Siber Güvenlik Eğitimi Daha Fazla Sürtünme Gerektirebilir, Az Değil

Şirketler, siber güvenlik eğitimini tamamlamayı daha kolay hâle getirmek için yıllar harcadı. Modüller daha kısa, arayüzler daha temiz ve dersler daha oyun benzeri oldu. Mantık basit: çalışanlar daha fazla ilgi gösterirse, daha çok öğrenmeli ve daha az hata yapmalıdır.

Abertay Üniversitesi ve Cape Town Üniversitesi araştırmacılarının yeni bir çalışması bu varsayımın bir kısmını sorguluyor.¹ Oyunlaştırmanın işe yarayıp yaramadığını sormak yerine, araştırmacılar onu yapılandırmanın iki farklı yolunu karşılaştırdı. Biri doğru cevaplar için kullanıcıları ödüllendirdi. Diğeri ise kullanıcıların puanla başlamasını ve hata yaptıklarında bu puanları kaybetmesini sağladı.

Sonuçlar, en keyifli siber güvenlik eğitiminin her zaman en güçlü öğrenme sonucunu vermeyebileceğini gösteriyor. Daha büyük deneyde, kayıp-kaçınma grubunun genel bilgi artışı %10,71 iken, sabit ödül grubunda %4,65 idi. Öte yandan, sabit ödüllere maruz kalan katılımcılar biraz daha iyi bir katılım rapor ettiler, ancak gruplar arasındaki genel katılım farkı istatistiksel olarak anlamlı değildi.

Bu ayrım önemlidir çünkü siber güvenlik eğitimi eğlence değildir. Amacı, gerçek bir kimlik avı e‑postası, kötü amaçlı ek, sahte web sitesi veya ele geçirilmiş kimlik bilgisi karşısında insanların davranışlarını değiştirmektir.

İnsan Katmanı Saldırı Yüzeyinin Bir Parçası Olarak Kalıyor

Siber güvenlik harcamaları geleneksel olarak teknik savunmalara odaklanmıştır: güvenlik duvarları, uç nokta koruması, kimlik yönetimi, şifreleme, tehdit tespiti ve giderek artan AI destekli güvenlik operasyonları. Bu teknolojiler vazgeçilmezdir, ancak birçok saldırı hâlâ başarılı olur çünkü bir kişi bir şeyi tıklamaya, onaylamaya, ifşa etmeye ya da güvenmeye ikna edilebilir; ki bu, yapılmaması gereken bir şeydir.

2026 Verizon Veri Sızıntı Araştırma Raporu modern sızıntı manzarasının ana bileşenleri olarak sosyal mühendislik, oltalama ve çalınmış kimlik bilgilerini tanımlamaya devam ediyor. Aynı zamanda, başarısızlığın ekonomisi daha da şiddetleniyor. IBM’in 2026 Veri Sızıntısı Maliyeti Raporu küresel ortalama sızıntı maliyetini 4,99 milyon dolar olarak belirledi ve yapay zeka destekli saldırılarda keskin bir artış rapor etti.

Bu durum rahatsız edici bir asimetri yaratıyor. Savunma sistemleri daha otomatik hale geliyor, ancak saldırganlar da kişiselleştirme, taklit, keşif ve ölçekleme için daha iyi araçlar ediniyor. Securities.io’nun AI destekli fidye yazılımı savunması konusundaki kapsamı, siber güvenliğin tek bir algılama katmanına dayanmak yerine daha geniş bir dayanıklılığa doğru kayandığını gösteriyor.

Çalışan karar verme süreci bu dayanıklılık modelinin içinde yer alır. Şüpheli bir isteği etkileşime girmeden fark eden bir çalışan, pahalı teknik kontrollerin devreye girmesinden önce bir saldırıyı durdurabilir.

Neden Puan Kaybetmek Siber Güvenlik Öğrenimini Geliştirebilir

Çalışma, aynı eğitim içeriğine sahip ancak farklı teşvik yapılarına sahip iki web uygulaması kullandı. Katılımcılar şifreler, sosyal mühendislik, web sitesi güvenliği ve kötü amaçlı yazılımlar hakkında bilgi edindi. Kayıp-kaçınma versiyonunda yanlış cevaplar kullanıcının puanını azalttı. Sabit-ödül versiyonunda ise doğru cevaplar puan ve seri bonusları biriktirdi.

