Veri İhlali (Data Breach) Durumunda Yapılması Gerekenler

Veri ihlali (data breach) durumlarıyla karşılaşan işletmeler için kriz anında atılacak adımlar, hem yasal yükümlülüklerin eksiksiz yerine getirilmesi hem de kurum itibarının korunması açısından kritik bir eşiktir. Güvenlik açığının fark edildiği ilk andan itibaren izlenecek metodoloji, siber saldırının yaratacağı zararı asgari düzeye indirmeyi amaçlar. Bu rehberde, sızma tespiti anında ağ sistemlerinin izole edilmesinden adli bilişim incelemelerine, KVKK ve GDPR uyumluluk bildirimlerinden uzun vadeli teknik önlemlere kadar tüm aşamalar teknik derinlikle analiz edilmektedir. Karar vericilerin kriz anında başvurabileceği bu operasyonel yönerge, işletmelerin siber esneklik kapasitesini artırmayı hedefler.

Veri İhlali (Data Breach) Sırasında İlk Aksiyonlar Neler Olmalıdır?

Ağ Sistemlerinin Hızlı İzolasyonu ve Karantina Süreci

Bir veri ihlali tespit edildiği anda atılması gereken ilk ve en kritik adım, saldırının yayılım alanını daraltmaktır. Ağ izolasyonu ve karantina süreçleri, saldırganın şirket içi ağda (lateral movement) yatayda hareket etmesini ve diğer hassas sistemlere sızmasını engeller. Bu aşamada, etkilenen alt ağların (VLAN) ana omurgadan fiziksel veya mantıksal olarak ayrılması gerekir. Güvenlik duvarı (firewall) kuralları anında güncellenmeli, şüpheli IP adresleri ve dış bağlantı noktaları (portlar) bloke edilmelidir.

İzolasyon sürecinde en sık yapılan hatalardan biri, siber saldırıya uğrayan sunucuların veya iş istasyonlarının doğrudan kapatılmasıdır. Sistemlerin kapatılması, uçucu bellek (RAM) üzerinde bulunan zararlı yazılım süreçlerinin, aktif bağlantıların ve şifreleme anahtarlarının kaybolmasına neden olur. Bu sebeple, sanal makineler (VM) kapatılmak yerine askıya alınmalı (suspend/snapshot) ve ağ kartları (virtual NIC) yazılımsal olarak devre dışı bırakılmalıdır. Bu sayede hem saldırganın ağ üzerindeki komuta kontrol (C2) sunucusu ile iletişimi kesilir hem de adli bilişim incelemesi için kritik kanıtlar korunmuş olur.

Eğer sistem genelinde bir fidye yazılımı (ransomware) saldırısı söz konusu ise, ağ bazlı depolama birimleri (NAS, SAN) ve yedekleme sunucuları derhal birincil ağdan izole edilmelidir. Saldırganların yedekleme altyapılarını hedef alarak kurtarma senaryolarını baltalaması yaygın bir yöntemdir. Ağ izolasyonu gerçekleştirilirken, dış dünya ile olan tüm VPN tünelleri, API entegrasyonları ve üçüncü taraf iş ortaklığı bağlantıları da geçici olarak sonlandırılmalıdır.

Siber Güvenlik ve Olay Müdahale (Incident Response) Ekibinin Devreye Alınması

Saldırının ilk şoku atlatıldıktan sonra, önceden hazırlanmış olan olay müdahale planı (Incident response plan) yürürlüğe sokulmalıdır. Kurum bünyesindeki Bilgi Güvenliği Tehdit ve Olay Müdahale Ekibi (CSIRT/CERT) veya dışarıdan hizmet alınan siber güvenlik danışmanlık firması koordinasyonu ele almalıdır. Olay müdahale ekibinin lideri (Incident Commander), teknik ekipler ile yönetim kademesi arasındaki iletişimi yöneterek operasyonun kesintisiz ilerlemesini sağlar.

