Eğitim ve Farkındalık Kanıtı: Denetimde Neler Kabul Görür?

İmzalı katılım listesi, kişinin o gün salonda oturduğunu gösterir. Politikayı bildiğini ya da bilgi güvenliği rolünü yerine getirebildiğini göstermez. Eğitim kayıtları bu yüzden denetim hazırlığında en kolay toplanan, ama en sık zayıf bulunan kanıtlardır. Aşağıda ISO/IEC 27001’in yetkinlik ve farkındalık gerekliliklerini ayırıp hangi kaydın denetimde gerçekten kanıt değeri taşıdığını, BGYS sorumluları ve İK ekipleri için anlatıyoruz.

Yetkinlik ve farkındalık gerekliliklerinin farkı

ISO/IEC 27001:2022’de iki ayrı madde var. Madde 7.2 (Yetkinlik), bilgi güvenliği performansını etkileyen işleri yapan kişiler için gerekli yetkinliğin belirlenmesini, kişilerin bu yetkinliğe sahip olmasının sağlanmasını, gerektiğinde yetkinlik kazandırmak için faaliyet yapılıp etkinliğinin değerlendirilmesini ve yetkinliğin kanıtı olarak dokümante edilmiş bilginin saklanmasını ister. Madde 7.3 (Farkındalık) ise kuruluş adına çalışan herkesin bilgi güvenliği politikasını, BGYS’nin etkinliğine kendi katkısını ve uygunsuzluğun sonuçlarını bilmesini ister. Ek A’daki A.6.3 (Bilgi güvenliği farkındalığı, eğitimi ve öğretimi) bu iki maddeyi kontrol düzeyinde tamamlar.

Gereklilik	Kimi kapsar	Güçlü kanıt	Zayıf kanıt
7.2 Yetkinlik	BGYS’yi etkileyen roller	Rol tanımı, yetkinlik değerlendirmesi, eğitim ve etkinlik kaydı	Yalnızca sertifika kopyası
7.3 Farkındalık	Kuruluş adına çalışan herkes	Tamamlama raporu, ölçme sonucu, görüşmede doğru yanıt	Toplantı fotoğrafı, imza listesi
A.6.3 Eğitim	Personel ve ilgili taraflar	Yıllık plan, rol bazlı içerik, güncelleme kaydı	Tarihsiz sunum dosyası

Bu ayrım kanıt stratejisini belirler. Farkındalık geniş kitleye yöneliktir ve ölçülebilir olmalıdır. Yetkinlik ise rol bazında tanımlanır, kişi bazında değerlendirilir. İkisini aynı katılım listesiyle kanıtlamaya çalışmak, sahada en sık gördüğümüz hatadır.

Rol bazlı eğitim matrisi

Eğitim matrisi hangi rolün hangi eğitimi ne sıklıkla alacağını ve etkinliğin nasıl ölçüleceğini tek tabloda gösterir. Denetçi matrisi tasarım kanıtı, kişi bazındaki kayıtları işletim kanıtı olarak kullanır. Aşağıdaki tablo örnek bir başlangıç yapısıdır:

Rol	Eğitim / yetkinlik	Örnek sıklık	Etkinlik ölçümü
Tüm personel	Politika, olay bildirimi, oltalama	İşe girişte ve yıllık	Sınav, simülasyon sonucu
Sistem ve ağ yöneticileri	Güvenli yapılandırma, ayrıcalıklı erişim, yedekleme	Yıllık + teknoloji değişikliğinde	Uygulamalı görev, denetim bulgusu trendi
Yazılım geliştiriciler	Güvenli kodlama	Yıllık	Kod inceleme bulguları
İK	İşe giriş ve çıkış güvenliği, kişisel veri	Yıllık	Süreç örneklemi
Yöneticiler	Risk sahipliği, erişim onayı sorumluluğu	Yıllık	Erişim gözden geçirme kalitesi

Matrisin her satırı kuruluşun rol ve sorumluluk tanımlarına bağlanmalı. Yöneticiler satırı göründüğünden daha önemlidir: erişim gözden geçirmesinde onay veren yönetici bu sorumluluğu bilmiyorsa, erişim gözden geçirme kanıtı yazısında anlattığımız formalite riski doğrudan büyür. Fiziksel güvenlik ve işe giriş kontrolleriyle ilişkisi için Annex A insan ve fiziksel kontroller rehberine bakın.

