İSG’de ”Honey Trap” dan ”Honeypot”lara
Görünürde Güvenli, Gerçekte Tehlikeli Sistemler ve Davranışsal Riskin Yönetimi
İş sağlığı ve güvenliği uygulamalarında riskler çoğu zaman açık, görünür ve teknik tehlikeler üzerinden ele alınır. Ancak sahada yaşanan kazalar ve meslek hastalıkları, risklerin önemli bir bölümünün gizli, dolaylı ve davranışsal olduğunu göstermektedir.
Bu makalemde sizlere, istihbarat ve siber güvenlik literatüründe kullanılan “Bal Tuzağı” (Honey Trap) ve “honeypot” (Bal Küpü) kavramlarını, iş sağlığı ve güvenliği perspektifinden yorumlayacağım.
Bal tuzağı, çalışanı veya yöneticiyi farkında olmadan riskli davranışa çeken örtülü teşvikleri; honeypot ise riskli davranışı bilinçli biçimde görünür kılmak ve erken uyarı üretmek için tasarlanmış sistemleri temsil etmektedir.
Sizleri; kazaların yalnızca kurallara uyulmamasından değil, yanlış ödüllendirme, sessizlik kültürü ve görünmeyen motivasyon tuzaklarından da kaynaklandığı gerçeği ile tanıştıracağım.
Görünmeyen Risk Alanları
İSG disiplininde uzun yıllar boyunca temel yaklaşım şuydu:
Tehlikeyi tanımla, riski değerlendir, kontrol tedbirini uygula.
Bu yaklaşım hâlâ geçerlidir. Lakin artık yeterli değildir.
Çünkü günümüz işyerlerinde kazaların önemli bir kısmı:
- Talimat eksikliğinden değil,
- Eğitim yetersizliğinden değil,
- Teknik donanım yokluğundan değil,
yanlış teşvik edilen davranışlardan kaynaklanmaktadır.
Bu noktada şu soruyu sormak gerekir:
Bir çalışan, bildiği halde neden risk alır?
Bir yönetici, gördüğü halde neden görmezden gelir?
Bu soruların cevabı çoğu zaman açık bir ihlalde değil; bal tuzaklarında gizlidir.
Bal Tuzağı Kavramı – İSG’ye Uyarlandığım Bir Metafor
Bal tuzağı, istihbarat literatüründe bir hedefin zaafları üzerinden, farkında olmadan riskli veya kontrol edilebilir bir pozisyona çekilmesi anlamına gelir.
Buradaki kritik nokta şudur:
Hedef zorlanmaz.
Hedef kandırılmaz.
Hedef, kendi isteğiyle tuzağa girer.
İSG bağlamında bal tuzağı:
Çalışanı veya yöneticiyi, kısa vadeli kazançlar karşılığında uzun vadeli güvenlik risklerine sürükleyen görünmez teşvik mekanizmalarıdır.
Bu teşvikler çoğu zaman açık değildir.
Aksine, “iyi niyetli” görünür.
İSG’de Bal Tuzaklarının Türleri
Üretim Bal Tuzağı
En yaygın bal tuzağıdır.
- Hedef baskısı
- Termin zorunluluğu
- Prim sistemi
- Performans odaklı değerlendirme
Çalışan şu mesajı alır:
“İşi zamanında bitirirsen değerlisin.”
Bu mesajın görünmeyen devamı şudur:
“Nasıl bitirdiğin ikinci planda.”
Bu noktada çalışan, bilinçli olarak:
- KKD’yi ihmal edebilir
- Emniyet ekipmanını devre dışı bırakabilir
- Güvensiz ama hızlı yöntemi seçebilir
Teknik olarak kural ihlali vardır.
Ama davranış, sistem tarafından ödüllendirilmiştir.
Bu, klasik bir bal tuzağıdır.
Sessizlik Bal Tuzağı
Sessizlik bal tuzağı, Omertà ile doğrudan ilişkilidir.
- Risk bildirenin “sorun çıkaran” olarak etiketlenmesi
- Ramak kala bildirenin sorgulanması
- “Büyütmeyelim” kültürü
Çalışan şunu öğrenir:
“Konuşursam başım ağrır, susarsam işim yürür.”
Bu noktada sessizlik:
- Etik bir sorun değil,
- Rasyonel bir tercih
haline gelir.
İSG açısından bu, en tehlikeli bal tuzağıdır. Çünkü risk artık bilinmesine rağmen gizlenmektedir.
İstatistik Bal Tuzağı
Bir diğer kritik bal tuzağı, kazasız gün sayıları ve düşük kaza oranlarıdır.
- “500 gündür kazasız”
- “Bu yıl kaza sıfır”
Bu göstergeler, doğru kullanıldığında motive edicidir. Lakin yanlış kullanıldığında şu sonucu doğurur:
- Kaza bildirilmez
- Ramak kalalar gizlenir
- Hafif yaralanmalar kayıt dışı bırakılır
Çünkü herkes bilir ki, “sıfır” bozulursa sistem rahatsız olur.
Bu durumda kaza yoktur ama risk vardır.
Ve risk büyüyerek birikir.
İSG Evrak Bal Tuzağı
Birçok işyerinde İSG, belge üzerinden yürütülür:
- Eğitim formları
- İmza listeleri
- Talimatlar
- Prosedürler
Evrak tamdır.
Ancak sahada davranış değişmemiştir.
Bu, yöneticiler için bir bal tuzağıdır:
“Her şey kağıt üzerinde düzgünse, sorun yoktur.”
Oysa bu, sahte güvenlik hissi üretir.