Bu aşamada iletişim altyapısının güvenliği de sorgulanmalıdır. Saldırganların kurumsal e-posta sistemine, Slack veya Microsoft Teams kanallarına sızmış olma ihtimali göz önünde bulundurulmalıdır. Bu nedenle, kriz yönetimi ekipleri arasındaki tüm haberleşme, şirket dışı ve uçtan uca şifreli alternatif kanallar (örneğin Signal veya güvenli dış ağlar) üzerinden yürütülmelidir. Güvenli olmayan kanallarda yapılacak teknik tartışmalar, saldırganın savunma stratejilerini öğrenmesine ve müdahale adımlarını sabote etmesine yol açabilir.

Olay müdahale ekibi, NIST SP 800-61 revizyon standartlarına uygun olarak tespit ve analiz, kontrol altına alma (containment), temizleme (eradication) ve kurtarma (recovery) aşamalarını sırasıyla takip eder. Ekibin her üyesinin görevi net olmalıdır: Adli bilişim uzmanı kanıt toplarken, sistem yöneticisi alternatif altyapıyı hazırlar, hukuk müşaviri ise bildirim sürelerini takip ederek yasal süreçleri koordine eder.

Şifrelerin ve Erişim Yetkilerinin Sıfırlanması

Saldırganların sistemde kalıcı olabilmek (persistence) için yetkisiz hesaplar oluşturması veya mevcut yüksek yetkili hesapları (Domain Admin, Global Admin vb.) ele geçirmesi olağan bir durumdur. Bu riski bertaraf etmek için, Active Directory (AD) ve bulut kimlik sağlayıcıları (Azure AD/Entra ID, Okta vb.) üzerinde kapsamlı bir erişim denetimi ve yetkilendirme revizyonu başlatılmalıdır. İlk etapta, sızıntıdan etkilendiği düşünülen tüm kullanıcı hesaplarının oturumları (session tokens) sonlandırılmalıdır.

Kritik idari hesapların (Admin) şifreleri, karmaşık karakter kurallarına uygun olarak derhal sıfırlanmalıdır. Active Directory ortamlarında, Kerberos bilet üretim anahtarı olan krbtgt hesabının parolası üst üste iki kez sıfırlanmalıdır. Bu işlem, saldırganların "Golden Ticket" adı verilen ve sistemde süresiz yetki sağlayan sahte kimlik biletlerini kullanmasını engeller. Ayrıca, sistem servis hesaplarının ve API erişim anahtarlarının (credentials) tamamı yenilenmelidir.

Sadece şifre değiştirmek yeterli bir önlem değildir. Kimlik doğrulama mekanizmalarına çok yönlü kimlik doğrulama (MFA) katmanı zorunlu kılınmalı, mevcut MFA yapılandırmalarında sızma olup olmadığı denetlenmelidir. Saldırganların bypass teknikleri geliştirmiş olma ihtimaline karşı, tüm MFA kayıtlı cihaz listeleri kontrol edilmeli ve bilinmeyen, yetkilendirilmemiş cihazların erişimi sistemden silinmelidir.

Sızıntı Kaynağının Tespiti ve Adli Bilişim (Digital Forensics) Süreci

İhlalin Boyutunu ve Etkilenen Veri Kategorilerini Belirleme

Sistem kontrol altına alındıktan sonra, sızıntının gerçek boyutunu anlamak için derinlemesine bir analiz süreci başlatılmalıdır. Hangi veri tabanlarının sorgulandığı, hangi dosyaların dışarıya aktarıldığı (data exfiltration) ve bu verilerin hangi kategoride yer aldığı hassasiyetle belirlenmelidir. Bu süreçte veri sızıntısı önleme (DLP - Data Loss Prevention) sistemlerinin ürettiği alarmlar ve veri akış logları birincil kaynak olarak değerlendirilir.

