Amaç ve kapsam
Bu prosedür, Kafkal Yazılım çalışanlarının ve ilgili dış tarafların görevleriyle orantılı bilgi güvenliği bilgi ve davranışlarını geliştirmek için planlama, eğitim, farkındalık iletişimi, oltalama simülasyonu, kayıt ve ölçüm adımlarını tanımlar.
Eğitim türleri ve sıklık
| Eğitim / faaliyet | Hedef grup | Asgari zamanlama |
|---|---|---|
| İşe giriş farkındalığı | Yeni çalışan ve uzun süreli dış kaynak personeli | Sistem erişimi verilmeden önce veya işe girişte |
| Bilgi güvenliği farkındalık eğitimi | Tüm personel | Asgari kontrol takvimine göre |
| Rol bazlı güvenlik eğitimi | BGYS, yazılım geliştirme, yönetim veya ayrıcalıklı erişim görevi bulunan kişiler | Göreve atamada; sonrasında ilgili konular yıllık farkındalık eğitimine dâhil edilir |
| Değişiklik / olay odaklı bilgilendirme | Etkilenen çalışanlar | Önemli tehdit, olay, politika veya teknoloji değişikliğinde |
| Oltalama simülasyonu | Onaylı kapsam içindeki personel | Asgari kontrol takvimine göre; risk sonucuna göre gerektiğinde ek test |
Olağan faaliyet sıklıkları Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takviminden uygulanır.
Yıllık planlama
BGYS Sorumlusu, asgari kontrol takvimindeki eğitim dönemi için hedef kitleyi, eğitim konularını, tarihleri, yöntemi, eğitmeni, başarı ölçütünü ve sorumluları içeren planı hazırlar. Konular; veri sınıflandırma, erişim ve parola güvenliği, sosyal mühendislik, güvenli e-posta/internet kullanımı, olay bildirimi, uzaktan çalışma, fiziksel güvenlik ve ilgili yükümlülükleri kapsar. Rol bazlı konular olağan farkındalık eğitiminin bir bölümü olarak verilebilir; ayrı bir eğitim oturumu düzenlenmesi zorunlu değildir.
Uygulama ve kayıt
Her faaliyet için eğitim adı, içerik, tarih, süre, eğitmen, davet edilen kişi sayısı, katılan benzersiz kişi sayısı, katılım listesi ve değerlendirme sonucu kaydedilir. Tamamlamayanlar için hatırlatma ve telafi eğitimi planlanır. Yıllık kişi sayısı, aynı kişinin tekrar katılımları çoğaltılmadan benzersiz çalışan olarak ayrıca raporlanır.
Phishing bildirim farkındalığı
İşe giriş ve düzenli farkındalık eğitimlerinde, şüpheli phishing (oltalama / kimlik avı) e-postalarının security@kafkal.com adresine e-posta gönderilerek gecikmeden bildirilmesi gerektiği açıklanır. Bağlantı ve eklerle etkileşime girmeme, gönderene yanıt vermeme, iletiyi mümkünse “ek olarak ilet” yöntemiyle gönderme ve varsa tıklama veya bilgi paylaşma durumunu belirtme adımları uygulamalı gösterilir. Bildirim yöntemi için Bilgi Güvenliği Olay Müdahale Planı içindeki Phishing bildirimi bölümü esas alınır. Simülasyonlarda doğru bildirim davranışı aynı kanal ve yöntem üzerinden değerlendirilir.
Oltalama simülasyonu
Simülasyon, Üst Yönetim veya yetkilendirilmiş BGYS sorumlusu onayıyla yürütülür. Kapsam, senaryo, tarih aralığı, veri minimizasyonu, başarı ölçütü ve iletişim planı önceden belirlenir.
Önceki testte hedefin karşılanmaması, önemli güvenlik olayı, tehdit veya risk seviyesinde artış ya da yasal/sözleşmesel yükümlülük oluşması halinde aynı yıl içinde ek simülasyon planlanır.
- Gerçek parola, çok faktörlü doğrulama kodu, kişisel veri veya ödeme bilgisi toplanmaz.
- Zararlı ek, çalıştırılabilir dosya veya gerçek hizmeti taklit eden yetkisiz alan adı kullanılmaz.
- Sonuçlar cezalandırma amacıyla değil, eğitim ihtiyacını belirlemek için kullanılır.
- Bireysel sonuçlara yalnızca görev gereği yetkili kişiler erişir; yönetime toplulaştırılmış sonuç sunulur.
- Test sonrasında katılımcıya işaretler, doğru davranış ve bildirim kanalı açıklanır.
Asgari ölçümler: kapsanan/teslim edilen kişi sayısı, etkileşim/tıklama oranı, doğru bildirim oranı ve test sonucunda alınan eğitim veya kontrol aksiyonudur. İki kişilik ekipte istatistiksel karşılaştırma zorunlu değildir; ek ölçüm yalnızca güvenilir ve karar vermede yararlıysa tutulur.
Etkinlik ve iyileştirme
Eğitim tamamlama oranı, sınav/uygulama başarısı, eğitim alan benzersiz kişi sayısı, olay bildirim eğilimi ve oltalama simülasyonu sonuçları asgari kontrol takvimindeki BGYS durum değerlendirmesinde ele alınır. Hedefin altında kalan birimler için telafi eğitimi, hedefli iletişim veya kontrol iyileştirmesi açılır; sonuçlar yönetimin gözden geçirmesine sunulur.