Örneğin sosyal mühendislik senaryosunda, kayıp-kaçınma katılımcıları 60 puanla başladı ve hatalar için puan kaybetti; ardışık hatalar daha büyük kesintilere yol açtı. Sabit-ödül katılımcıları sıfırdan başladı ve ardışık doğru cevaplar için ek puan kazandı.

Fark küçük gibi görünebilir, ancak öğrenenin hatayı deneyimleme biçimini değiştirir. Kaçırılan bir ödül, hiçbir şey kazanılmadığı anlamına gelir. Bir kayıp ise zaten sahip olunan bir şeyin kaybolduğu demektir.

Araştırmacılar bu farkı olası bir “üretken bilişsel sürtünme” biçimi olarak tanımlıyor. Hatalar anlık bir maliyet taşıdığında, kullanıcılar yavaşlayabilir, bilgiyi daha dikkatli inceleyebilir ve hızlı sezgisel tepkilerden daha bilinçli akıl yürütmeye geçebilir.

Bu, işverenlerin eğitimi kasıtlı olarak hoş olmayan hâle getirmeleri gerektiği anlamına gelmez. Aşırı cezalar hayal kırıklığına veya karar felcine yol açabilir. Daha faydalı içgörü, sürtünmenin tasarlanabileceğidir. Güvenlik eğitimi, bir çalışan ile kurs tamamlaması arasındaki her engeli kaldırmak zorunda değildir.

Siber Güvenlik Eğitimi Tamamlamadan Çok Kararlara Optimize Etmelidir

Birçok kurumsal eğitim sistemi hâlâ tamamlanma oranları, bir modülde harcanan süre, sınav puanları veya çalışan memnuniyeti gibi ölçütlerle değerlendirilir. Bu sayılar toplaması kolaydır, ancak yanlış bir optimizasyon hedefini teşvik edebilir.

Güvenlik olaylarını azaltmak hedefi varsa, daha iyi bir model en az üç sonucu ayırt eder:

• çalışanların eğitimi tamamlayıp tamamlamadığını,
• çalışanların temel güvenlik bilgisini koruyup korumadıkları ve
• gerçek bir tehditle karşılaştıklarında bu bilgiyi doğru şekilde uygulayıp uygulamadıkları.

Oyunlaştırma bu üç unsuru da destekleyebilir, ancak aynı mekanikler her birini en üst düzeye çıkarmaz. Çalışma bunu açıkça göstermektedir. Sabit ödüller daha güçlü bir betimleyici katılım profili üretirken, kayıp kaçınması daha büyük bir genel bilgi artışı sağlamıştır.

Bu, şirketlerin güvenlik farkındalığı yazılımlarını nasıl dağıttıkları konusunda sonuçlar doğurur. Her çalışana aynı yıllık modülü vermek yerine, organizasyonlar eğitimi gözlemlenen davranışa göre giderek daha fazla uyarlayabilir. Simüle edilmiş kimlik avı e-postalarını tekrarlayan bir kullanıcı çok az müdahale gerektirebilir. Şüpheli bağlantılara rutin olarak tıklayan bir kişi daha sık alıştırmalara, daha güçlü geri bildirimlere veya riskli eylemlerden önce ek bir sürtünmeye ihtiyaç duyabilir.

Bu yaklaşım, güvenlik eğitimini bir uyum egzersizinden davranışsal kontrol sistemine dönüştürüyor. Aynı zamanda sürekli siber güvenliğe yönelik daha geniş hareketi de yansıtıyor. Securities.io’nun agentik siber güvenlik platformları konusundaki son kapsamı, otomatik güvenlik operasyonlarının ne kadar hızlı evrildiğini gösteriyor. İnsan risk sistemleri, yıllık bir yenileme beklemek yerine davranışı sürekli ölçerek ve eğitimi ayarlayarak aynı yolda gelişebilir.

Yapay Zeka, İnsan Siber Riski Daha Önemli Hale Getirir, Azaltmaz

Yapay zeka, güvenlik farkındalığını yeniden düşünmek için başka bir neden yaratır. Saldırganlar, daha ikna edici mesajlar üretmek, yazı stillerini taklit etmek, keşif sürecini hızlandırmak ve ikna edici taklit girişimleri oluşturmak için üretken sistemleri kullanabilir. Savunucular ise aynı teknoloji sınıfını tehditleri filtrelemek, analizleri otomatikleştirmek ve anormal davranışları tespit etmek için kullanabilir.

