Siber Güvenlikte Kurum İçi Kullanıcı Eğitimi

 Kurum İçi Kullanıcı Eğitimi Neden Önemlidir?

Kurum içerisinde çalışanlara siber güvenlik farkındalık eğitimi verilmesi önemli midir? Şirketteki en zayıf halkayı saldırganlar nasıl keşfeder?

Merhaba, bugün sizlere kurum içi kullanıcı eğitiminin öneminden bahsedeceğim.

Siber saldırganlar şirket çalışanları arasındaki siber güvenlik bilgisi olmayan veya en az olan hedefi keşfedip o kişiye oynadığı için yapmanız gereken şirketinizde zayıf halka kalmamasını sağlamak. Bunu önlemek ve verileri korumak için şirket içerisinde ki her bir çalışanın siber farkındalık kazanması sağlanmalıdır. Farkındalık sahibi çalışanlar potansiyel oltalama saldırılarına karşı şirketi savunabilir ve saldırıların sebep olabileceği zararları engelleyebilir. Bilgi varlıklarını korumaya ilişkin şirket kurallarıyla ilgili güvenlik eğitimleri, yalnızca şirketin bilgi teknolojileri varlıklarına elektronik ya da maddi erişimi olan çalışanlara değil, şirketteki herkese yönelik olmalıdır.

Peki ya saldırı yöntemleri nelerdir?

Saldırılar aktif ve pasif olarak sınıflandırılabilir. Pasif saldırılarda daha çok sistem hakkında bilgi edinilmeye çalışılır, pasif saldırı bilgi toplama sürecidir. Aktif saldırılarla sisteme sızmaya ve sisteme zarar vermeye çalışılır. Aktif saldırılara örnek vermek gerekirse;

- Oltalama (Phishing)

- Aldatma (IP Spoofing)

- Şebeke Trafiğinin Dinlenmesi (Sniffing Attack)

- Hizmet Dışı Bırakma (DDoS)

  

Peki ya nasıl önlem alınmalıdır? İşte en önemli konu tam olarak burası. Tehditlere karşı siber savunma için teknik altyapıların güçlü olması gerekir. Altyapıların güçlendirilmesi için risk analizlerinin çıkarılması ve önceliklerin belirlenmesi gerekir. Tehditlere karşı güncel güvenlik yazılımları kullanılmalıdır, uçtan uca şifreleme, güvenlik duvarları, iki adımlı kimlik doğrulama ve akıllı denetim öncelikli ve en önemli adımlar olmalıdır. Ayrıca donanımların ve yazılımların güncel olması da çok önemlidir. Verilerin yedekleri mutlaka tutulmalı, iş sürekliliğinin sağlanması için yedekli yapılar oluşturulmalıdır. Çalışanların yetkisi olmayan bilgilere erişimi engellenmelidir.

Siber farkındalık eğitimleri kurum içi bilgi teknoloji kullanıcıları tarafından mutlaka alınması gereken en önemli eğitimlerdendir. Kullanıcılar siber konularda yeterli bilgiye sahip değil ise veya eğitimli olup yine de önlemlerini almıyorsa sosyal mühendislik vb. yöntemler ile bilgileri çalınabilir ve hatta saldırganlara hizmet ediyor olabilir. Teknik olarak gerekli güvenlik standartları yerine getirilmediği takdirde riskler devam eder. Siber farkındalık eğitimi zorunlu hale getirilmelidir, kullanıcılar verilerin korunması konusunda donanımlı olmalıdır.

Bütün kullanıcılara verilmesi gereken eğitimler;

1.    -Güvenli İnternet Kullanma Eğitimi

2.    -Şifre Güvenliği Eğitimi

3.   - E-Posta Güvenliği Eğitimi

4.    -Siber Tehdit Türleri Eğitimi

5.    -Sosyal Mühendislik Eğitimi

6.    -Mobil Cihaz Güvenliği Eğitimi

7.   - Kişisel Veri Gizliliği Eğitimi

8.    -Sorumluluklar ve Hukuki Süreçler Eğitimi

 

Ayrıca Bilgi işlem personeline verilmesi gereken eğitimler;

1.   -Sızma Testi Eğitimi

2.    -Ağ Güvenliği Eğitimi

3.   - Sistem Güvenliği Eğitimi

4.    -Yazılım Güvenliği Eğitimi

5.    -IOT Cihazları Eğitimi

6.   - Fiziksel Sistemlerin Güvenliği Eğitimi

7.  -  Bilgi Güvenliği Yönetim Sistemi Eğitimi

8.   - Risk Analizi Eğitimi

Eğitimlerin verilmesi yeterli mi? Artık çalışanlar donanımlı mı?

 Bunu anlamak için çalışanların sık sık masaüstü egzersizi yapması gerekmektedir. Kurum içi çalışanların olası bir ihlal ile karşılaştıklarında yanlış bir yol izlememeleri açısından savunma egzersizleri yapmaları gerekir. Bu egzersizler gerçek bir saldırı yaşadıklarında kullanıcıları daha donanımlı olmalarını ve etkili yanıt vermelerine olanak tanır.