına yaptığı test ile üçüncü kişiye yaptığı test arasındaki fark, ölçek değil hukuki statüdür.

Sağlayıcı yurt dışındaysa: md.9

Türkiye'deki kurumların kullandığı simülasyon platformlarının çoğunun veri merkezi yurt dışında. Bu durumda simülasyon kayıtları yurt dışına aktarılan kişisel veri hâline gelir ve 6698 sayılı Kanun'un md.9'u devreye girer: aktarımın Kanun'da sayılan uygun güvence mekanizmalarından birine dayanması ve gerekli bildirimlerin yapılması gerekir. Pratikte bu, tedarikçi sözleşmesinde üç maddeyi zorunlu kılıyor: hangi verinin hangi ülkeye gittiği, veri işleyen olarak yükümlülükler ve sözleşme sonunda verinin iadesi veya silinmesi. Yurt içinde barındırma bir üstünlük değil, bir gereklilik hâline gelebiliyor; kamuya veya kritik altyapıya hizmet eden kurumlarda ise tedarikçi seçimi doğrudan bu maddeye bakılarak yapılıyor.

Tıklamadan 72 saate: zincir nerede başlıyor

KVKK md.12(5), kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bunun en kısa sürede ilgilisine ve Kurula bildirilmesini istiyor. Kurulun 24.01.2019 tarih ve 2019/10 sayılı kararı, "en kısa süre" ifadesini Kurula bildirim için 72 saat olarak yorumluyor; ilgili kişilere bildirim ise etkilenenlerin belirlenmesini takiben makul olan en kısa sürede, doğrudan iletişim mümkün değilse kurumun sitesi üzerinden yapılabiliyor. Uygulamada en çok tartışılan nokta, saatin ne zaman başladığı: süre tıklamanın değil, veri sorumlusunun ihlali öğrendiği anın üzerine kurulu. Bu yüzden olay kaydında iki ayrı zaman damgası tutmak gerekiyor: tıklama zamanı ve ihlalden haberdar olma zamanı.

Bir oltalama olayının ihlale dönüşüp dönüşmediği, üç soruyla belirlenir. Saldırgan kimlik bilgisini gerçekten kullandı mı; kullandıysa hangi posta kutusuna ve hangi veri kümelerine erişti; eriştiği veride kişisel veri var mıydı. Üçüncü sorunun cevabı "hayır" ise olay bir güvenlik olayı olarak kalır ve KVKK bildirimi doğmaz; cevap "evet" ise 72 saatlik saat işlemeye başlar. Bu değerlendirmeyi tıklamadan hemen sonra değil, oturum iptali ve log incelemesi tamamlandıktan sonra yapmak gerekiyor; ama ertelemek de riskli, çünkü süre işlemeye çoktan başlamış olabilir.

Saat	Yapılacak	Kanıt
0-1	Oturumları ve yenileme belirteçlerini iptal et, parolayı sıfırla, posta kutusu kurallarını ve OAuth izinlerini incele	Kimlik sağlayıcı logu, kural listesi ekran görüntüsü
1-4	Erişim loglarını incele: hangi posta kutusu, hangi dosya, hangi uygulama, hangi IP	Log dışa aktarımı, zaman çizelgesi
4-24	İhlal değerlendirmesi: kişisel veri elde edildi mi, kaç kişi etkilendi, hangi veri kategorileri	Değerlendirme tutanağı, etkilenen kişi sayısı
24-72	Kurula bildirim, ilgili kişilere bildirim planı, iç yazışma	Bildirim formu, gönderim kaydı
72 sonrası	Kök neden, kontrol değişikliği, aksiyon planı ve kapanış raporu	Aksiyon planı, kontrol kanıtı

Bu zincirin programla bağlantısı şurada: 72 saatlik sürenin ilk saatini kurtaran şey, çalışanın tıklamayı ne kadar hızlı bildirdiği. Tıklama oranı yüzde 3 olan ama bildirim süresi medyanı 40 dakika olan bir kurum, 72 saatlik pencerede rahat çalışır; tıklama oranı yüzde 1 olan ama bildirim medyanı 6 saat olan bir kurum ise aynı pencerede çoğu zaman geç kalır. Bu yüzden farkındalık programının hedefleri arasında "tıklamayı azaltmak" kadar "bildirim süresini kısaltmak" da yazılmalı ve ikincisi ölçülmeli.

İlk saat çalışma kitabı

Bir çalışan "tıkladım galiba" dediğinde kimsenin düşünmek zorunda kalmaması için yazılı bir ilk saat listesi gerekir. Aşağıdaki sıra, gece 21.00'de telefonu açan kişinin uygulayabileceği kadar kısa tutuldu.

