Infosecurity Europe 2026'da konuşan Bayer CISO'su Kevin Jones, şirketin çalışanlarını yapay zeka kaynaklı tehditlere hazırlama yaklaşımını kökten değiştirdiğini açıkladı. Geleneksel teknik kontrol listelerinden vazgeçen Bayer, güvenlik farkındalığı eğitimini psikoloji odaklı bir yapıya dönüştürdü. Jones, 'Eğitimlerimizde teknikle ilgili her şeyi kaldırdık' diyerek, artık çalışanların yazım hataları veya şüpheli URL'ler aramak yerine psikolojik manipülasyonu tanımaları gerektiğini vurguladı. Çünkü saldırganlar, AI sayesinde gerçek zamanlı olarak birden fazla dilde kusursuz içerik üretebiliyor.
Yeni eğitim modelinde çalışanlara, bir talebin baskı yaratıp yaratmadığını, otorite kullanılıp kullanılmadığını sorgulamaları ve işlem yapmadan önce 'durup düşünmeleri' öğretiliyor. Bu yaklaşımın başarısını bir örnekle kanıtlayan Jones, geçen yılın sonunda Bayer'in EMEA bölgesi CFO'sunun, global CFO'dan geldiği iddia edilen bir telefon aldığını ve hızlı bir para transferi talep edildiğini anlattı. Ancak çalışanlar yeni eğitim sayesinde durumu şüpheli bularak raporladı ve herhangi bir maddi kayıp yaşanmadı. Jones'a göre bu olay, güvenlik farkındalığını düşman psikolojisine odaklamanın, çalışanları gerçekçi sosyal mühendislik saldırılarına karşı etkili bir ilk savunma hattına dönüştürdüğünü kanıtlıyor.
Bayer'de yapay zeka kullanımı da eğitim tamamlama şartına bağlanmış durumda. Çalışanlar, şirketin kendi geliştirdiği myGenAssist platformuna erişmek için küçük, rol tabanlı eğitim modüllerini tamamlamak zorunda. Bu sayede güvenlik ekibi veri akışını kontrol edebiliyor. Aynı yaklaşım güvenlik operasyon merkezi (SOC) için de geçerli. Jones, SOC analistlerinin iki-üç yıl içinde 'insan-elinde' (human-on-the-loop) modele geçeceğini öngörüyor. Analistlerin artık sadece AI asistanları değil, AI ajanlarını yönetmeyi öğrenmesi gerekiyor. Jones, SOC'lerin gelecekte 'siber dayanıklılık merkezleri' olarak yeniden yapılandırılması gerektiğini belirtiyor.
Detaylar ve Etkileri
Bayer, kendi çalışanlarının yanı sıra tedarikçilerine de AI kullanımı konusunda katı kurallar getiriyor. Tedarikçilerin myGenAssist'e erişmeden önce AI eğitimini tamamlamaları zorunlu. Ayrıca, Bayer'in AI Yönetişim Konseyi tarafından belirlenen standartlara uymaları gerekiyor. Satın alma sözleşmelerine AI güvenlik ekleri eklenirken, tedarikçilerin Bayer verilerini nasıl kullandıklarını, hangi AI araçlarını kullandıklarını ve olayları raporlamaları isteniyor. Jones, 'Tedarikçiler verilerimizi nasıl kullandıklarını bize bildirmek zorunda' diyerek şeffaflığın ve sözleşmesel kontrollerin pazarlık konusu olmadığını vurguluyor. Bu değişiklikler büyük ortaklara uygulanmaya başlandı ve önümüzdeki 18 ay içinde tüm tedarikçi tabanına yaygınlaştırılacak.
