Bayer, yapay zeka (YZ) tehditlerine karşı mücadelede radikal bir değişime imza attı. Şirketin CISO’su Kevin Jones, Infosecurity Europe 2026 etkinliğinde yaptığı konuşmada, geleneksel kontrol listesi tarzı teknik eğitimleri tamamen terk ettiklerini ve çalışanlarını psikolojik manipülasyonu tanımaya odaklayan yeni bir güvenlik farkındalık programına geçtiklerini duyurdu. Jones, "Eğitimlerimizde teknikle ilgili her şeyi kaldırdık" diyerek, artık yazım hataları veya şüpheli URL’ler gibi klasik uyarıların yeterli olmadığını, çünkü saldırganların YZ ile gerçek zamanlı olarak beş farklı dilde kusursuz metinler üretebildiğini vurguladı.
Yeni eğitim programı, çalışanların psikolojik baskıyı fark etmelerini, kimlik avı girişimlerinde yetki istismarını sorgulamalarını ve işlem yapmadan önce durup düşünmelerini hedefliyor. Jones, bu yaklaşımın başarısını bir örnekle kanıtladı: Geçen yılın sonunda, Avrupa, Orta Doğu ve Afrika bölgesindeki bir CFO, küresel CFO’dan geldiğini iddia eden ve hafta sonu acil para transferi isteyen bir telefon aldı. Eğitim sayesinde tüm çalışanlar bu durumu bildirdi ve herhangi bir maddi kayıp yaşanmadı. Jones, bu olayın, güvenlik farkındalığını düşman psikolojisi etrafında yeniden çerçevelemenin, çalışanları gerçekçi sosyal mühendislik saldırılarına karşı etkili bir ilk savunma hattına dönüştürdüğünü gösterdiğini söyledi.
Bayer, YZ yetkinliğini kontrollü erişimle ilişkilendirdi. Şirket, çalışanların kendi geliştirdikleri myGenAssist platformuna (OpenAI’ın ChatGPT’sine benzer) ve bu platformda ajan oluşturma araçlarına erişebilmeleri için küçük, role dayalı eğitim modüllerini tamamlamalarını zorunlu kılıyor. Bu katmanlı erişim modeli, kimlerin ajan iş akışları geliştirip çalıştırabileceğini belirliyor. Jones, bu sistemin çalışanları eğitimi tamamlamaya teşvik ettiğini ve güvenlik ekibinin veri akışını izlemesine olanak sağladığını belirtti.
Önemli Gelişmeler
Bu YZ odaklı yaklaşım, Bayer’in güvenlik operasyonlarına da yansıdı. Jones, Güvenlik Operasyon Merkezi (SOC) analistlerinin manuel triyajdan denetimli otomasyona geçmesi gerektiğini ve iki ila üç yıl içinde 'insan döngü içinde' modelinden 'insan döngü üzerinde' modeline evrileceklerini öngörüyor. Analistlerin artık YZ yardımcıları yerine YZ ajanlarını kullanmayı ve yönetmeyi öğrenmeleri gerektiğini vurgulayan Jones, "SOC’ları güvenlik operasyon merkezlerinden çok siber dayanıklılık merkezleri olarak düşünmenizi öneririm" dedi. Ayrıca Bayer, tedarikçilerine de YZ eğitimi zorunluluğu getirerek sözleşmelere YZ’ye özel güvenlik ekleri ekledi. Bu ekler, tedarikçilerin Bayer verilerini nasıl kullandıklarını, hangi YZ araçlarını kullandıklarını beyan etmelerini ve olayları bildirmelerini zorunlu kılıyor. Jones, "Tedarikçiler bizim verilerimizi nasıl kullandıklarını bize bildirmek zorunda" diyerek şeffaflık ve sözleşme kontrollerinin pazarlık konusu olmadığını vurguladı.
