Bilgi Güvenliği: Kurumsal Riskler ve Çalışan Farkındalığı

Bilgi güvenliği, bir kurumun bilgisayarlarında, belgelerinde ve görüşmelerinde yer alan bilgiyi uygun kişilerle, doğru biçimde ve gerektiğinde kullanılabilir durumda tutmak için yürüttüğü çalışmaları kapsar. Bir müşteri dosyası kadar toplantıda konuşulan bir karar, ekranda açık kalan teklif ve basılı bir sözleşme de korunması gereken bilgi olabilir.

Teknik Elektronik Arama (TEA) tarafından hazırlanan bu sayfada temel kavramları ve ücretsiz bilgi güvenliği farkındalık eğitimini bulabilirsiniz. Çalışanlar, yöneticiler ve iş ortakları içeriği kendi görevleri ve kurumlarının onaylı süreçleriyle birlikte kullanabilir.

Bu sayfada: Temel ilkeler · ISO 27001 ve BGYS · Ücretsiz web eğitimi · TSCM ilişkisi · Kontrol listesi · Mini değerlendirme · Kurumsal eğitim · Kaynaklar

Bilgi güvenliği nedir, hangi bilgileri kapsar?

Bilgi; müşteri kayıtları, fiyatlar, çalışan ve tedarikçi bilgileri, proje dokümanları, strateji ve ticari sırlar gibi farklı biçimlerde bulunabilir. E-posta, bulut dosyası, ekran görüntüsü, sesli görüşme ve basılı evrak aynı işin farklı bilgi taşıyıcılarıdır.

Koruma ihtiyacını belirlerken “Bu bilgi kimlerin işi için gerekli?”, “Yanlış kişiye ulaşırsa ne olur?” ve “Yanlış değiştirilirse veya erişilemezse hangi iş etkilenir?” sorularını birlikte değerlendirin. Kurumunuzun sınıflandırma, erişim ve saklama kuralları günlük kararların temelini oluşturur.

Gizlilik, bütünlük ve erişilebilirlik

Bilgi güvenliğinin temel ilkeleri gizlilik, bütünlük ve erişilebilirliktir:

  • Gizlilik: Bilgiye yalnızca yetkili kişilerin uygun koşullarda erişmesi.
  • Bütünlük: Bilginin doğruluğunun ve tamlığının korunması; değişikliklerin yetkili süreçle yapılması.
  • Erişilebilirlik: Yetkili kişilerin ihtiyaç duyduklarında bilgiye ve ilgili kaynaklara ulaşabilmesi.

Kurgusal bir işyeri örneğinde müşteri teklifinin yanlış alıcıya gönderilmesi gizlilik, tutarın izinsiz değiştirilmesi bütünlük, dosyanın gerektiğinde açılamaması erişilebilirlik sorunudur. Aynı belge için üç farklı koruma ihtiyacı bulunabilir.

Bilgi güvenliği, siber güvenlik ve fiziksel güvenlik

Hesaplar ve dijital sistemler için alınan önlemler, bilginin korunmasının bir bölümüdür. Basılı evrak, ziyaretçi erişimi, ekranların görünürlüğü ve hassas konuşmaların yapıldığı ortam da değerlendirilmelidir. Güvenlik duvarı veya EDR gibi dijital önlemlerin bulunması, her fiziksel ya da elektronik gözetim riskinin ayrıca incelendiğini göstermez.

Rollerin ve farklı güvenlik çalışmalarının nasıl birlikte planlanabileceğini Entegre Güvenlik sayfasında inceleyebilirsiniz. Bu sayfanın odağı, bilgiyi kullanan kişilerin günlük kararları ve temel farkındalıktır.

ISO 27001 ve bilgi güvenliği yönetim sistemi (BGYS)

ISO/IEC 27001:2022, bilgi güvenliği yönetim sistemi için gereklilikleri tanımlar. BGYS yaklaşımında riskler, sorumluluklar, süreçler ve iyileştirme çalışmaları kurumun yapısıyla birlikte ele alınır. ISO/IEC 27002:2022 ise bilgi güvenliği kontrolleri konusunda rehberlik sunar.

