SecurityWeek, güvenlik farkındalığı eğitiminin hâlâ yararlı olduğu, ancak çalışanın bağlamıyla veya karar verme anıyla bağlantılı olmayan genel bir yıllık uyum kursuna dönüştüğünde başarısız olduğu sonucuna varıyor. Yapay zekâ destekli kimlik avı ve sosyal mühendislik geliştikçe, tekrarlanan davranış eğitimleri teknik kontroller, kimlik güvenliği ve bildirim ile doğrulama prosedürleriyle birleştirilmelidir.
Güvenlik farkındalığı eğitiminin değeri ortadan kalkmıyor, ancak sunulma biçiminin geleneksel yöntemi, hızla değişen ve yapay zekâdan yararlanan sosyal mühendislik saldırıları karşısında artık yeterli değil. Bu, SecurityWeek tarafından güvenlik uzmanlarının ve bilişsel psikoloji alanında çalışan bir bilim insanının görüşlerine başvurularak yayımlanan bir analizin temel sonucu.
Eğitim genellikle çalışanların onları içeriden gelen bir tehdide dönüştürebilecek hatalarını azaltmaya ve kimlik avı mesajları ile manipülasyon yöntemlerine karşı koymalarına yardımcı olmaya odaklanıyor. Ancak eğitim programlarının yaygınlaşmasına rağmen saldırıların başarılı olmaya devam etmesi, bu programların gerçekten davranışı değiştirip değiştirmediği veya yalnızca gerekli bir kursun tamamlandığını kanıtlamakla yetinip yetinmediği sorusunu gündeme getiriyor.
Eğitimden yalnızca gereklilikleri karşılamaya
Malwarebytes'tan Stefan Dasic, birçok programın uygulanma biçimleri nedeniyle başarısız olduğunu düşünüyor; bu programlar o kadar tekrarlı ve genel ki anlamsız görünmeye başlıyor. Diğer uzmanlar da uyum ve sigorta gerekliliklerinin kurumları, önceki bilgileri veya karşılaştıkları risklerin niteliğinden bağımsız olarak aynı içeriği her yıl tüm çalışanlara yeniden sunmaya ittiğini belirtiyor.
Bu uygulama, davranışta benzer bir değişiklik yaratmadan yüksek tamamlama oranları üretebilir. Ayrıca uyuma odaklanmak, gerekli asgari düzeyi geliştirilebilecek bir temel olarak görmek yerine nihai hedefe dönüştürebilir. Analizde yer alan görüşlere göre genel kurslar, modern sosyal mühendislik yöntemlerini veya yapay zekâ kullanan saldırıları her zaman yansıtmıyor.
Pratikte ne değişiyor?
Eğitim, çalışanı belirli bir duruma hazırladığında işe yarar; ancak saldırganlar yöntemlerini sürekli değiştiriyor. Bu nedenle uzmanlar, eğitimin daha sık tekrarlanmasını, çalışanın rolüne daha yakın olmasını ve bir mesajdan veya alışılmadık bir talepten şüphelenildiğinde ne yapılması gerektiğine dair açık yönergeler içermesini öneriyor. Buna yalnızca kimlik avı işaretlerini tanımak değil, bildirimde bulunmak veya doğrulama yapmak da dahil.
Katılımcılar, eğitimin tek savunma hattı olamayacağını vurguluyor. Eğitim; kimlik koruması, çok faktörlü kimlik doğrulama, teknik kontroller ve açık doğrulama prosedürlerini içeren modern bir güvenlik mimarisiyle desteklenmeli. İyi sistem tasarımı, çalışanı her saldırıyı durdurma sorumluluğuyla baş başa bırakmak yerine insan hatası olasılığını hesaba katar.
Görev, daha ikna edici ve kişiselleştirilmiş mesajlar üreten saldırıların yanı sıra ses klonlama ve kısa mesajlar, WhatsApp ve mesajlaşma uygulamaları gibi mobil kanalların kullanılmasıyla daha da zorlaşıyor. Analiz, Hoxhunt'tan Mike Aalto'nun yapay zekâ tarafından oluşturulan kimlik avında 2025'ten 2026'ya geçerken 14 kat artış yaşandığı yönündeki tahminini aktarıyor. Buna göre tamamen yeni taktiklerin ortaya çıkmasından ziyade eski yöntemler geliştiriliyor.
Ezberden çok davranış ve bağlam
İçerik, simüle edilmiş kimlik avı eğitiminin tuzağa düşme oranlarını geçici olarak azaltabileceğini, ancak bu etkinin birkaç ay içinde ortadan kalkabileceğini belirtiyor. Bu nedenle bazı uzmanlar, tehditleri bildirmek ve çok faktörlü kimlik doğrulama kullanmak gibi ölçülebilir eylemlerin sınırlı bir sayısına odaklanan sürekli davranış eğitimini ve uygun bağlamda sunulan müdahale ile hatırlatmaları öneriyor.
Görüşlerden biri, güvenlik farkındalığını dijital reklamlara benzetiyor: Aynı mesajı herkese aynı anda göndermek yerine farkındalık çalışmaları, çalışanın belirli bir karar veya riskle karşılaştığı anda ulaşacak şekilde tasarlanabilir. Buradaki amaç çalışanı en zayıf halka olarak görmek değil, onu izleme ve müdahale sisteminin etkin bir parçası hâline getirmek.
Hafızanın ve öngörünün sınırları
Humanix'te bilişsel psikolog ve University of New South Wales'te yardımcı doçent olan Jordan Richard Schoenherr, eğitimin zorluğunu unutmanın hafızanın varsayılan durumu olması ve bunun hızla gerçekleşmesiyle açıklıyor. Bilgiyi hatırlamak bile onun ne zaman ve nasıl kullanılacağını bilmeyi garanti etmiyor. Bu nedenle öğrenme, karar anında bilgiyi yeniden etkinleştiren davranışsal tetikleyicilerin yanı sıra tekrarlanan güncellemelere ihtiyaç duyuyor.
Ancak çalışanlara bilinen kalıpları tanımayı öğretmek ek bir risk taşıyor: Çalışanlar yazım hatalarının veya geleneksel işaretlerin bulunmamasını, mesajın meşru olduğunun kanıtı olarak yorumlayabilir; oysa bu doğru değil. Ayrıca bugün verilen eğitim yeni değişkenlerin ortaya çıkmasıyla eskiyebilir. Bu da geleceğe ilişkin tek bir tahmine güvenmektense birden fazla senaryo oluşturmayı ve derin belirsizlik altında karar almayı daha yararlı kılıyor.
certi.news'in editoryal değerlendirmesi: Gerçek değişim eğitimi ortadan kaldırmak değil, onu davranışı ölçen ve teknolojiyle destekleyen yıllık bir uyum programından sürekli bir operasyonel yetkinliğe dönüştürmek. Bununla birlikte içerik, tek bir modelin sorunu çözdüğünü kanıtlamıyor; uzmanlar, risklerin asimetrisi, saldırıların hızı ve insan hafızasının karmaşıklığı karşısında eğitimin sınırlı kalacağını kabul ediyor. Bu nedenle açık sorular, davranışsal değişimin nasıl ölçüleceği, ne kadar süre devam edeceği ve kurumların eğitimi saldırganların uyum sağlama hızından daha hızlı güncelleyip güncelleyemeyeceğiyle bağlantılı olmaya devam ediyor.