1. Oturumları iptal et. Parola değişikliği tek başına yetmez: saldırgan çerezi veya yenileme belirtecini aldıysa parola değişse de oturum açık kalır. Kimlik sağlayıcıda "tüm oturumları sonlandır" işlemi ile birlikte uygulamaya özel belirteçleri de iptal et.
2. Posta kutusu kurallarını oku. Saldırganlar en sık "gelen kutusundan gizle" ve "belirli adrese ilet" kuralı bırakır; bu kurallar fark edilmezse olay haftalar sonra anlaşılır.
3. OAuth izinlerini incele. Yeni verilmiş bir uygulama izni varsa, parola değişikliği o erişimi kesmez; izin ayrıca kaldırılmalı.
4. Zaman damgası al. İlk fark etme anını, kimin bildirdiğini ve neyin bildirildiğini yaz. Bu kayıt, 72 saatlik sürenin başlangıcını kanıtlayan tek belge.
5. Log penceresini sabitle. Kimlik sağlayıcı, posta, VPN ve uç nokta loglarını olay anını kapsayacak şekilde dışa aktar; saklama süresi kısa olan loglar önce alınmalı.
6. Kararı ver ve yaz. İhlal mi, olay mı? Gerekçeyi iki cümleyle yaz ve kimin onayladığını kaydet. Sonradan "o gün böyle düşünmüştük" demek, kayıt yoksa mümkün olmuyor.

Altı haftada kurulum, yılda dört çeyrek

Programı "bir yıllık lisans" olarak değil, takvimi olan bir süreç olarak kurmak gerekiyor. Aşağıdaki altı haftalık kurulum, sonrasında yıllık döngüye bağlanıyor; her adımın bir çıktısı var, çıktısı olmayan adım yok.

Hafta	İş	Çıktı
1	Taban ölçüm: iki farklı zorlukta iki simülasyon, bildirim akışının ölçülmesi	Taban tıklama ve bildirim oranı, medyan bildirim süresi
2	Hukuki çerçeve: meşru menfaat denge testi, aydınlatma metni, cezalandırma yasağı politikası	Onaylı üç belge
3	İçerik: dört soru, dört istek, dört kanal; rol bazlı modüller (finans, İK, BT, yönetici)	Dört modül, Türkçe yazılmış senaryo seti
4	İlk saat çalışma kitabı ve olay müdahale prosedürü ile entegrasyon	İmzalı prosedür, nöbet listesi
5	Kayıt defteri ve raporlama: on iki alan, erişim matrisi, saklama süresi	Çalışan defter, yetki listesi
6	İlk gerçek kampanya ve sonuçların yönetime sunumu	İlk çeyrek raporu, aksiyon listesi

Yıllık döngüde ritim şöyle: otomatik test her ay, senaryo değişikliği her çeyrek, derin eğitim yılda bir kez ve işe alımda ilk 30 gün içinde. Aylık testin içeriği kolay olmalı; zor senaryoyu çeyreğe saklamak, taban çizgisini korumanın tek yolu. Her yeni çalışan için ilk 30 gün kuralı ise en çok atlanan madde: yeni çalışan, kurumun iç yazışma dilini henüz bilmediği için oltalamaya karşı en savunmasız grup.

Rol bazlı içerik, genel içerikten farklı olmak zorunda. Finans ekibine "bağlantının üzerine gel" anlatmak yerine IBAN değişikliğinde sözleşmedeki numaradan geri arama refleksi; İK ekibine aday CV'si ve bordro konulu tuzaklar; BT ekibine tedarikçi portalı taklidi ve API anahtarı istekleri; yöneticilere ise "bu isteği onaylayan kişi olarak siz de hedefsiniz" senaryosu gerekir. Yönetim kademesine yapılan testler çoğu kurumda atlanıyor, oysa en yüksek değerli hedef orası.

Teknik kontrollerin yerini dolduramayacağı, eğitimin de tek başına çözemediği şey

Eğitim ile teknik kontrol birbirinin alternatifi değil; ikisinin de kapsamadığı bir boşluk var. Alan adı kimlik doğrulaması (DMARC, SPF, DKIM) tam olarak uygulanmışsa taklit gönderen engellenir; oltalamaya dirençli çok faktörlü doğrulama varsa vekil sunucu çalınan kodu kullanamaz; bağlantı izolasyonu varsa ilk tıklama zararsız kalır. Bu üçü kurulduğunda, eğitimin yükü "her mesajı analiz et" ten "şüpheli olanı bildir" e iner; ki bu, insanın gerçekten yapabildiği bir iştir.

Ters yönde de aynı şey geçerli: tüm teknik kontroller kurulu olsa bile, bir çalışanın tedarikçi portalına girmesi veya bir yöneticinin acil ödeme talebine telefonla onay vermesi gereken durumlar kalıyor. Bu yüzden ölçüm de iki eksende yapılmalı: teknik kontrollerin kapsama oranı (kaç alan adı DMARC p=reject, kaç hesap FIDO2, kaç posta kutusunda kural izleme var) ve insan tarafının bildirim hızı. İki sayıyı aynı raporda göstermek, bütçe tartışmasını da kolaylaştırıyor.