Bu sayfadaki ISO 27001 farkındalık eğitimi, çalışanların günlük uygulamaları anlaması için bir başlangıç içeriğidir. Kurumun politikaları ve risk değerlendirmesiyle uyarlanmalıdır. Eğitimi okumak tek başına standart uygunluğu, denetim sonucu veya belgelendirme sağlamaz.

Ücretsiz bilgi güvenliği farkındalık eğitimi

Hedef kitle: Çalışanlar, yöneticiler ve iş ortakları. Önerilen çalışma süresi: 25–35 dakika; bu bir planlama tahminidir, okuma ve grup tartışmasına göre değişir.

Eğitim sonunda korunacak bilgiyi tanımlamanız, paylaşım yetkisini sorgulamanız, yaygın oltalama ve erişim risklerini fark etmeniz ve bir şüpheyi doğru sorumluya iletmeniz amaçlanır. Örnekler eğitim için oluşturulmuş kurgusal durumlardır. Gerçek müşteri belgeleri veya olay ayrıntılarıyla çalışmanız gerekmez.

1. Bilgiyi sınıflandırın ve doğru paylaşın

Kurumun bilgi sınıflandırma ve etiketleme kurallarını öğrenin. Bir dosyanın size ulaşmış olması, onu istediğiniz kişiye iletme yetkisi vermez. Paylaşmadan önce alıcı adresini, eki, erişim yetkisini ve bağlantının kimlere açık olduğunu kontrol edin. Hassas bilgi için kurumun onayladığı kanalı kullanın; gereksiz çıktı ve kopya oluşturmayın.

Kısa uygulama: Bir tedarikçiye fiyat dosyası göndereceksiniz. Dosyada başka müşterilerin bilgileri de varsa, paylaşmadan önce ilgili sorumluya uygun sürümü ve alıcı yetkisini sorun. Yalnızca dosya adına bakarak uygun olduğuna karar vermeyin.

2. Oltalama ve sosyal mühendislik işaretlerini değerlendirin

Beklenmedik bağlantı, dosya eki, QR kod veya giriş talebinde durup kaynağı kontrol edin. “Yönetici acil istiyor” ya da “hesabınız kapanacak” gibi baskı ifadeleri, işlemi doğrulama ihtiyacını ortadan kaldırmaz. Para veya hassas veri taleplerini, mesajda verilen iletişim bilgisi yerine kurumunuzun bildiği bağımsız kanal üzerinden doğrulayın.

Kısa uygulama: Bir yönetici adına ödeme bilgisi değişikliği isteniyor. Mesajın imzası tanıdık olsa da talebi bilinen yetkili kanal üzerinden kontrol edin. Şüpheli mesajı kurumunuzun bildirim sürecine göre iletin; geniş gruplara yaymayın.

3. Parola, MFA ve erişim bilgilerini koruyun

Farklı hizmetlerde benzersiz ve güçlü parolalar kullanın. Parola yöneticisi kullanılacaksa kurumunuzun onayladığı çözümü ve kullanım kurallarını izleyin. Desteklenen ve kurumca uygun görülen hesaplarda çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin. Parolanızı ve doğrulama kodlarınızı başka kişilerle paylaşmayın; başlatmadığınız giriş isteğini onaylamayın.

Hesap, erişim kartı ve açık oturum kişiye verilmiş yetkiyi temsil eder. Başkasına kullandırmayın. Göreviniz değiştiğinde veya erişim ihtiyacınız bittiğinde ilgili yetkinin gözden geçirilmesini kurumun süreciyle talep edin.

