Bilgi güvenliği uzmanları için yapay zekâ: politika, bülten
- Okuma süresi: 4 dk
- Kod bilgisi gerekmez
Bilgi güvenliği uzmanı hem teknik hem yazı insanıdır. Politika yazar, çalışanları bilgilendirir, tedarikçilerin güvenlik anketlerini okur, olaydan sonra yönetime açıklama hazırlar.
Bu derste yapay zekâyla bu yazı işlerinin taslağını çıkarmayı, güvenlik ekiplerinin yapay zekâya bugün nasıl baktığını ve hangi verinin araca asla girmeyeceğini öğreneceksiniz.
Aklınıza bir soru mu takıldı?
Bu derste neler öğreneceksiniz?
- Güvenlik ekiplerinde yapay zekâ kullanımının durumunu
- Politika ve farkındalık metni taslağı hazırlatmayı
- Tedarikçi güvenlik anketini özetletmeyi
- Güvenlik verisini araçtan uzak tutmayı
Meslekte gerçek kullanım: ISC2 yapay zekâ anketi
Siber güvenlik meslek örgütü ISC2, 16 Temmuz 2025 tarihli yapay zekâ anketinde güvenlik ekiplerinin durumunu şöyle özetledi: katılımcıların yaklaşık yüzde 30’u ekiplerinin yapay zekâ güvenlik araçlarını zaten kullandığını, yüzde 42’si ise denediğini ya da değerlendirdiğini söyledi. Yüzde 10’unun ise net bir planı yok. Araçları kullananların yüzde 70’i olumlu sonuç aldığını bildiriyor. Beklenen en hızlı etki alanları arasında ağ izleme ve saldırı tespiti, uç nokta koruması ve zafiyet yönetimi var. Kamu kurumlarında benimseme en düşük sektörler arasında.
Bu rakamlar anket katılımcılarının beyanıdır; sayfada örneklem büyüklüğü belirtilmiyor. Anket yapay zekâ güvenlik araçlarını soruyor. Bu derste ele aldığımız şey ise günlük yazı işi: politika, eğitim metni ve rapor taslağı.
Aynı konuda Amerikan, Avustralya, Yeni Zelanda ve Birleşik Krallık kurumlarının ortak bir rehberi de var (23 Mayıs 2025). Rehber, yapay zekâ sistemlerinin veri güvenliğini anlatıyor ve güvenilir kaynak kullanımı, veri bütünlüğünün doğrulanması, erişim denetimi ve şifreleme gibi önlemleri sıralıyor. Bu ilkeleri kendi verinize de uygulayın: araca ne verdiğinizi siz denetlersiniz.
Dört somut kullanım
Birinci kullanım: politika taslağı. “Parola ve erişim yönetimi” gibi bir konu için sade bir politika iskeleti isteyin. İskeleti kurumunuzun gerçek kurallarına siz uyarlarsınız; araç sizin altyapınızı bilmez.
İkinci kullanım: farkındalık metni. Oltalama (phishing) e-postalarını tanıtan bir çalışan bülteni ya da kısa bir sunum metni hazırlatın. Metin, çalışanın neye dikkat edeceğini anlatsın; gerçek bir saldırıyı yönlendirecek ayrıntı içermesin.
Üçüncü kullanım: tedarikçi anketi özeti. Tedarikçinin cevapladığı güvenlik anketinden ticari sır ve kişisel bilgileri çıkarın; kalan yanıtları “eksik, belirsiz, riskli görünen” başlıklarıyla özetletin. Risk kararını siz verirsiniz.
Dördüncü kullanım: olay sonrası bilgilendirme notu. Olayın kesinleşen gerçeklerini (ne oldu, hangi sistem, şu an durum ne) yazıp yönetim için sade bir bilgilendirme taslağı alın. Kişisel veri ihlali varsa metni hukuk ekibiyle birlikte kesinleştirin.
Dikkat: bu mesleğin araca vermeyeceği veriler
Sizin mesleğinizde ham veri bile hassastır. Bir log satırı, ağ şeması ya da zafiyet raporu, bir saldırganın işine yarayabilir. Bu ders genel bilgi verir; kurumunuzun politikasının ve hukuk biriminin yerine geçmez. Kuralı basit tutun: emin değilseniz araca yazmayın, önce kurumunuzun izin verdiği araçların listesine bakın.
- Parola, anahtar, belirteç, bağlantı dizesi ve yapılandırma dosyalarını asla araca yazmayın.
- Log, IP adresi, ağ şeması, açık zafiyet ve olay ayrıntıları kurumunuzun izin verdiği araç dışında paylaşılmaz.
- Müşteri ve çalışan bilgisi kişisel veridir. Kişisel Verileri Koruma Kurumunun rehberi yol gösterir; biz yalnızca sayfa özetini okuyabildik.