Etkilenen verilerin niteliği, yasal bildirimlerin şeklini ve şirket üzerindeki finansal etkiyi doğrudan belirler. Sızdırılan veriler arasında kişisel veriler, özel nitelikli kişisel veriler (sağlık verileri, biyometrik veriler vb.), kredi kartı bilgileri (PCI-DSS kapsamındaki veriler) veya şirkete ait ticari sırlar bulunabilir. Etkilenen tekil kullanıcı sayısı ve sızan satır sayısı gibi nicel veriler, veri sorumlusu ve veri işleyen yükümlülükleri çerçevesinde resmi kurumlara rapor edilmek zorundadır.

Veri tabanı logları incelenirken, SQL sorgu geçmişleri ve veritabanı yönetim arayüzlerine yapılan erişimler tek tek taranmalıdır. Saldırganların veri tabanından dump dosyası (yedek dosyası) alıp almadığı, geçici dosya dizinleri kontrol edilerek saptanır. Sızan veri setlerinin büyüklüğü, ağ arayüzlerindeki (NIC) giden trafik (egress traffic) hacmi analiz edilerek doğrulanmalıdır.

Log Kayıtlarının ve Sistem İzi Kanıtlarının Güvence Altına Alınması

Siber saldırganlar, sistemde gerçekleştirdikleri eylemlerin izini kapatmak için işletim sistemi olay günlüklerini (event logs), güvenlik duvarı kayıtlarını ve uygulama loglarını silmeye veya değiştirmeye çalışırlar. Bu nedenle, adli bilişim incelemesi (Digital forensics) başlamadan önce tüm log kaynaklarının bütünlüğü ve değiştirilemezliği garanti altına alınmalıdır. Merkezi log yönetim sistemleri (SIEM) üzerindeki veriler salt okunur (WORM) arşivlere taşınmalıdır.

Kanıt toplama sürecinde uluslararası kabul görmüş standartlara (ISO/IEC 27037) ve zincirleme kanıt gözetim kurallarına (chain of custody) harfiyen uyulmalıdır. İncelenecek depolama birimlerinin (HDD, SSD) birebir bit kopyaları (forensic image) yazma korumalı cihazlar (write-blocker) kullanılarak alınmalıdır. Bu imaj dosyalarının SHA-256 veya MD5 gibi şifreleme algoritmaları ile özet değerleri (hash) hesaplanmalı ve adli süreçlerde kullanılmak üzere kayıt altına alınmalıdır.

Analiz sırasında, saldırganın sisteme ilk giriş noktası (Initial Access Vector) belirlenmeye çalışılır. Bu bir oltalama (Phishing) tespiti, açık bir RDP (Remote Desktop Protocol) portu veya yamalanmamış bir VPN zafiyeti olabilir. Zaman tüneli analizi (timeline analysis) yapılarak, sızma anından itibaren gerçekleştirilen tüm kullanıcı hareketleri, oluşturulan yeni dosyalar ve çalıştırılan komutlar kronolojik olarak haritalandırılır.

Açığın Kapatılması (Yama ve Güvenlik Güncellemeleri)

Saldırganın kullandığı sızma yöntemi ve sistemdeki güvenlik açığı netleştiğinde, bu açığın kalıcı olarak kapatılması için zafiyet yönetimi (Vulnerability management) süreci işletilir. Eğer sızıntı, kullanılan bir üçüncü taraf yazılımdaki bilinen bir güvenlik açığından kaynaklanıyorsa, ilgili yazılım üreticisinin yayınladığı en güncel güvenlik yaması derhal uygulanmalıdır. Sıfırıncı gün (zero-day) zafiyeti durumunda ise, üretici yama yayınlayana kadar geçici koruma kuralları (workaround) devreye sokulmalıdır.

