İnsanları eğitmeyi bırakın. Teknolojiyi düzeltmeye başlayın.

Güvenlik farkındalığı eğitimi neden rahatlatıcı bir yalandır ve bunun yerine ne yapmalıyız

Geçen hafta ESET Cyber Defence Summit’te, Leiden Üniversitesi Siber Güvenlik Yönetişimi Profesörü ve Hollanda Siber Güvenlik Konseyi üyesi Prof. Bibi van den Berg, dinleyicilerin çoğunun zaten sezdiği ama pek azının yüksek sesle söylemeye cesaret ettiği bir şey söyledi: araştırmalar tutarlı biçimde, güvenlik farkındalığı eğitiminin gerçek güvenli davranış üzerinde neredeyse hiç fark yaratmadığını gösteriyor. Salon bir an sessizleşti. Sonra, yavaş yavaş başlar sallanmaya başladı.

Ben de o başını sallayanlardan biriydim. Karşı çıkmaktan hoşlandığım için değil, bunun bilgi güvenliği alanında on yılı aşkın süredir gördüğüm her şeyle örtüşmesi nedeniyle. Farkındalık programlarına, kimlik avı simülasyonlarına ve e-öğrenme modüllerine milyarlar harcadık. Yine de ihlaller olmaya devam ediyor. Tıklama oranları neredeyse hiç değişmiyor. İnsanlar insan olmayı sürdürüyor.

Araştırma sonuçları ortada ve durum içler acısı

Van den Berg sahneden yalnızca görüşlerini sunmuyor. Leiden Üniversitesi’ndeki meslektaşlarıyla birlikte bunu destekleyen araştırmayı da ortaya koydu. 2024’te Prümmer, Van Steen ve Van den Berg, siber güvenlik eğitiminin etkinliği üzerine 69 çalışmayı inceleyen bir meta-analiz yayımladı. Vardıkları sonuç çarpıcı: eğitim bilgi ve farkındalığı artırıyor, insanlar tehditleri teoride tanımayı öğreniyor olsa da, gerçek davranış üzerindeki etkisi tamamen başka bir hikaye. Çalışmalar gerçek davranış değişikliğini ölçmek için bağımsız gruplar kullandığında, yalnızca küçük, istatistiksel olarak anlamlı olmayan bir etki buldular. Sade bir dille: “insanlar ne yapmaları gerektiğini biliyor ama bunu güvenilir biçimde yapmıyorlar.”

Bu bulgu birdenbire ortaya çıkmadı. Bir yıl önce, aynı araştırma ekibi aynı dergide mevcut siber güvenlik eğitim yöntemlerine ilişkin sistematik bir derleme yayımladı. Bu derleme, yalnızca bilgi vermenin davranışı değiştirme üzerinde sınırlı bir etkiye sahip olduğunu, eğitim programlarının kapsamının çoğu zaman fazla dar olduğunu ve çalışanların içeriğe sık sık ilgi göstermediğini ortaya koydu. Eğitimin işyeri davranışına dönüşmesi, yazarların kendi ifadesiyle, zorlu bir iştir. Etkinliği sınırlı yöntemler kullanıldığında, emek ve kaynaklar boşa harcanır.

Bu bulguları özellikle yıkıcı kılan, moderatör analizidir: meta-analiz, eğitim yönteminin türünün, platformun, sosyal ortamın veya birden fazla yöntemin kullanılmasının anlamlı bir fark yaratıp yaratmadığını test etti. Hiçbiri yaratmadı. Sorun, henüz doğru eğitim yöntemini bulamamış olmamız değil. Risk azaltma aracı olarak eğitim paradigmasının tamamı temelden sınırlıdır.

Başarısızlığın matematiksel kesinliği

İşte sektörümüzün kabul etmeyi reddettiği rahatsız edici gerçek: her çalışanı yüzde 99 doğruluk oranına kadar eğitseniz bile (ki bu, araştırmaların mümkün olduğunu gösterdiğinin çok ötesinde olağanüstü bir başarı olurdu) matematik yine de aleyhinize işler. 1.000 çalışanı olan, her biri günde onlarca güvenlikle ilgili karar veren bir kuruluşta, on binlerce hata fırsatıyla karşı karşıyasınızdır. Her gün. En az bir kişinin yanlış zamanda yanlış şeyi yapma olasılığı, pratikte, yüzde yüzdür.

Bu bir eğitim sorunu değildir. Bu bir sistem tasarımı sorunudur. Ve sistem tasarımı sorunlarını, kötü tasarlanmış bir sistemin içinde sıkışıp kalmış insanlara vaaz vererek çözemezsiniz.

Kimlik avı simülasyonu sektörü plasebo satıyor

Guardian360’ta, birkaç yıl önce kimlik avı testleri sunmayı bıraktık. Bu popüler bir iş kararı değildi, çünkü kimlik avı simülasyonları kazançlı bir pazar. Ama bıraktık, çünkü riski anlamlı biçimde azaltmadığını bildiğimiz bir hizmeti vicdanen satmaya devam edemezdik.

Kimlik avı simülasyonları zamandaki tek bir anı ölçer. Muhasebedeki Janet’in bir salı öğleden sonra sahte bir bağlantıya tıkladığını söyler size. Nedenini söylemez. Acele mi ediyordu? E-posta meşru olandan ayırt edilemez miydi? Toplantıya yürürken telefonunda mıydı? Test veri üretir ama içgörü üretmez. Ve tipik kurumsal tepki, bu durumda Janet için daha fazla eğitim, hastalığı görmezden gelirken belirtiyi tedavi eder.