Bal Tuzaklarının Davranışsal Mekaniği
Bal tuzakları, insan psikolojisinin bazı temel özelliklerini kullanır:
- Kısa vadeli ödüle yönelme
- Otoriteye uyum
- Grup normlarına bağlılık
- Ceza–ödül dengesine hassasiyet
İSG eğitimleri çoğu zaman bilgi verir.
Ama bal tuzakları, motivasyonu şekillendirir.
Bu nedenle bilgiye rağmen risk alınır.
Honeypot Nedir ve İSG’ye Nasıl Uyarlanır?
Honeypot, siber güvenlikte saldırganı çekmek için bilerek zayıf gibi görünen ama kontrollü bir sistemdir. Amaç:
- Davranışı gözlemlemek
- Erken uyarı almak
- Sistemin zayıf noktalarını görmek
İSG’de honeypot yaklaşımı şu anlama gelir:
Riskli davranışların ortaya çıkmasını beklemek yerine, bu davranışları görünür kılacak bilinçli izleme ve geri bildirim sistemleri kurmak.
Honeypot, bal tuzağının tersidir.
Bal tuzağı gizler.
Honeypot açığa çıkarır.
İSG’de Honeypot Sistemlerinin Uygulamaları
Ramak Kala Honeypotları
Ramak kala bildirimleri çoğu işyerinde çalışmaz.
Çünkü bildirim:
- Sorguya yol açar
- Suçlama doğurur
- Zaman kaybı gibi görülür
Honeypot yaklaşımı burada şunu önerir:
- Bildirimi anonimleştirmek
- Bildirimi ödüllendirmek
- Bildirim sonrası ceza değil, çözüm üretmek
Bu sayede sistem, gizli riskleri kendi kendine çekmeye başlar.
Davranış Gözlem Honeypotları
Klasik denetimler, çalışanın denetlendiğini bildiği anlara odaklanır.
Honeypot yaklaşımı ise:
- Doğal davranışı
- Rutin dışı anları
- Yorgunluk ve baskı zamanlarını
izlemeyi hedefler.
Amaç ceza değil; örüntü tespitidir.
Yönetici Honeypotları
Sadece çalışanlar değil, yöneticiler de bal tuzaklarına düşer.
- Üretim baskısı
- Üst yönetim beklentisi
- Raporlama stresi
Honeypot yaklaşımı, yöneticilerin:
- Hangi durumda güvenliği geri plana ittiğini
- Hangi göstergelere aşırı odaklandığını
analiz eder.
Bu, İSG’nin yukarıdan aşağıya değil; iki yönlü işlemesini sağlar.
Bal Tuzaklarından Honeypotlara Geçiş Neden Zor?
Çünkü bu geçiş:
- Kontrol illüzyonunu bozar
- Gerçek riskleri görünür kılar
- Rahatsız edici veriler üretir
Birçok kurum şunu ister:
“Güvende olduğumuzu gösteren raporlar.”
Honeypotlar ise şunu üretir:
“Nerede güvensiz olduğumuzu gösteren veriler.”
Bu, kültürel bir dönüşüm gerektirir.
İSG Profesyonellerinin Rolü
Bu dönüşümde İş Güvenliği uzmanı ve işyeri hekimi:
- Denetçi değil, sistem tasarımcısı
- Uyarıcı değil, davranış analisti
- Evrak takipçisi değil, risk mimarı olmak zorundadır.
Bal tuzaklarını fark etmeyen bir İSG sistemi, kazayı sadece erteler.
Honeypot kurabilen bir İSG sistemi ise kazayı önceden görür.
Etik ve Hukuki Boyut
Honeypot yaklaşımı, doğru uygulanmazsa güvensizlik yaratabilir.
Bu nedenle:
- Şeffaflık
- Amaç açıklığı
- Ceza değil öğrenme odaklılık
temel ilkeler olmalıdır.
Aksi halde honeypot, yeni bir bal tuzağına dönüşür.
İSG’de asıl sorun, riskin varlığı değil;
riskin nasıl teşvik edildiğidir.
Bal tuzakları:
- Hızlı üretimi
- Sessizliği
- Görünürde başarıyı
ödüllendirir.
Honeypotlar ise:
- Gerçek davranışı
- Gizli riski
- Sistem zaafını
ortaya çıkarır.
İş sağlığı ve güvenliğinin geleceği, daha fazla kuralda değil; daha akıllı sistemlerde yatmaktadır.
Temel gerçek şudur:
Kazalar, çoğu zaman ihmalden değil; fark edilmemiş bal tuzaklarından doğar.
Güvenlik ise, bu tuzakları bozup doğru yerlere honeypotlar kurabildiğimizde mümkün olur.
⭐️⭐️⭐️⭐️⭐️⭐️⭐️⭐️
Doğal Yaşayın
Doğal Beslenin
Aklınıza Mukayet Olun
⭐️⭐️⭐️⭐️⭐️⭐️⭐️⭐️
Sayın okuyucu,
Aşağıdaki linkten yazımızda yer alan konu hakkında sorularınızı ve görüşlerinizi, merak ettiğiniz ve yazılarımıza konu olmasını istediğiniz hususları iletebilirsiniz.
Bilginin paylaştıkça çoğalacağı düşüncesi ve sizlere daha iyi hizmet verme azmi ile her gün daha da iyiye ilerlemede bizlere yorumlarınız ve katkılarınız ile yardımcı olursanız çok seviniriz. https://g.page/r/CTHRtqI0z0gjEAE/review
⭐️⭐️⭐️⭐️⭐️⭐️⭐️⭐️⭐️
Dr Mustafa KEBAT
0 530 568 42 75
Tetkik OSGB İş Sağlığı ve Eğitim Koordinatörü