Açığın kapatılması sürecinde sadece ilgili sunucu değil, kurum bünyesindeki benzer tüm sistemler taranmalıdır. Saldırganların kullandığı zafiyetin ağ genelinde başka hangi sistemlerde aktif olduğu tespit edilmeli ve buralarda da gerekli sıkılaştırma (hardening) çalışmaları yapılmalıdır. Web tabanlı uygulamalarda SQL Injection veya Cross-Site Scripting (XSS) gibi açıklar varsa, kod seviyesinde düzeltmeler yapılmalı ve Web Uygulama Güvenlik Duvarı (WAF) kuralları güncellenmelidir.

Sistem iyileştirme adımlarının etkinliği, bağımsız ekipler tarafından yapılacak bir doğrulama testi ile sınanmalıdır. Açıkların kapatıldığından emin olunmadan, izole edilmiş sistemlerin yeniden ana ağa bağlanması veya internete açılması, saldırganın aynı yöntemle sisteme tekrar sızmasına (re-infection) sebebiyet verebilir. Bu nedenle, geçici önlemler kalıcı güvenlik politikalarıyla desteklenmelidir.

Regülasyonlar Kapsamında Yasal Bildirim Yükümlülükleri

KVKK Kapsamında Bildirim (72 Saat Kuralı ve Süreci)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, veri sorumlusu olan organizasyonlar, işledikleri kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendikleri andan itibaren bu durumu en kısa sürede bildirmekle yükümlüdür. Kişisel Verileri Koruma Kurulu'nun (Kurul) aldığı ilke kararı uyarınca, bu "en kısa süre" 72 saat olarak belirlenmiştir. Bu süre, ihlalin veri sorumlusu tarafından tespit edildiği veya öğrenildiği andan itibaren başlar.

KVKK 72 saat kuralı, siber kriz anında zaman yönetimini en kritik faktör haline getirir. 72 saatlik süre içinde, ihlalin detayları, etkilenen kişi grupları ve alınan önlemler belirlenerek Kişisel Verileri Koruma Kurumu'na resmi bildirim yapılmalıdır. Eğer bu süre zarfında tüm bilgiler toplanamadıysa, eldeki mevcut bilgilerle ilk bildirim yapılmalı, kalan detayların aşamalı olarak (fazlar halinde) iletileceği belirtilmelidir. Gecikmeli yapılan bildirimlerde, gecikmenin haklı gerekçeleri kuruma sunulmak zorundadır.

Resmi bildirim sadece Kişisel Verileri Koruma Kurumu ile sınırlı değildir. Kanun gereği, veri ihlalinden etkilenen ilgili kişilere de (veri sahiplerine) doğrudan ve makul olan en kısa sürede bildirim yapılması zorunludur. Bu bildirim, ilgili kişilerin kendi güvenliklerini sağlayabilmeleri (örneğin banka şifrelerini değiştirmeleri veya dolandırıcılık girişimlerine karşı tetikte olmaları) için açık ve anlaşılır bir dille gerçekleştirilmelidir.

GDPR Kapsamında Bildirim ve Uluslararası Yükümlülükler

Avrupa Birliği sınırları içinde faaliyet gösteren veya AB vatandaşlarının kişisel verilerini işleyen global organizasyonlar, Genel Veri Koruma Tüzüğü (GDPR) kurallarına tabidir. GDPR uyumluluğu (General Data Protection Regulation), veri ihlali durumunda oldukça katı kurallar barındırır. GDPR Madde 33 uyarınca, veri sorumlusu, kişisel veri ihlalini tespit ettiği andan itibaren gecikmeksizin ve mümkünse en geç 72 saat içinde yetkili denetim makamına (Supervisory Authority) bildirimde bulunmalıdır.

GDPR kapsamında, veri ihlalinin bireylerin hak ve özgürlükleri üzerinde bir risk oluşturma ihtimali yoksa bildirim zorunluluğu ortadan kalkabilir. Ancak bu durumun gerekçeleri, şirketin iç veri koruma kayıtlarında (DPO kayıtları) detaylıca belgelenmelidir. Eğer ihlal, bireylerin hak ve özgürlükleri açısından yüksek risk (high risk) taşıyorsa, GDPR Madde 34 gereğince etkilenen tüm bireylere gecikmeksizin doğrudan bildirim yapılmalıdır.

