Bilgi güvenliği farkındalığı konusunda gerçekleştirmiş olduğumuz Farkındalık Anketi sonuçları ile karşınızdayız. Anketimize katılım sağlayan yüzden fazla kurum çalışanı ve NETSEC üyelerine teşekkürlerimizi sunarız.
Farkındalık Anketi katılımcılardan ad, soyad veya benzeri hiçbir kişisel veya kurumsal bilgi talep edilmeyerek tamamiyle anonim bir şekilde yapıldı. Toplamda altı sorudan oluşan ve kurum çalışanlarının bilgi güvenliği farkındalığını ortaya çıkarma amacı ile gerçekleştirilen anketimizin sonuçları aşağıdaki gibi ortaya çıkmıştır.
Bu yazımızda, kurumsal siber güvenlik farkındalık programlarının yaygınlığını, etkinliğini ve bileşenlerinin durumunu elde ettiğimiz istatistiklerle paylaşıyoruz.
Farkındalık anketimizin birinci sorusunda katılımcılarımıza “Kurumunuzda düzenli işleyen bir Siber Güvenlik Farkındalık Programı var mı?” sorusu yönetildi. Bu soru ile kurum çalışanlarının bilgi güvenliği farkındalığını ölçme noktasında uygulama kullanımı ortaya konulmuştur.
Bu soruya verilen cevaplara göre kurumların %65’lik bir kısmında büyük bir oranla “Siber Güvenlik Farkındalık Programı” kullanmadığını görüyoruz. “Evet kullanıyoruz” cevabını verenlerin ise %35’lik küçük bir dilimde olduğu dikkatimizi çekmektedir. Sorumuza verilen cevaplara göre kurumlarımızın “Siber Güvenlik Farkındalık” programları kullanarak çalışanları için bilinç oluşturabileceklerini ve siber saldırılara karşı en zayıf halka olan “insan faktörünü” bilinçlendirmemiz gerektiğinin altını çizmek istiyoruz.
Anketimizin ikinci sorusunda katılımcılarımıza “Son kullanıcı farkındalığını ölçmek için kullandığınız araç ve yöntemler nelerdir?” sorusu yöneltilerek araç ve yöntemler konusundaki durum ortaya çıkartılmak istenildi.
İkinci sorumuza gelen yanıtlara göre, %37 oran ile “Oltalama kampanyaları” cevabı verilmiştir. Bu cevaba göre kurumların son kullanıcı farkındalığını “oltalama kampanyaları” düzenleyerek artırmaya çalıştıklarını göstermektedir. Diğer bir yandan %35 oranında “Maruz kaldıkları başarılı siber saldırılar” ile son kullanıcı farkındalığının ölçüldüğünü görmekteyiz. Büyük bir oranla bu cevabın verilmesi, kurum çalışanlarının bilgi güvenliği farkındalığının artırılması gerektiği ortaya çıkmaktadır.
Üçüncü sorumuzda katılımcılarımıza “Bir bilgi güvenliği ihlali olduğunu düşündüğünüzde bu ihlali kime bildirirsiniz?” sorusunu yönelterek çalışanların siber saldırılar karşısındaki davranışları ölçülmek istenmiştir.
Anketimizin üçüncü sorusuna verilen cevaplarda %59 oranında “Çalıştığım firmanın IT veya güvenlik birimlerine iletirim” cevabı ön plana çıkmıştır. Çalışanların bir siber saldırıyı algıladıkları takdirde ilk olarak doğru bir tepki verdiklerini ve kurumun IT veya Güvenlik birimlerine bu saldırıyı ilettikleri ortaya çıkmıştır.
Bu noktada çalışanlarımızın bilgi güvenliği farkındalığını artırarak siber saldırıları daha net görebilmeleri sağlanırsa, kurum güvenliğinin o derecede artacağını ön görebiliriz. Sorumuzun cevaplarına göre siber saldırılara karşı daha etkili savunma için çalışanlar için bilgi güvenliği farkındalığı oluşturan uygulamalar ön plana çıkmaktadır.
Yanıtlar arasında %28 oranında “Kendim çözmeye çalışırım olmazsa, IT veya Bilgi Güvenliği birimlerine iletirim” cevabı dikkatimizi çekmektedir. Çalışanlarımıza uzman olmadıkları konularda vakit kaybetmeden özellikle de riskli sektörlerde direk olarak siber saldırıları çözmeye çalışmak yerine IT ve Güvenlik birimlerine iletilmesi gerekliliğini ve bu bilincini aşılamakta zorlandığımızı söyleyebiliriz.
Farkındalık anketimizin dördüncü sorusunda katılımcılarımıza “Kurumunuz kullanıcıların şirket dışında olduğu durumlarda, güvenli internet erişimi için size erişim seçenekleri sunuyor mu?” sorusu yönetildi. Bu soru ile kurumların IT veya Güvenlik departmanlarının korumakla yükümlü oldukları noktalarda davranışları ölçülmek istenmiştir.