Satın al ya da kur: on soru

Platform seçimi, çoğu kurumda içerik kalitesine göre yapılıyor; oysa programın ömrünü belirleyen şey veri, çıkış ve raporlama. Bir sağlayıcıya sormadan imzalanmaması gereken on soru:

1. Gönderim alan adları size mi ait, yoksa sağlayıcının mı? Kendi alt alan adınızı kullanmıyorsanız, alan adı itibarı sizin kontrolünüzde değil.
2. Simülasyon kayıtları hangi ülkede barınıyor ve yurt dışına aktarım hangi mekanizmaya dayanıyor?
3. Ham sonuçları dışa aktarabiliyor musunuz, yoksa yalnızca özet pano mu veriyor? Sağlayıcı değiştiğinde geçmiş kaybolmamalı.
4. Çalışanın girdiği parola kaydediliyor mu? Cevap "evet" ise ürün, ölçülülük ilkesiyle çelişiyor.
5. Yönetici ve raporlama rolleri ayrılabiliyor mu? Simülasyonu kuran kişi, sonuçları tek başına görmemeli.
6. İçerik Türkçe olarak mı yazılmış, yoksa makine çevirisi mi? Çeviri metin, oltalamanın dilbilgisi işaretlerini yanlış öğretir.
7. Sözleşme sonunda veri iade ve silme taahhüdü var mı, süresi ne?
8. Bildirim akışı ölçülebiliyor mu, yani çalışan bildirim düğmesine bastığında zaman damgası tutuluyor mu?
9. Farklı kullanıcı gruplarına farklı zorluk atanabiliyor mu?
10. Çıkış maliyeti ne: veri taşınabilirliği, sözleşme feshi, geçmiş kampanyaların arşivi?

Yedi yaygın hata

Bir: yılda bir, aynı senaryo. Aynı şablonu on iki ay boyunca tekrar göndermek, çalışana o şablonu öğretir; oltalamayı öğretmez. Ölçüm de bu yüzden yanıltıcı olur: oran düşer, ama yalnızca tanıdık senaryoda.

İki: tıklayanı cezalandırmak. Sonuç disiplin dosyasına girdiği anda bildirim oranı düşer. Bildirilmeyen tıklama, müdahale edilemeyen tıklamadır.

Üç: ölçülemeyecek hedef koymak. "Sıfır tıklama" bir hedef değil, bir dilek. Ölçülebilir hedef, tanımı yazılmış bir oran ve bir süredir: "bildirim oranı yüzde 25, medyan bildirim süresi 10 dakika".

Dört: herkese aynı zorluk. Genel kullanıcı ile finans ekibine aynı senaryoyu göndermek, iki grubun da gerçek riskini ölçmez. Finans ekibinin gerçek riski IBAN değişikliği, genel kullanıcınınki kargo bildirimi.

Beş: eğitimi teknik kontrolün yerine koymak. DMARC, FIDO2 ve bağlantı izolasyonu kurulmadan yapılan farkındalık programı, çalışandan makinenin yapması gereken işi yapmasını bekler.

Altı: hukuki çerçeveyi sonra kurmak. Aydınlatma metni olmadan, parola kaydeden bir ürünle, kayıt süresi belirlenmeden yapılan simülasyon, farkındalık programı değil veri işleme faaliyetidir ve md.12 yükümlülüğünü yerine getirmez.

Yedi: olay kaydını tutmamak. Tıklama zamanı, haberdar olma zamanı ve verilen karar yazılmadığında, 72 saatlik sürenin ne zaman başladığı kanıtlanamaz. Bu, sonradan düzeltilemeyen tek hata türü.

Kısa özet

Oltalama farkındalığı bir eğitim etkinliği değil, üç sayıyla yönetilen bir program: tıklama oranı, bildirim oranı ve bildirim süresi. Programın Türkiye'deki çerçevesi KVKK md.12 ve md.12(5), 7545 sayılı Kanun md.7 ve BİGR 3.5.2.1; üçü de eğitim sayısını değil, etkinin ölçülmesini istiyor.

Ölçümün doğru olması için örneklem yeterli olmalı: 250 kişilik kurumda aylık farklar gürültüdür, doğru okuma kümülatif oran ve bildirim süresi medyanıdır. Programın hukuki kurulumu ise meşru menfaat dayanağı, aydınlatma, veri minimizasyonu (parola kaydı yok) ve cezalandırma yasağından oluşur; sağlayıcı yurt dışındaysa md.9 ayrı bir iş kalemi olarak ele alınmalı.

Son olarak: bir çalışan tıkladığında kurumun 72 saati değil, ilk saati kritik. Oturum iptali, posta kutusu kuralları, OAuth izinleri ve zaman damgası dört adımı yazılıysa, farkındalık programı gerçek bir savunma hızına dönüşür; yazılı değilse, en iyi eğitim bile bir sonraki olayda yalnızca iyi niyet olarak kalır.

Kurumunuzun mevcut durumunu görmek istiyorsanız, önce iki ölçüm yapın: son on iki ayda kaç kez oltalama olayı yaşandı ve bu olaylarda tıklamadan bildirime kadar geçen süre kaç dakikaydı. Bu iki sayı, hangi işin önce yapılması gerektiğini eğitim kataloğundan daha iyi söylüyor. Hizmet kapsamımızı inceleyebilir, tedarikçi e-postası ele geçirildiğinde ne yapılacağını BEC olay müdahalesi rehberinde ve teknik doğrulama tarafını API güvenlik testi rehberinde bulabilirsiniz.