Uluslararası veri transferi gerçekleştiren şirketler için veri sorumlusu ve veri işleyen yükümlülükleri de farklılaşır. Eğer veri sızıntısı bir alt yüklenici veya bulut hizmet sağlayıcı (veri işleyen) üzerinde gerçekleştiyse, veri işleyen durumdan haberdar olduğu anda veri sorumlusunu gecikmeksizin bilgilendirmek zorundadır. Veri sorumlusu için 72 saatlik yasal süre, veri işleyenin kendisine durumu bildirdiği an başlar.

İhlal Bildirim Formu Nasıl Doldurulur ve Hangi Bilgiler Sunulmalıdır?

Kişisel Verileri Koruma Kurumu'na yapılacak resmi bildirim, kurumun resmi internet sitesinde yer alan ihlal bildirim formu formatına uygun olarak doldurulmalıdır. Form, siber kriz anında aceleyle doldurulmamalı; teknik ve yasal ekiplerin ortak analizi neticesinde net bilgiler içermelidir. Formda yer alacak temel unsurlar şunlardır:

• Veri Sorumlusunun Kimliği: Kurumun resmi unvanı, iletişim bilgileri ve varsa Veri Koruma Görevlisi (DPO) veya irtibat kişisinin bilgileri.

• İhlalin Detayları: İhlalin ne zaman başladığı, ne zaman tespit edildiği ve nasıl gerçekleştiği (örneğin fidye yazılımı (Ransomware) saldırısı, oltalama, fiziksel hırsızlık).

• Etkilenen Veri Kategorileri: Kimlik bilgileri, iletişim bilgileri, finansal veriler, özel nitelikli kişisel veriler gibi sızan veri türleri.

• Etkilenen Kişi Grupları: Müşteriler, çalışanlar, tedarikçiler gibi ihlalden doğrudan veya dolaylı etkilenen kişi kategorileri ve tahmini kişi sayısı.

• Alınan ve Alınacak Tedbirler: İhlalin etkilerini azaltmak ve sızıntıyı durdurmak için anlık olarak alınan idari ve teknik tedbirler ile uzun vadede planlanan siber güvenlik politikaları iyileştirmeleri.

Form doldurulurken belirsiz ifadelerden kaçınılmalı, doğruluğu kesinleşmemiş teknik varsayımlar resmi beyan olarak yazılmamalıdır. Eğer bazı teknik tespitler henüz sonuçlanmadıysa, formda bu durum belirtilmeli ve ek adli bilişim incelemesi raporlarının kuruma sonradan sunulacağı taahhüt edilmelidir.

Paydaş, İtibar ve İletişim Yönetimi

İhlalden Etkilenen Kullanıcılara / Müşterilere Doğrudan Bildirim

Veri sızıntısının kamuoyuna açıklanması ve etkilenen kullanıcılara bildirilmesi, kriz iletişimi ve itibar yönetimi sürecinin en hassas aşamasıdır. Kullanıcılara yapılacak bildirim, paniği önleyecek, durumun ciddiyetini net şekilde aktaracak ve onların alabileceği kişisel güvenlik önlemlerini açıklayacak bir içerikte olmalıdır. Bu e-posta veya mesaj, pazarlama dilli olmamalı; kurumsal, analitik, net ve objektif bir üslupla yazılmalıdır.

Bildirim metninde, hangi kişisel verilerin sızdırıldığı (örneğin sadece e-posta adresleri mi yoksa şifrelenmiş parolalar da dahil mi) açıkça belirtilmelidir. Kullanıcılara, sızıntı sonrasında yapmaları gereken eylemler adım adım anlatılmalıdır. Eğer sızan veriler arasında parolalar varsa, kullanıcılardan aynı parolayı kullandıkları diğer platformlardaki şifrelerini de değiştirmeleri talep edilmeli ve iki aşamalı doğrulamayı aktif etmeleri önerilmelidir.