- Standart ve mevzuat maddesi numarasını araçtan almayın; araç numara uydurabilir. Güncel metni resmî kaynaktan okuyun.
- Veri ihlali bildirimi gibi hukuki yükümlülüklerin süre ve biçimi için hukuk birimine ve ilgili kurumun güncel duyurularına bakın.
- Aracın önerdiği teknik önlemi, test ortamında ve ekibinizle sınamadan uygulamayın.
Adım adım uygulama
- Yazacağınız belgeyi seçin (politika, bülten ya da özet).
- Kurumun adı, sistemler ve kişiler gibi tanıtıcı bilgileri genel ifadelerle değiştirin.
- Komutu yazın; hedef okuyucuyu ve uzunluğu belirtin.
- Çıkan taslağı kurumunuzun gerçek kurallarıyla karşılaştırın.
- Standart ve mevzuat atıflarını resmî kaynaktan doğrulayın.
- Yöneticinize ve gerekiyorsa hukuk birimine onaylatın.
Kontrol listesi
- Parola, log ve şema araca girmedi.
- Taslağı kurumun kurallarına uyarladım.
- Atıfları resmî kaynaktan doğruladım.
- Belgeyi yetkili kişi onayladı.
Zayıf komut
Güvenlik politikası yaz.
Güçlü komut
Ben orta ölçekli bir şirketin bilgi güvenliği uzmanıyım. “Parola ve erişim yönetimi” konusunda çalışanların okuyacağı bir politika taslağı hazırla. Bölümler: amaç, kapsam, çalışanın sorumlulukları, yöneticinin sorumlulukları, ihlal bildirimi. Dil sade olsun, en fazla bir sayfa. Hiçbir standart maddesi ya da mevzuat numarası yazma; bilmediğin yerde “şirket kuralına göre doldurulacak” yaz.
Yapay zekâ çıktısı (örnek)
Amaç: Şirket hesaplarını ve verilerini yetkisiz erişime karşı korumak. Kapsam: Tüm çalışanlar ve şirket sistemleri. Çalışanın sorumlulukları: Parolasını kimseyle paylaşmaz; şüpheli bir durumu hemen bilgi güvenliği ekibine bildirir. İhlal bildirimi: Bildirim süresi şirket kuralına göre doldurulacak.
Güçlü komut
Çalışanlara yönelik, oltalama e-postalarını tanıtan bir bülten yaz. Bülten, bir e-postanın neden şüpheli sayılabileceğini beş maddede anlatsın ve şüpheli durumda ne yapılacağını söylesin. Gerçek bir marka ya da kişi adı kullanma. Saldırganın işine yarayacak teknik ayrıntı verme. En fazla 200 kelime olsun.
Sık yapılan hatalar
- Log satırı ya da yapılandırma dosyasını yapay zekâya yapıştırmak.
- Aracın yazdığı standart maddesi numarasını resmî kaynakla karşılaştırmadan politikaya koymak.
- Tedarikçi anketini ticari sırlarla birlikte araca yüklemek.
- Aracın önerdiği güvenlik ayarını test etmeden canlı sisteme uygulamak.
İpucu
Politika taslağında “bilmediğin yerde şirket kuralına göre doldurulacak yaz” talimatı verin. Böylece araç uydurma kural koymaz, boşlukları görünür bırakır.
Kendinizi deneyin
ISC2 anketine göre güvenlik ekiplerinin yaklaşık yüzde kaçı yapay zekâ güvenlik araçlarını zaten kullanıyor?
Aşağıdakilerden hangisini yapay zekâ aracına yazmamalısınız?
Aracın politikaya eklediği bir standart maddesi numarasını nasıl kullanırsınız?
Kaynaklar
- ISC2, 2025 AI Pulse Survey (İngilizce)
- Avustralya Siber Güvenlik Merkezi ve ortakları, AI Data Security (Mayıs 2025) (İngilizce)
- KVKK, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, 15 Soruda (sayfa özeti) (Türkçe)
Son kontrol: 8 Kasım 2026
Kaynak: yzdersleri.com/ders/bilgi-guvenligi-uzmanlari-icin-yapay-zeka-politika-ve-farkindalik-metni/ · Yapay Zeka Dersleri
Dersi bitirdiniz mi?
İşaretlerseniz menüde ve ilerleme çubuğunda görünür. Bu bilgi yalnızca sizin tarayıcınızda saklanır.
Öğrenme yolunda sıradaki ders: Yapay zekânın yazdığı kodu kontrol etmek: “Tüm testler geçti” yetmez
Bu ders işinize yaradı mı?
Anonim oydur; kişisel veri toplanmaz.