Daha da kötüsü, kimlik avı testleri sahte bir güvenlik hissi yaratır. “Tıklama oranımız yüzde 25’ten yüzde 12’ye düştü,” diye anlatır CISO yönetime ve herkes alkışlar. Ama bin çalışanın yüzde 12’si hala 120 açık kapıdır. Ve saldırganın yalnızca birine ihtiyacı vardır. Leiden meta-analizi bu sezgiyi doğruluyor: en olumlu çalışmalarda bile davranışsal etki en iyi ihtimalle mütevazı, en kötü ihtimalle anlamsızdır.

Yükü teknoloji taşımalı

Yıllarca süren deneyimle pekişmiş ve şimdi Van den Berg ile meslektaşlarının çalışmasıyla desteklenen inancım basit: bunu teknoloji çözmeli. Eğitimin tamamlayıcısı olarak değil. Birincil savunma hattı olarak.

Bu pratikte ne anlama gelir? İnsanlardan son savunma hattı olmalarını istemeyi bırakıp, insanların kolayca felaket boyutunda hatalar yapamayacağı sistemler kurmaya başlamak anlamına gelir. Bir düşünün: uçak yolcularını kalkıştan önce kanat perçinlerini denetlemeleri için eğitmiyoruz. Tasarımı gereği güvenli, sertifikalı mühendislerce bakımı yapılan ve otomatik sistemlerce izlenen uçaklar inşa ediyoruz. Dijital altyapımızdan da aynı felsefeyi talep etmeliyiz.

Somut olarak bu, güvenliği görünmez ve kaçınılmaz kılan teknolojilere yatırım yapmak anlamına gelir. Parolasız kimlik doğrulama, kimlik bilgisi hırsızlığı kategorisinin tamamını ortadan kaldırır. Donanım güvenlik anahtarları, kimlik avını yalnızca olası değil, teknik olarak imkansız kılar. Uç nokta tespiti ve yanıtı (EDR), birinin kaçınılmaz olarak indirdiği kötü amaçlı yazılımı yakalar. E-posta filtreleme, kötü amaçlı mesajı gelen kutusuna ulaşmadan durdurur. Zero Trust mimarileri, biri hata yaptığında (ne zaman değil, kesinlikle olduğunda) patlama yarıçapını sınırlar.

Güvenliği en az direnç gösteren yol haline getirmek

Farkındalık eğitimi paradigmasının temel hatası, güvenliği insanların defalarca, günde binlerce kez, kolaylık, aciliyet ve alışkanlığın çekimine karşı aktif olarak seçmesi gereken bir şey olarak çerçevelemesidir. Bu, insanlardan gerçekçi bir beklenti değildir. Hiçbir zaman da olmadı.

İhtiyacımız olan paradigma farklıdır. Güvenlik varsayılan olmalıdır. Kolay yol ile güvenli yol aynı yol olmalıdır. Bunlar ayrıştığında, yani güvenli seçenek daha fazla adım, daha fazla sürtünme, daha fazla bilişsel yük gerektirdiğinde, bozuk olan kullanıcı değil sistemdir.

Bu radikal bir fikir değildir. Neredeyse diğer her alanda güvenlik hakkında böyle düşünürüz. Yol mühendisleri kazaları önlemek için yalnızca sürücü eğitimine güvenmez; korkuluklar takar, ezilme bölgeleri tasarlar ve hava yastıklarını zorunlu kılar. Hastane mimarları el yıkama afişlerine güvenmez; her kapıya otomatik dispanserler kurar. Yine de siber güvenlikte afişleri asmaya devam ediyor ve insanların neden önlerinden geçip gittiğini merak ediyoruz.

Konuşmayı değiştirme cesareti

Bu duruşun bazı insanları rahatsız ettiğini biliyorum. Güvenlik farkındalığı sektörü milyarlarca değerinde. Bunun üzerine kariyerler kuruldu. Uyumluluk çerçeveleri bunu gerektiriyor. Ve evet, çalışanlara güvenlik hakkında kesinlikle hiçbir şey söylememeliyiz demiyorum. Parolanızı neden paylaşmamanız gerektiğini anlamak ve tehditlerin var olduğunu fark etmek gibi temel hijyen, olmazsa olmazdır. Leiden araştırması, eğitimle bilgi ve farkındalığın gerçekten arttığını doğruluyor. Ama davranış değişikliği olmadan bilgi, pahalı bir güvenlik yanılsamasıdır.

O bütçeleri, o enerjiyi ve o yönetim dikkatini eğitim programlarından, gerçekten fark yaratan teknoloji yatırımlarına yönlendirme cesaretini gösterme zamanı. Teknoloji kusursuz olduğu için değil (kusursuz değildir) ama ölçeklenebilir, tutarlı olduğu ve bir salı öğleden sonrası kötü bir gün geçirmediği için.

İnsanları eğitmeyi bırakın. Teknolojiyi düzeltmeye başlayın. En zayıf halka kullanıcılarınız değil, sistemlerinizdir.

Referanslar

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. Computers & Security, 136, 103585.

Van den Berg, B. (2026). ESET Cyber Defence Summit’te yuvarlak masa tartışması.