Ayrıca, kullanıcıların süreçle ilgili doğrudan destek alabilecekleri, siber olay müdahale ekibi tarafından desteklenen özel bir çağrı merkezi veya yardım masası (helpdesk) kanalı kurulmalıdır. İletişimi şeffaf yürütmek, müşterilerin kuruma olan güven bağını tamamen koparmasını engeller ve markanın sorumluluk bilinciyle hareket ettiğini gösterir.

Şeffaflık İlkesi ile Kamuoyu ve Medya İletişimi

Büyük ölçekli veri ihlalleri, siber güvenlik haber siteleri, teknoloji blogları ve ulusal medya tarafından hızlıca gündeme taşınır. Kurumun medya karşısında sessiz kalması veya olayı inkar etmesi, spekülasyonların artmasına ve kurum itibarının daha fazla zedelenmesine yol açar. Bu nedenle, kriz yönetimi kapsamında proaktif bir medya stratejisi uygulanmalıdır.

Basın açıklamaları ve kamuoyu duyuruları tek bir merkezden ve yetkilendirilmiş bir sözcü aracılığıyla yapılmalıdır. Teknik detaylar boğucu olmayan ancak doğrulanabilir verilerle sunulmalıdır. Şirketin siber saldırıyı nasıl fark ettiği, sızıntıyı durdurmak için hangi idari ve teknik tedbirler aldığı ve hangi siber güvenlik otoriteleriyle iş birliği yaptığı açıklanmalıdır.

Şeffaflık, siber esnekliğin en önemli göstergelerinden biridir. Sorumluluğu üstlenmek ve çözüm odaklı bir duruş sergilemek, siber saldırıya uğramış olmanın yaratacağı negatif algıyı, süreci profesyonelce yöneten güvenilir bir kurum imajına dönüştürebilir. Kriz anında medyanın sorularına hızlı ve doğru yanıtlar vermek, bilgi kirliliğini ve asılsız iddiaları başlamadan engeller.

Hukuki Yaptırımlar ve Para Cezası Risklerinin Analizi

Bir veri ihlali sonrasında kurumları bekleyen en büyük risklerden biri de yasal otoriteler tarafından kesilecek idari para cezalarıdır. KVKK ve GDPR uyumluluğu kapsamında belirlenen yükümlülüklerin yerine getirilmemesi, sızan verilerin şifreleme algoritmaları ve veri maskeleme gibi yöntemlerle yeterince korunmamış olması, cezai yaptırımları en üst sınıra taşıyabilir.

Mali risk analizi yapılırken sadece doğrudan idari para cezaları değil, aynı zamanda dolaylı maliyetler de hesaplanmalıdır. Bu maliyetler arasında; etkilenen kullanıcıların açacağı tazminat davaları, iş ortaklarıyla yapılan sözleşmelerdeki gizlilik ihlali cezaları, adli bilişim incelemesi masrafları, siber güvenlik danışmanlığı ücretleri ve sistem altyapısını yenileme maliyetleri yer alır. Bütünsel bir risk analizi, siber güvenlik bütçelerinin neden bir masraf değil, kritik bir iş yatırımı olduğunu açıkça ortaya koymaktadır.

Hukuki süreçlerin takibinde, kurum avukatları ile siber güvenlik uzmanlarının koordineli çalışması esastır. Alınan tüm teknik önlemlerin (örneğin güvenlik duvarı logları, SIEM raporları, sızma testi sonuçları) yasal mercilere sunulmak üzere hazır bulundurulması, kurumun veri güvenliğini sağlamak için "gerekli idari ve teknik tedbirleri" aldığını kanıtlamasına yardımcı olur ve olası ceza oranlarında indirime gidilmesini sağlayabilir.

