Siber güvenlik dünyasında yıllardır aynı tartışma dönüp duruyor: “Yeterince siber güvenlik uzmanımız yok.” Bu cümle yanlış değil, ama gerçeği tam yansıtmıyor. Çünkü asıl sorun koltuk sayısı değil — o koltuklarda oturanların sahip olması gereken beceriler. Ve bu beceriler, eskisine hiç benzemez hale geldi.
Siber güvenlikte yaşanan bu beceri eksikliği krizi, tek başına bir iş gücü problemi değil. Daha büyük bir dönüşümün sonucu. Yapay zekâ ile birlikte iş tanımları değişiyor, roller evriliyor ve beklentiler yeniden yazılıyor. Bu yüzden sorun artık kaç kişinin olduğu değil, bu kişilerin ne yapabildiği.
Bu dönüşüm artık sadece teorik değil. Veriler de aynı hikâyeyi anlatıyor: Coursera’nın 2026 İş Becerileri Raporu. Yaklaşık 7.000 kurumdan altı milyon kişinin verisine dayanan rapor, net bir yön gösteriyor: teknik temel bilgi hâlâ önemli, ancak artık tek başına yeterli değil. Bugün SQL ya da web teknolojilerini bilen birinden, aynı zamanda yapay zeka araçlarını etkin şekilde kullanabilmesi de bekleniyor.
Öte yandan yapay zeka bazı işleri otomatik hale getirdikçe, insanın değerlendirme ve sorgulama becerisi daha da kritik hale geliyor. Yani işi yapmak kadar, yapılan işin doğru olup olmadığını sorgulamak değer kazanıyor.
Ayrıca yapay zeka artık sadece teknik ekiplerin kullandığı bir alan değil. Organizasyonun geneline yayılmış durumda ve özellikle içerik üretimi gibi alanlarda çok hızlı bir şekilde kullanılıyor.
Bu genel tablo, siber güvenlikte yaşanan beceri krizinin aslında daha büyük bir dönüşümün parçası olduğunu gösteriyor. Bu dönüşümün sektöre nasıl yansıdığını ise en net şekilde SANS’ın yayımladığı Cybersecurity Workforce Research 2025 ve 2026 yılı raporları gösteriyor. 2026 yılı raporunda, 947 küresel katılımcıyla yürütülen araştırma, kritik bir noktaya işaret ediyor: beceri açığı artık işgücü açığının önüne geçmiş durumda. Geçen yıl bu iki oran arasındaki fark yalnızca 4 puanken, bu yıl fark 20 puana kadar yükselmiş durumda.
Doğru tanım sorunu
CES 2026 konferansında McKinsey ve General Catalyst yöneticilerinin verdiği mesaj netti: eğitimi hayatın başında tamamlayıp onlarca yıl aynı bilgiyle çalışma modeli artık geçerliliğini yitirdi. Sürekli öğrenme bir tercih değil, zorunluluk hâline geldi. Siber güvenlik bu dönüşümün en keskin hissedildiği alanlardan biri.
SANS’ın Cybersecurity Workforce Research 2025 raporunda 3.400 katılımcıyla yaptığı araştırma ilk kez kritik bir değişimi gösterdi: katılımcıların %52’si birincil sorunun doğru beceriye sahip personelin olmaması olduğunu söyledi; yeterli sayıda personelin olmaması ise %48’de kaldı.
Cisco’da Cybersecurity Executive Advisor olarak görev alan Helen Patton bu tabloya farklı bir bakış açısıyla yaklaşıyor: “Siber güvenlikte gerçek anlamda bir yetenek kıtlığımız olduğuna inanmıyorum. Asıl sorun, sahip olduğunuz roller için hangi beceri setlerine ihtiyaç duyduğunuzu anlamak ve o beceri setlerine sahip insanları bulmak.” Başka bir deyişle, sorun arz değil — tanım sorunu.
Regülasyonun yeni ağırlığı
2025’ten 2026’ya geçişte en dramatik sıçramayı yaratan faktör yapay zeka değil, regülasyon oldu. Regülasyonların işe alım kararlarını etkilediğini söyleyen organizasyonların oranı %40’tan %95’e fırladı — tek bir yılda 55 puanlık bir artış.