Anketimizin bu sorusunda kurumların IT ve Güvenlik birimlerinin, çalışanlar için gerekli olan güvenlik ihtiyaçlarını büyük bir oranda karşıladıklarını söyleyebiliriz. Bu soruya %57 oranında “SSL – VPN veriyor” cevabı verilerek, birçok kurumun bilinçli davrandığını göstermektedir. Ancak %36 oranında “Hayır sunmuyor” cevabı ile bazı kurumların siber saldırılara karşı doğru bir savunma gerçekleştiremediğini ya da kullanıcıların bundan haberdar olmadığını ön plana çıkartmaktadır.
Anketimizin beşinci bölümünde “Siber güvenlik farkındalığı programınız, eğitimin yanı sıra davranış değişikliği yaratacak materyaller sunuyor mu?” sorusu katılımcılarımıza yöneltilmiştir.
<>Beşinci sorumuzda %59 oranında “Hayır” cevabı ön plana çıkmaktadır. Eğitimin her zaman beklenen sonuçları doğurmadığı, eğitimli kişilerin risklerden kaçınamadığı ciddi bir gerçektir, bu noktada kullanıcıların davranışlarına yansıyacak, onları risk anında doğru eylemi gerçekleştirmeleri için refleks kazandıracak oyunlara yönlendirmek en faydalı eğitim şekli olacaktır.. Sorumuza %32 oranında “oltalama kampanyaları” cevabı ikinci sırada gelmekte ve kullanıcılara dikkat, beceri kazandıracak çalışmaların yapıldığı dikkatimizi çekmektedir.
Anket sonuçları da gösteriyor ki, insan, süreç ve teknoloji odaklı bütüncül siber güvenlik farkındalık programları kurumlar için en gerçekçi ihtiyaç.
Ücretsiz kullanabileceğiniz veya ticari desteği olan birçok bilgi güvenliği farkındalık platformları ile son kullanıcılarınızın farkındalık seviyesini ölçmek ve iyileştirmek için oltalama kampanyaları düzenleyebilir, sınav,anket oyun, interaktif eğitimler uygulayabilirsiniz.
Anketimizin son sorusunda katılımcılarımıza “Oltalama saldırılarına karşı e-posta servisinizi ne sıklıkla test ediyorsunuz?” sorusu yöneltilerek, çalışanların yanı sıra, kurumum mevcut güvenlik cihazları ve yazılımlarının da aktif olarak başarısının ölçülmesi konusundaki durumun ortaya çıkartılması amaçlanmıştır.
Sorumuza gelen yanıtlarda %47 oranında “Test ettirmiyoruz” cevabı verilerek ön plana çıkmıştır. Bu noktada maalesef ki kurumlarımızın güvenlik cihazlarının başarısını ölçmediği / ölçemediğini görmekteyiz.
E-posta Tehdit Simülasyonu veya benzeri birçok uygulama ile e-posta servisinizi ve onu korumakla yükümlü güvenlik cihazlarınızı (antispam,antivirus vb.) test edebilir ve koruyucu önlemler alabilirsiniz.
Yanıtlarda %33 oranında “Sızma testlerinde baktırıyoruz” cevabı verilmiş ve güvenlik yazılımları ile güvenlik cihazlarının bizleri ne kadar koruduğu sorusunun cevabının yalnızca sızma testlerinde ölçüldüğünü göstermektedir. Yine sorumuza gelen cevaplar arasında %20 oranında “Yeni tehditler çıktıkça” seçeneği işaretlenerek, güvenlik cihazlarımızın başarısının siber saldırılarla ölçülmeye çalışıldığını görüyoruz.
Anket sonuçlarımızdan sonra kurumlarımızın muhakkak ki bilgi güvenliği farkındalık konusunda doğru alanlarda doğru ürünlere yatırımlar yapmaları gerektiği ortaya çıkmıştır. Siz değerli okuyucularımıza bu noktada Bilgi Güvenliği Farkındalık Çözümü olarak farkındalık uygulamalarını tavsiye ediyoruz.
Farkındalık uygulamaları çalışanlarınızın bilgi düzeyini ölçmek için yüzden fazla senaryo barındırmaktadır. Kurumların hassas verilerini ve kullanıcı yetkilerini ele geçirmek isteyen siber suçlulara karşı, IT ve Güvenlik yöneticileri için özel raporlar oluşturarak savunma sistemlerinin test edilmesini sağlayan farkındalık uygulamaları, hedef odaklı saldırılara karşı ciddi oranda başarı sağlar.
Farkındalık uygulamaları ile birbirinden farklı yüzlerce senaryo kullanarak kurum çalışanlarınız için oltalama testleri gerçekleştirebilir, her departman için ayrı kampanyalar yapabilirsiniz. Yapılan her oltalama testi sonucu detaylı olarak raporlanarak zaafiyetleriniz için aksiyon almanıza olanak sağlanır. Ayrıca kurumunuzda kullanmış olduğunuz e-posta güvenlik yazılımlarının / cihazlarının başarısını ölçebilir, yapmış olduğunuz yatırımların da geri dönüşü noktasında özel raporlar alabilirsiniz.
Anketimize katılan ve paylaşımları ile destek olan tüm arkadaşlarımıza ve takipçilerimize teşekkürlerimizi sunarız.