Veri İhlallerini Tekrarlanmadan Önlemek İçin Alınması Gereken Tedbirler

Sıfır Güven (Zero Trust) Mimarisi ve Çok Yönlü Kimlik Doğrulama (MFA)

Geleneksel ağ güvenliği modelleri, ağın dış sınırını (perimeter) korumaya odaklanır ve içerideki her kullanıcının güvenilir olduğunu varsayar. Ancak, güncel siber tehdit senaryolarında bu yaklaşım yetersiz kalmaktadır. Veri ihlallerinin tekrarlanmasını önlemek için benimsenmesi gereken modern yaklaşım, "Asla Güvenme, Her Zaman Doğrula" felsefesine dayanan Sıfır Güven (Zero Trust) mimarisidir. Bu modelde, ağın içinden veya dışından gelen her erişim talebi, kimliği doğrulanana ve yetkilendirilene kadar güvensiz kabul edilir.

Sıfır Güven mimarisinin en temel bileşenlerinden biri, sıkı bir erişim denetimi ve yetkilendirme mekanizması kurmaktır. Kullanıcılara sadece işlerini yapabilmeleri için ihtiyaç duydukları asgari yetkilerin verilmesi prensibi (Least Privilege) uygulanmalıdır. Ayrıcalıklı Erişim Yönetimi (PAM - Privileged Access Management) çözümleri kullanılarak, sistem yöneticilerinin kritik sunuculara erişimleri sürekli izlenmeli ve sınırlandırılmalıdır.

Çok yönlü kimlik doğrulama (MFA) ise artık bir seçenek değil, tüm kurumsal sistemler için zorunlu bir standart olmalıdır. MFA süreçlerinde SMS tabanlı doğrulama kodları yerine, oltalama saldırılarına karşı daha dirençli olan authenticator uygulamaları (TOTP), push bildirimleri veya FIDO2/WebAuthn uyumlu donanımsal güvenlik anahtarları tercih edilmelidir. Bu sayede, kullanıcı şifresi ele geçirilse bile saldırganın sisteme erişmesi engellenmiş olur.

Çalışan Farkındalık Eğitimleri ve Düzenli Sızma Testleri (Pentest)

Teknoloji ne kadar gelişirse gelişsin, siber güvenlik zincirinin en zayıf halkası insandır. Siber saldırganların sisteme sızmak için en sık başvurduğu yöntem, çalışanları hedef alan oltalama (phishing) ve sosyal mühendislik saldırılarıdır. Bu nedenle, organizasyon genelinde sürekli ve ölçülebilir çalışan farkındalık eğitimleri düzenlenmelidir. Çalışanlara şüpheli e-postaları nasıl tespit edecekleri, güvenli şifre oluşturma yöntemleri ve veri güvenliği politikaları uygulamalı olarak anlatılmalıdır.

Eğitimlerin başarısını ölçmek amacıyla düzenli aralıklarla simüle edilmiş oltalama (phishing) testleri gerçekleştirilmelidir. Bu testlerde başarısız olan veya şüpheli bağlantılara tıklayan çalışanlara yönelik ek eğitimler planlanmalı, ceza odaklı değil, gelişim ve farkındalık odaklı bir siber güvenlik kültürü oluşturulmalıdır.

Sistem altyapısındaki zafiyetlerin saldırganlardan önce tespit edilebilmesi için ise bağımsız ve akredite siber güvenlik firmalarına düzenli olarak sızma testi (Penetration testing / Pentest) yaptırılmalıdır. Sızma testleri; dış ağ, iç ağ, web uygulamaları ve mobil uygulamalar dahil olmak üzere tüm kurumsal varlıkları kapsamalıdır. Testler sonrasında hazırlanan teknik raporlardaki bulgular ve zafiyet derecelendirmeleri (CVSS skorları) dikkatle incelenmeli, kritik seviyedeki açıklar siber güvenlik ekipleri tarafından belirlenen sürelerde (örneğin 72 saat içinde) kapatılmalıdır.