2025 Güvenlik Farkındalığı ve Eğitimi Küresel Araştırma Raporu, güvenlik farkındalığı eğitiminin olayları nasıl azalttığını, yapay zekanın siber riskleri nasıl yeniden şekillendirdiğini ve çalışanların hazırlık düzeyinin neden hala geliştirilmesi gerektiğini gösteriyor.
Güvenlik farkındalık eğitimi artık bir uyum çalışması olmanın ötesine geçerek siber riski azaltmak için ölçülebilir bir kontrol olarak görülüyor. Dünya genelinde 1.850 üst düzey BT ve güvenlik liderinin yanıtlarına dayanan 2025 Güvenlik Farkındalık ve Eğitimi Küresel Araştırma Raporu, açık bir ilerleme olduğunu gösteriyor. Ayrıca, kurumların hala maruz kaldığı riskleri de ortaya koyuyor.
Güvenlik ve risk liderleri için en önemli çıkarımlar şöyle özetleniyor:
Yapay zeka farkındalığı artırıyorsa da çalışanların hazırlık seviyesi hala istikrarsız
Yapay zeka (YZ) kaynaklı tehditler, çalışanların ve liderlerin siber güvenlik hakkındaki düşüncelerini değiştirdi. Neredeyse 10 kurumun 9’u, saldırganların YZ kullanımı sayesinde çalışanların güvenlik eğitiminin neden önemli olduğu konusunda farkındalıklarının arttığını söylüyor. Ancak farkındalık, hazırlık ile aynı şey değil. Liderlerin sadece yaklaşık %40’ı, çalışanlarının YZ tabanlı siber tehditleri tespit etmeye, önlemeye ve rapor etmeye gerçekten hazır olduğunu söylüyor.
Çoğu kurum, çalışanlarına üretken yapay zeka araçlarının doğru kullanımı konusunda eğitim vererek, hassas verilerin paylaşımını izleyerek veya kısıtlayarak ve resmi yapay zeka güvenlik politikaları uygulayarak bu duruma yanıt veriyor. Neredeyse tüm katılımcılar, yapay zeka ve büyük dil modeli (LLM) araçları için güvenlik politikalarına zaten sahip olduklarını veya bunları aktif olarak uyguladıklarını belirtiyor. Yön gayet açık görünüyor. Eksiklik ise uygulama ve tutarlılık.
Dış tehditler hala benimsenmeyi teşvik ediyorsa da iç risk hızla artıyor
Dış tehditler, geçmişteki ihlaller ve sektördeki olaylar, kurumların güvenlik farkındalık eğitimine yatırım yapmalarının başlıca nedenleri olmaya devam ediyor. Ankete katılanların %40’ından fazlası bu faktörleri birincil etken olarak gösteriyor. Değişen şey, iç risklere ilişkin endişelerin artması. Kurumların dörtte birinden fazlası artık eğitimi benimseme nedeni olarak iç riskleri gösteriyor ve bu oran geçen yıla göre keskin bir artışa işaret ediyor.
Eğitim öncelikleri bu değişimi yansıtıyor. Veri güvenliği ve veri gizliliği en önemli konular olmaya devam ederken, yapay zeka tabanlı araçlar ve tehditler de hemen arkalarından geliyor. Bu uyum önemli. Çünkü bu durum, kurumların eğitimi genel bir uyum içeriği olarak ele almak yerine, gerçek dünyadaki riskleri çalışanlara öğretilenlerle ilişkilendirmeye başladıklarını gösteriyor.
Güvenlik farkındalık eğitimi olayları azaltıyor ve kurumlar bunu kanıtlayabiliyor
Rapordaki en güçlü bulgulardan biri, eğitimin işe yaradığı. Kurumların yüzde 67’si, güvenlik farkındalığı ve eğitimi uyguladıktan sonra izinsiz girişler, olaylar ve ihlallerde orta düzeyde veya önemli ölçüde azalma olduğunu bildiriyor.
Ölçüm uygulamaları da olgunlaşıyor. En yaygın göstergeler arasında güvenlik olaylarının azalması, çalışan geri bildirimleri ve güvenlik denetimleri yer alıyor. Artık birçok kurum, yüz yüze ve bilgisayar tabanlı eğitimleri simülasyonlar, değerlendirmeler ve sürekli pekiştirme ile birleştiriyor. Bu, tek seferlik eğitimlerden, zaman içinde davranışları değiştirmek ve riski azaltmak için tasarlanmış programlara doğru bir geçişi yansıtıyor.
Tamamlanma oranları ve tutarlılık zayıf noktalar olmaya devam ediyor
Daha iyi ölçüm ve daha iyi sonuçlara rağmen, çoğu kurum hala takip konusunda zorluk çekiyor. Sadece küçük bir yüzde tam eğitim tamamlama bildiriminde bulunuyor. Aynı zamanda, liderlerin yaklaşık 10’da 7’si çalışanların hala yeterli güvenlik bilincine sahip olmadığını söylüyor.
Bu durum, yatırım ve sonuçlar arasındaki farkı açıklamaya yardımcı oluyor. Tamamlanmayan, pekiştirilmeyen veya tehdit ortamı değiştikçe güncel tutulmayan eğitimler, tam değerini sağlayamıyor. Rapor, pratik iyileştirmelere işaret ediyor: daha kısa ve daha sık eğitim modülleri, tamamlama konusunda daha net hesap verebilirlik, içerik ve güncel tehditler arasında daha iyi uyum ve görünür liderlik desteği. Ayrıca, yapay zeka alanındaki gelişmelere ayak uydurmak için düzenli mikro eğitimlerin önemi giderek artıyor.
Güvenlik bilinci artık sadece prosedürel değil, kültürel bir hal alıyor
Çoğu lider artık güvenlik bilincini sadece BT veya güvenlik fonksiyonunun değil, tüm organizasyonun ortak sorumluluğu olarak görüyor. Neredeyse hepsi, özellikle bu politikaların ardındaki mantığı açıklayan eğitimlerle birlikte, yüksek riskli davranışları yönetmek için politika kullanmaya da açık.
Bu önemli bir değişim. Etkili güvenlik bilinci eğitimi sadece bir sınavı geçmekle ilgili değil. Günlük kararları şekillendirmek, iyi davranışları pekiştirmek ve işin yapıldığı yerde riski azaltmakla ilgili.
Verilerin 2026 ve sonrası için
Veriler oldukça açık. Güvenlik bilinci eğitimi, olayları azaltıyor. Bu eğitime yatırım yapan ve sonuçlarını ölçen kurumlar, gerçek sonuçlar elde ediyor. Ancak yapay zeka, hem saldırganların yeteneklerini hem de iş dünyasında benimsenmesini hızlandırıyor. Aynı zamanda, içeriden gelen riskler de artıyor. Çok sayıda program, düşük tamamlanma oranları veya güncel olmayan içerik nedeniyle hala etkisini yitiriyor.
Etkili olabilmesi için, eğitimin sürekli ve ilgili olması ve yan proje olarak değil, temel risk yönetimi kontrolü olarak ele alınması gerekiyor.