4. Cihaz, ekran ve evrak güvenliğini günlük işe katın

Çalışma alanından ayrılırken ekranı kilitleyin. Hassas evrakı ve taşınabilir medyayı kurumun saklama koşullarına göre kaldırın. Temiz masa ve temiz ekran uygulaması, ilgisiz kişilerin bilgiye tesadüfen erişmesini azaltmaya yardımcı olur.

Yalnızca kurumca onaylı yazılım ve cihazları kullanın. Güncelleme ve yedekleme sorumluluğunun kimde olduğunu öğrenin; kurumsal sistemlerde kendi başınıza ayar değiştirmek yerine yetkili süreci izleyin. Kaynağı bilinmeyen USB belleği veya aksesuarı denemek için bilgisayara bağlamayın. Kayıp ya da çalıntı cihazı geciktirmeden bildirin.

5. Uzaktan çalışma ve toplantılarda bilgi paylaşımını sınırlayın

Görüşmeye kimlerin katıldığını, kayıt durumunu ve paylaşılacak içeriği toplantı sorumlusuyla netleştirin. Ekran paylaşırken gereken pencereyi seçin; ilgisiz dosya ve bildirimleri görünümden kaldırın. Ortak alanda hassas konuşmaların çevreden duyulabileceğini hesaba katın.

Otel, araç ve dış toplantı alanlarında da bilginin nerede ve kimlerle paylaşıldığını değerlendirin. Belirli bir görüşmenin alan erişimi ve teknik inceleme zamanlaması için Toplantı Güvenliği ve TSCM sayfasına bakabilirsiniz. Günlük toplantı, seyahat ve ziyaretçi alıştırmaları Güvenlik Farkındalık Eğitimi sayfasında ayrı modüller olarak bulunur.

6. Olayı doğru kanala bildirin

Şüpheli e-posta, kayıp cihaz, açıklanamayan erişim veya alışılmadık elektronik nesne fark ettiğinizde kurumunuzun bilgi güvenliği ya da fiziksel güvenlik bildirim kanalını kullanın. Doğrudan gözlediğiniz şeyi, zamanı ve yeri belirtin; yorumunuzu gözleminizden ayırın.

Şüpheli nesneyi açmayın, sökmeyin veya başka sisteme bağlamayın. Dijital olaya kendi başınıza müdahale etmek yerine yetkili ekibin yönlendirmesini izleyin. Kanıtın korunması ve inceleme sorumluluğu ilgili yetkili süreçte ele alınır.

Küçük grup çalışması: “İlk başvuru rolü”, “onaylı bildirim kanalı” ve “ulaşılamazsa ikinci başvuru yolu” başlıklarını kurum içinde doldurun. Gerçek kişi ve iletişim bilgilerini bu web sayfasına göndermeniz gerekmez.

TSCM bilgi güvenliğinin neresindedir?

TSCM, teknik elektronik arama ve teknik gözetim karşı tedbirleriyle ilgili uzmanlık alanıdır. Hassas konuşmaların veya görüntülerin yetkisiz toplanmasına ilişkin sorular, bilginin korunması açısından ayrıca ele alınabilir. Fiziksel kontrol, RF incelemesi ve uygun elektronik değerlendirmelerin seçimi gerçek risk, erişim ve yetkilendirmeye bağlıdır.

Yönetim kurulu, birleşme–satın alma, hukuk veya Ar-Ge görüşmeleri gibi hassas alanlarda ihtiyaç değerlendirmesi yapılabilir. Bu örnekler her kurum için aynı işlemin gerekli olduğu anlamına gelmez. Kartlı geçiş veya CCTV bulunması da bir alanın bütün teknik gözetim risklerinin incelendiğini göstermez.

Türkiye’de böcek arama ve böcek tarama olarak da araştırılan ses kaydı ihtiyacının ticari kapsamı Dinleme Cihazı Tespiti sayfasındadır. Görüntülü gözetim soruları için Gizli Kamera Tespiti ayrı bir hizmet başlığıdır. Eğitim, bu teknik çalışmaların yerine geçmez.