Katılım listesinin ötesinde: etkinlik kanıtı

Madde 7.2, yetkinlik kazandırmak için faaliyet yapıldığında (uygulanabilir olduğunda) bu faaliyetlerin etkinliğinin değerlendirilmesini ister. Eğitim literatüründe yaygın kullanılan Kirkpatrick modelinin dört düzeyi (tepki, öğrenme, davranış, sonuç) burada pratik bir çerçeve verir. BGYS için işe yarayan düzeyler öğrenme (sınav, uygulamalı görev) ve davranıştır: olay bildirimlerinin gelmesi, oltalama e-postalarının raporlanması, temiz masa gözlemi. “Eğitim memnuniyet anketi” tek başına bir şey kanıtlamaz.

Denetimde kanıt değeri yüksek bir eğitim kaydı şu alanları taşır:

1. Kişi, sicil numarası ve rolü
2. Eğitim adı ve içerik sürümü (politika güncellendiyse eğitim de güncellendi mi?)
3. Tarih, süre ve yöntem (sınıf, çevrim içi, işbaşı)
4. Eğitmen veya platform
5. Ölçme sonucu ve geçme eşiği
6. Başarısızlık durumunda tekrar tarihi
7. Bağlı olduğu gereklilik (7.2, 7.3, müşteri gerekliliği)

Bu kayıtlar dokümante edilmiş bilgidir; saklama süreleri de tanımlı olmalı. Kayıt türlerine göre saklama yaklaşımını kayıt listesi ve saklama süreleri yazısında bulabilirsiniz.

Eğitim içeriği de bir kanıttır

Denetçi zaman zaman eğitimin kendisini açıp içeriğe bakar. Politika geçen yıl güncellenmiş ama farkındalık sunumu hâlâ eski sınıflandırma seviyelerini anlatıyorsa, katılım kaydı ne kadar eksiksiz olursa olsun eğitim yanlış bilgiyi yayıyor demektir. Eğitim materyalini doküman kontrolüne alın: sürüm numarası, hazırlayan, onaylayan, son gözden geçirme tarihi ve dayandığı politika sürümü kayıtlı olsun. Önemli bir olay, yeni bir tehdit türü veya müşteri gerekliliği çıktığında içeriğin güncellendiğini gösteren revizyon notu, programın yaşadığının en iyi kanıtıdır.

Sınav sorularına da aynı disiplinle bakın. Her yıl aynı on soru, aynı sırayla soruluyorsa kısa sürede ezberlenir. Ezber, öğrenme değildir. Soru havuzu kurup her katılımcıya farklı bir alt küme sunmak ve rol bazlı senaryo soruları eklemek ölçme sonucunun kanıt değerini artırır.

Yeni işe girenler ve rol değişiklikleri

Denetçi eğitim kanıtını çoğu zaman İK listesinden örneklem alarak test eder: dönem içinde işe giren birkaç kişi seçilir, her biri için işe giriş tarihi, politika kabul kaydı ve temel farkındalık eğitiminin tamamlanma tarihi istenir. Bu testi denetimden önce kendiniz yapın. İK’nın işe giriş listesini eğitim platformunun tamamlama raporuyla karşılaştırın ve prosedürdeki süreyi aşan kişileri listeleyin; farkı denetçiden önce siz görün.

Rol değişiklikleri sık unutulan tetikleyicidir. Muhasebeden sistem yönetimine geçen bir kişi, yeni rolün yetkinlik gerekliliklerine karşı yeniden değerlendirilmelidir. Stajyerler, geçici personel ve kuruluş adına çalışan tedarikçi personeli de 7.3 kapsamındadır. Sözleşmeli personelin farkındalık kanıtı tedarikçiden alınabilir; ama bu yükümlülük sözleşmede yazılı değilse istediğiniz belge gelmez.

Oltalama simülasyonu ve ölçüm kayıtları

Oltalama simülasyonu, farkındalığın davranış düzeyindeki en doğrudan ölçümüdür. Microsoft Defender for Office 365 içindeki Attack simulation training gibi araçlar veya bağımsız platformlar kampanya sonuçlarını raporlar. Kanıt değeri için kampanyanın plan–uygulama–takip döngüsü kayıtlı olmalı:

• Yıllık kampanya planı: sıklık, hedef kitle, senaryo zorluk seviyesi.
• Kampanya raporu: gönderim, tıklama, kimlik bilgisi girişi ve bildirim sayıları.
• Takip eğitimi atamaları ve tamamlanma kayıtları.
• Kampanyalar arası eğilim ve bunun yönetimin gözden geçirmesine sunulduğu kayıt.