Sonuç, insanları siber güvenlikten tamamen çıkarmak değildir. İnsanların vermesi gereken kararların türlerinde bir değişikliktir. Çalışanların giderek daha fazla, cilalı, kişiselleştirilmiş ve bağlamsal olarak inandırıcı görünebilecek istekleri değerlendirmeleri gerekir.

Bu, insan katmanının sonunda teknoloji tarafından ortadan kaldırılacak utanç verici bir zayıflık olarak görülmemesi gerektiği anlamına gelir. Bu, izlenebilen, eğitilebilen ve geliştirilebilen başka bir güvenlik yüzeyidir. Securities.io’nun siber güvenlik şirketleri üzerine daha geniş bakışı, sektörün zaten birden fazla koruma biçimini birleştiren bütünleşik platformlara doğru hareket ettiğini, her tehdidi izole bir şekilde ele almaktan ziyade gösterir.

Çalışma ayrıca yapay zeka destekli eğitim sistemleri için faydalı bir uyarı sunar. Kişiselleştirme otomatik olarak her şeyi daha kolay hâle getirmeli anlamına gelmemelidir. Akıllı bir eğitim platformu, ne zaman zorluk ekleyeceğini, ne zaman ikinci bir bakış gerektireceğini ve bir kullanıcının kötü bir karar için bir sonuçla karşılaşması gerektiğini bildiğinde daha değerli olabilir.

İnsan Risk Yönetimine Yatırım

Siber güvenlik sektörüne ilgi duyan yatırımcılar için, ortaya çıkan insan-risk katmanı zaten genişleyen bir pazara bir başka boyut ekliyor. Bu alana doğrudan odaklanan bir şirket Fortinet’tir.

Fortinet ve Güvenlik Farkındalığı Eğitimi

Fortinet’in FortiSAT platformu güvenlik farkındalığı eğitimini kimlik avı simülasyonları, risk puanlaması, davranış ölçümü ve hedefli iyileştirme ile birleştirir. Araştırmayla önemli bağlantı, Fortinet’in makalede test edilen tam kayıp kaçınması tasarımını kullanması değil, FortiSAT’in çalışan davranışını ölçülebilir güvenlik verisi olarak ele alıp tek seferlik uyum zorunluluğu yerine daha geniş bir hareketi yansıtmasıdır.

Platform, daha yüksek riskli kullanıcıları belirleyebilir, başarısız kimlik avı simülasyonlarından sonra iyileştirici eğitim atayabilir ve davranışsal sonuçları daha geniş güvenlik kontrolleriyle bağlayabilir. Bu, her çalışanın yılda bir kez aynı videoyu izlemesini zorunlu kılan basit modele göre daha olgun bir modeldir.

Yatırımcılar için Fortinet, yalnızca geleneksel ağ güvenliğine değil, aynı zamanda teknik kontroller, kullanıcı davranışı, analiz ve sürekli güvenlik eğitiminin birleşimine de maruz kalma anlamına gelir.

Siber Güvenlik Daha Fazla Arzu Edilen Zorluk Gerektirebilir

Araştırmadan çıkan en güçlü çıkarım, cezanın ödülden daha iyi olduğu yönünde değildir. Çalışma keşif amaçlıdır, örneklemeler nispeten küçüktür ve araştırmacılar eşleşmemiş değerlendirmeler, soru zorluğundaki olası farklılıklar ve sonraki modüllerdeki bilişsel yorgunluk gibi sınırlamaları kabul etmektedir.

Daha kalıcı fikir, etkili siber güvenlik eğitiminin belirli bir miktar arzu edilen zorluk gerektirebileceğidir. Bir kursu zahmetsizce geçen bir çalışan, baskı altında daha iyi kararlar alacak kadar öğrenmediği halde kendini özgüvenli hissedebilir.

Saldırganlar daha hızlı ve daha ikna edici hale geldikçe, işletmeler siber güvenlik eğitimini çalışanların gerçekten ne öğrendiği ve nasıl davrandığına göre ölçmek zorunda kalacak, sadece deneyimin keyifli olup olmadığına göre değil. İnsan risk platformlarının bir sonraki nesli, bu yüzden, sadece katılım değil, doğru anda doğru miktarda sürtünme yaratarak yargıyı geliştiren yetenekleriyle rekabet edecektir.

Kaynaklar:

¹ Carle, N., Ophoff, J., & Shepherd, L. (2026). Oyunlaştırılmış siber güvenlik eğitiminde teşvik tasarımı: Kayıp kaçınma ve sabit ödüllerin rolleri. Computers & Security. https://doi.org/10.1016/j.cose.2026.105187