NIS2, CMMC, DORA, DoD 8140 ve SEC kurallarının baskısı altında organizasyonların %54’ü tamamen yeni uzman pozisyonları oluşturdu. Bu roller iki yıl önce henüz yoktu. Pazar yoktan talep yarattı.
Bayer’in Global CISO’su Dr. Kevin Jones süreci şöyle özetliyor: “Artık konu yönettiğiniz insan sayısı ya da bütçenin büyüklüğü değil. Gerçekten sonuç üretebilecek becerilere sahip insanlar arıyoruz.”
Yapay zekanın bedeli: Giriş seviyesi roller eriyor
Rol değişikliği yaşayan organizasyonlar arasında en fazla azalan pozisyonlar SOC ve güvenlik analistleri (%32), tehdit istihbarat analistleri (%26) ve olay müdahale uzmanları (%22). Bunlar tam da genç siber güvenlik uzmanlarının “mesleği öğrendiği” rollerdir. Rutin alarm analizi, basit olayları soruşturma, tehdit istihbarat akışlarını analiz etme — bunlar juniorların yıllarca deneyim kazandığı, orta ve üst seviyelere taşıyan basamaklardı.
Microsoft’dan Jay Bhalodia bu paradoksu şu şekilde ifade ediyor: “Gerçek risk yapay zekanın kendisi değil — onu bu büyüme yollarını otomatize etmek için kullanmak. Junior çalışanlarımızın örüntü tanıma ve analiz becerileri geliştirmesini sağlayan işi elimine edersek, ileriye dönük iş gücü oluşturma kapasitemizi zayıflatırız.”
Aynı tablonun ironik yüzü şu: giriş seviyesi pozisyonlar işe alımda en kolay doldurulan pozisyonlar olmaya devam ediyor. Organizasyonların yalnızca %4’ü bunu sorun olarak görüyor. Asıl sorun %27 oranı ile uzman rollerde bulunmaktadır. Bu iki sayı aynı anda doğruysa, ortaya rahatsız edici bir gerçek çıkıyor: Giriş noktası açık ama o noktadan yukarı çıkacak merdiven artık yok.
En uzun boş kalan koltuk: Kıdeme doğru çıktıkça iş zorlaşıyor
Giriş seviyesi pozisyonlar azaldıkça organizasyonların refleksi hep aynı oluyor; dışarıdan deneyim sahibi bir personel arayışına geçilmesi. Ama deneyimli isimler de piyasada sınırlı; bu nedenle firmaların bu pozisyonların doldurulması bazen aylarca sürebilmektedir.
Kıdemli pozisyonların %55’i altı ay ya da daha uzun sürede kapanıyor; uzman pozisyonların %38’i ise 12 ayı aşan bir süre açık kalıyor.
Bir de kariyer yolları meselesi var. “Belirsiz kariyer yolları” işe alım engeli olarak bir önceki yıla kıyasla üç katından fazla büyüdü; organizasyonların %32’si bunu temel sorun olarak işaret etti. Üstelik yalnızca %24’ü kariyer yollarının iyi tanımlanmış ve aktarılmış olduğunu söylüyor. Geri kalanı için yol haritası ya yarım, ya da kafaların içinde gizli.
Burada kendi kendini besleyen bir kısır döngü devreye giriyor: junior yetenek tutunmuyor çünkü nereye gideceğini bilmiyor, kıdemli yetenek bulunamıyor çünkü o juniorlar bir türlü yetişemiyor.
Beceri açığının somut bedeli: Geciken projeler
“Skills gap” soyut bir kavram olmaktan çıktı. Organizasyonların %57’si proje gecikmelerini doğrudan beceri açığına bağlıyor. %47’si ekip tükenmişliğinde artış yaşıyor. %47’si olay müdahale sürelerinin uzadığını bildiriyor. Ve belki en çarpıcı olanı: %27’si beceri eksikliğinin doğrudan bir ihlale kapı araladığını ifade ediyor.