Yalnız tıklama sayısına değil, şüpheli e-postayı bildiren kullanıcı sayısına da bakın; davranış değişikliğini o gösterir. Kişi bazındaki sonuçlar kişisel veridir: 6698 sayılı KVKK’nın ölçülülük ilkesi gereği bu verilere erişim sınırlandırılmalı ve çalışanlar simülasyon programı hakkında bilgilendirilmelidir. Teknik koruma tarafı için kurumsal e-postada phishing riskini azaltma rehberi tamamlayıcıdır. Programın nasıl kurgulanacağı konusunda NIST’in SP 800-50 Rev. 1 yayını birincil kaynak olarak kullanılabilir.

Denetçinin farkındalığı görüşmede test etmesi

Farkındalığın en güçlü kanıtı, denetçinin rastgele seçtiği bir çalışanın sorulara doğru yanıt vermesidir. Saha turunda veya süreç görüşmelerinde şu tür sorular gelir: “Bilgi güvenliği politikasına nereden ulaşırsınız?”, “Şüpheli bir e-posta aldığınızda ne yaparsınız?”, “Dizüstü bilgisayarınız çalınsa ilk kimi ararsınız?”, “Bu belgenin sınıflandırma etiketi ne anlama geliyor?”

Ezber yanıt beklenmez. Çalışanın günlük işi içinde doğru davranışı bildiğini göstermesi beklenir. Kilitlenmemiş ekran, masada bırakılmış müşteri dosyası, refakatsiz ziyaretçi gibi gözlemler de aynı soruya yanıt verir; çoğu zaman sözlü yanıttan daha net. Süreç sahiplerinin görüşmeye nasıl hazırlanacağı denetçi görüşmesine hazırlık yazısında ayrıca ele alınıyor.

Denetim öncesi kontrol listesi

• Rol bazlı eğitim matrisi güncel ve onaylı.
• Kritik roller için yetkinlik tanımı ve kişi bazında değerlendirme kaydı var.
• Eğitim kayıtlarında içerik sürümü ve ölçme sonucu tutuluyor.
• İşe giriş listesi ile eğitim tamamlama raporu mutabık.
• Rol değişikliği ve tedarikçi personeli için eğitim tetikleyicisi tanımlı.
• Oltalama kampanyalarının planı, raporu ve takip eğitimi kayıtlı.
• Eğitim etkinliği sonuçları yönetimin gözden geçirmesine girdi olarak sunulmuş.

Rol bazlı içerik ve ölçme kurgusunu birlikte tasarlamak için BGYS farkındalık ve rol bazlı eğitim hizmetine, belgelendirme öncesi bütünsel bir kontrol için ISO 27001 belgelendirme denetimi hazırlığı sayfasına bakabilirsiniz.

Sık sorulan sorular

Online eğitim platformunun tamamlama raporu tek başına yeterli mi?

Farkındalık için güçlü bir katılım kanıtıdır ama tek başına yetmez. Raporun kapsamı aktif personel listesiyle karşılaştırılmalı, eğitim içeriğinin sürümü belli olmalı, sınav veya ölçme sonuçları da saklanmalıdır. Kritik roller için ayrıca yetkinlik kanıtı gerekir.

Yetkinlik kanıtı olarak sertifika şart mı?

Hayır. ISO 27001 madde 7.2 yetkinliğin eğitim, öğretim veya deneyim temelinde sağlanmasını ister; sertifika bunlardan yalnızca biridir. Özgeçmiş, iş deneyimi kaydı, iç eğitim, mentorluk ve işbaşında gözlem kayıtları da kanıt olabilir. Belirleyici olan, rol için gereken yetkinliğin tanımlı olması ve kişinin bu tanıma karşı değerlendirilmiş olmasıdır.

Oltalama simülasyonu sonuçlarını kişi bazında denetçiye göstermek gerekir mi?

Genellikle gerekmez. Denetçi kampanyanın planlanıp yürütüldüğünü, sonuçların ölçüldüğünü ve takip eğitiminin yapıldığını görmek ister. Toplu sonuç raporu ve takip eğitimi kayıtları çoğu durumda yeterlidir. Kişi bazındaki sonuçlar kişisel veri içerdiği için erişimi sınırlandırılmalı, gerekiyorsa maskelenerek gösterilmelidir.

Yeni işe giren personel eğitimi hangi sürede tamamlamalı?

Standart belirli bir süre vermez; süreyi kendi prosedürünüzde siz belirlersiniz. Yaygın yaklaşım, sistemlere erişim verilmeden önce veya ilk çalışma haftaları içinde temel farkındalık eğitiminin tamamlanmasıdır. Denetimde yazdığınız süreye uyulduğunu, işe giriş tarihleriyle eğitim tamamlama tarihlerini karşılaştırarak gösterirsiniz.