Temel teknik çerçeveyi Teknik Elektronik Arama ve TSCM içeriğinde, kısaltmaları Terminoloji Merkezi içinde inceleyebilirsiniz. Bir bulgunun doğrulanması ve sonuçların aktarılması, kararlaştırılmış inceleme kapsamıyla değerlendirilir; tek bir tarama bütün tehditleri kesin olarak dışlamaz.

Günlük bilgi güvenliği kontrol listesi

  • Paylaşmadan önce bilginin niteliğini, alıcıyı ve erişim yetkisini kontrol edin.
  • Ekranınızı kilitleyin; evrak ve taşınabilir medyayı uygun yerde tutun.
  • Beklenmedik mesaj, bağlantı ve talepleri bilinen kanaldan doğrulayın.
  • Hesap, kart ve doğrulama bilgilerinizi başka kişilere vermeyin.
  • Hassas görüşme için ortamı, katılımcıları ve paylaşılacak ekranı değerlendirin.
  • Şüpheli bir durumda kendi yetki sınırınızı koruyarak doğru kanala bildirin.

Mini değerlendirme

  1. Toplantıda sözlü paylaşılan ticari sır da korunması gereken bilgi midir?
  2. BT ekibinden geldiğini söyleyen biri istediğinde MFA kodunu paylaşmalı mısınız?
  3. EDR bulunması, toplantı odasındaki bütün elektronik gözetim risklerini dışlar mı?
  4. Şüpheli bir elektronik nesneyi kendi başınıza açıp incelemeli misiniz?
  5. Şüpheli e-postayı kurumun tanımladığı kanala bildirmeli misiniz?
Yanıtlar ve açıklamalar
  1. Evet. Bilgi konuşma, belge veya dijital kayıt biçiminde bulunabilir.
  2. Hayır. Kimlik doğrulama bilgisini paylaşmayın; talebi kurumun bilinen destek kanalıyla kontrol edin.
  3. Hayır. Dijital güvenlik önlemi ile fiziksel ortamın teknik değerlendirmesi farklı kapsamlardır.
  4. Hayır. Yetkili bildirim ve inceleme sürecini izleyin.
  5. Evet. Kurumun belirlediği yöntemle ve gerekli bilgilerle bildirin.

Bu çalışma kendinizi değerlendirmek içindir; sertifika veya mesleki yeterlilik sınavı değildir. Sonraki adım olarak ekibinizle kendi bildirim kanalınızı ve paylaşım kurallarınızı doğrulayın.

Kurumlara özel bilgi güvenliği farkındalık eğitimi

Ücretsiz web içeriğinin yanında kurumlara yönelik ücretli çalışan bilgi güvenliği eğitimi için kapsam görüşmesi yapabilirsiniz. Çalışanların görevleri, öncelikli riskler ve kurumun mevcut politikaları, kullanılacak örnekleri ve öğrenme hedeflerini belirlemeye yardımcı olur.

Eğitim talebinizde hedef kitleyi, yaklaşık katılımcı sayısını, öncelikli konuları ve beklenen öğrenme sonucunu belirtin. Süre, sunum biçimi, materyaller ve ücret gerçek kapsam üzerinden görüşülür. İlk e-postada hassas kurum belgesi veya yaşanmış olay ayrıntısı göndermeniz gerekmez.

Kurumsal eğitim için e-posta ile bilgi alın.

Kaynaklar ve kapsam notu

Bu metin, kullanıcı tarafından hazırlanan TEA bilgi güvenliği eğitim içeriğinden geliştirilmiştir. Eğitim örnekleri TEA için oluşturulmuştur; bir kurumla ortaklık, akreditasyon veya belgelendirme iddiası taşımaz.

Kaynak kontrolü: 4 Kasım 2026. Bu metin ISO standart metnini yeniden yayımlamaz; tek tek Ek A kontrollerinin tamamının karşılandığına dair uygunluk değerlendirmesi değildir.