Tüm bu tabloya rağmen organizasyonların %60’ı bu açığı kapatmanın önündeki en büyük engelin bütçe kısıtlamaları, %54’ü ise zaman yetersizliği olduğunu söylüyor. Ekipler yangın söndürme modunda çalışıyor; yangını söndürürken, yangın alarmını kurmaya zaman kalmıyor.
Eğitim nerede sıkışıyor?
SANS Cybersecurity Workforce Research 2025 raporuna göre organizasyonların %55’i siber güvenlik personeli için yapılandırılmış eğitim programlarına sahip ama aynı rapor hemen ardından şunu ekliyor: eğitime erişimi engelleyen başlıca faktör zaman kısıtlaması (%39), ardından bütçe yetersizliği (%36). Yani eğitim var, ama kimsenin buna zaman ve para ayıracak kapasitesi yok. Program var ama kimsenin dokunacak zamanı yok.
Sertifikaların Önemi
Beceri açığı büyürken organizasyonların güvendiği pratik doğrulama aracı sertifikasyonlar haline geliyor. SANS Cybersecurity Workforce Research 2026 raporuna göre siber güvenlik sertifikaları en yaygın kullanılan yetenek doğrulama yöntemi: %64 oranıyla işe alımdaki beceri değerlendirmelerini (%49) ve iç yetkinlik değerlendirmelerini (%48) geride bırakıyor.
Sertifikaların önemi işe alımda da belirleyici: aynı rapora göre organizasyonların %58’i sertifikaları “çok önemli” ya da “son derece kritik” olarak değerlendiriyor. Hem iç terfi kararlarında (%43) hem müşteri gereksinimleri için (%37) hem de denetim süreçlerinde (%33) önemli bir dayanak noktasına dönüşmüş durumda.
Ne yapmalı?
SANS Cybersecurity Workforce Research 2026 raporunun önerilerinden ve vaka çalışmalarından çıkan bulgular, birbirine bağlı dört öncelik etrafında şekilleniyor.
Birincisi, yapay zeka yönetim politikası oluşturmak ve tüm çalışanlara temel AI güvenlik eğitimi vermek. Yapay zekanın organizasyonun geneline yayıldığı bir ortamda, politika olmadan ilerlemek kör nokta bırakıyor — hem güvenlik açısından hem de uyumluluk açısından.
İkincisi, giriş seviyesi yetenek kazanımının sürdürülmesi. Mentorlar ve farklı alanlarda rotasyonlar hâlâ en yüksek yetenek kazanımı sağlayan yaklaşımlar. Bunları ortadan kaldırmak kısa vadede maliyet tasarrufu gibi görünüyor; ama yazının başında gördüğümüz kısır döngüyü — junior yetişemiyor, kıdemli bulunamıyor — doğrudan besliyor.
Üçüncüsü, ECSF gibi çerçevelerin benimsenmesi. Siber güvenlik rollerini ve bu rollerde beklenen becerileri standart bir dille tanımlayan bu yapı, HR ile teknik ekipler arasında ortak bir zemin oluşturuyor. Kim ne yapıyor, hangi rolde ne bekleniyor ve bir sonraki adım ne olmalı gibi soruların netleşmesi ancak bu şekilde mümkün oluyor. Bu aynı zamanda “belirsiz kariyer yolları” sorununa da doğrudan yanıt veriyor — organizasyonların yalnızca %24’ünün çözebildiği o sorun.
Dördüncüsü, kariyer yollarının hem tanımlanması hem de çalışanlara açık şekilde aktarılması. Kulağa basit geliyor, ancak pratikte birçok organizasyon bunu yapmıyor. Yol haritası ya yöneticilerin zihninde kalıyor ya da hiç oluşturulmuyor — ve bu boşluk doğrudan devir hızına yansıyor: nereye gideceğini bilmeyen junior yetenek tutunmuyor.
Belki de en büyük hata, bu problemi hâlâ “Kaç kişimiz var?” sorusuyla ölçmek. Oysa bugün asıl sorulması gereken soru çok daha net:
Bu insanlar gerçekten ne yapabiliyor?
Çünkü siber güvenlikte en büyük risk, insan sayısındaki eksiklik değil;
yanlış bir güven duygusudur.
