Siber güvenlik saldırılarıyla ilgili haberlerin sayısı günden güne artırken, buna paralel olarak siber güvenlik bilinci de hızla yayılıyor. Bu önemli konu şu an dünya çapındaki üretim tesislerinde bolca konuşuluyor. Artan farkındalıkla beraber bir güvenlik programı kurmak ve güvenlik üzerine şirket içinde bir kültür oluşturmak, işçi güvenliği kadar önemli bir husus. Bu yazımızda şirketinizde güvenlik kültürü oluşturmanın önceliklerini anlatıyoruz.
Güvenlik tavrı, kurumun her köşesine taşınmalı; insan kaynaklarından muhasebeye veya mühendislik birimlerine kadar her çalışanı kapsamalıdır. Ayrıca, şirket dahilindeki her türlü girişimde olduğu gibi, yönetici teşviki kritik önem taşır.
İdari yönetim ve insan kaynakları, çalışanlar için düzenli olarak eğitim programları yürütmelidir. Çalışan eğitimine ara verilmemelidir ki siber güvenlik üzerine yaptığınız vurgu her zaman etkili ve net olarak kalsın.
Her ne kadar siber güvenlik çoğu zaman insanları, süreçleri ve teknolojileri bir araya getirerek elde edilse de, bir adım geri atmalı ve daha temel sorularla başlanmalıdır:
Fiziksel erişim konusunda ne yapmalıyız?
Çalışanlarımız fiziksel erişim hakkında ne biliyor?
Çalışanlarımız fiziksel erişim güvenliği hakkında ne biliyor?
Sosyal mühendislik içeren saldırılara karşı nasıl yeni güvenlik katmanları oluşturabiliriz?
Çalışanların yeterliliğini nasıl ölçeriz?
Siber Güvenlik Kültürünün Temel Unsurları
Güçlü bir siber güvenlik kültürü oluşturmak insanlarla başlar ve tutarlı ölçüde gayret ve zaman ister. Aşağıda sağlıklı bir siber güvenlik kültürünün gerektirdiği başlıca unsurları bulacaksınız:
1. İdari Destek – Bunun anlamı gerçek bir destek, sadece destekten bahsetmek değil. Yani şirket liderleri; bütçe ayırma, belli başlı kurumsal roller oluşturma, herkese açık destek iletişimi kurma ve hedeflere ulaşmayla gerçekten siber güvenlik için etkin bir seviyede olmalıdırlar.
2. Kurallar ve Prosedürler – Bu genelde insan kaynaklarıyla ilgilidir ve bu alandaki iyi şirketler, siber güvenlik üzerine çalışanları için net kurallar ve alışkanlıklar yürütürler. Yani, fiziki güvenlikten USB aygıtlarının kullanımına kadar her şeyin “Yapılacakları ve Yapılmayacakları” çıkarılır.
3. Eğitim – Bir kurallar kılavuzu hazırlayıp duvardaki rafa tozlanmaya bırakmak yetmez; şirketler bünyelerine çalışan eğitimi ve farkındalık programları eklemelidir. Bunlar içinde video gösterimleri, sınıf eğitimleri, web tabanlı veya diğer eğitimler de olabilir. Burada önemli olan şey, görevin işlevine göre uygun eğitimler verilmesi ve bu eğitimlerin en az yılda bir kere yenilenmesidir. Ayrıca çalışan katılımı gözlenerek, içeriğin çalışanlara ulaştığından emin olunmalıdır.
4. Sınama – Çalışan özverisini ölçtüğünüz sınavlar ve testler ciddi bir siber güvenlik kültürü yaratılabilir. Bu testler içinde ‘phishing’ egzersizleri ve diğer dahili sınavlar yer alabilir. Mesajı almada çalışan özverisini takip ederek eğitimi ve katılımı gözlemleyebilirsiniz. Ödüller, cezalar ve diğer bilgilendirmelerle çalışanları angaje edebilir ve hatta bunu eğlenceli bir şekilde bile başarabilirsiniz.
5. İletişim – Siber güvenlik sürekli biçimde şirketin konu başlıklarından biri olarak kalmalıdır. Dahili duyurular, posterler, hikayeler ve diğer bilgilendirmeler, sağlıklı bir kültürün yeşermesinde yardımcı olacaktır.
Siber güvenlik cephesinin ilk ve en önemli unsuru insanlardır. Bu konuda herkesi ortak bir paydada toplamak ve rollerini anlamalarına yardım etmekle risk düzeyini düşürecek ve şirketin büyümesine ve güçlenmesine katkı sağlayacak yeni fikirlerin özgürce gelişmesine yardımcı olacaksınız.
