Verizon DBIR’e göre ihlallerin önemli bölümünde insan faktörü var. En pahalı senaryo da ayrılırken veri götüren çalışan. İç tehdit tiplerini, ayrılış öncesi kritik 30 günü, davranış sinyallerini ve katmanlı önleme çerçevesini inceliyoruz.
Önemli Çıkarım (Key Takeaways)
İç tehdit deyince akla kötü niyetli çalışan gelir. Oysa ihmalkar kullanıcı ve ele geçirilmiş hesap da aynı hasarı verir. En yüksek riskli pencere, çalışanın istifa bildirimi ile son iş günü arasındaki ~30 gündür. Etkili savunma davranış sinyallerini (toplu kopyalama, olağandışı saat, kişisel buluta yükleme) izleyen uç nokta telemetrisi + DLP birleşimidir.
“Ayrılan çalışan verileri götürdü, fark edemedik.” Bu cümle Türkiye’de KVKK ihlal bildirimlerinin ve ticari sır davalarının en sık tekrarlanan özetidir. İç tehdit (insider threat), kurumun kendi erişim yetkilerinin veriye zarar vermek için kullanılmasıdır. Erişim zaten meşru olduğu için dış saldırılardan daha zor fark edilir.
1. İç Tehdit (Insider Threat) Nedir?
İç tehdit; meşru erişim yetkisi olan kişilerin (çalışan, yüklenici, iş ortağı) bu yetkiyi veri sızıntısı, sabotaj veya istismar için kullanmasıdır. Kritik nokta: saldırgan zaten güvenlik çevresinin içindedir; çevre savunması, VPN ve güvenlik duvarı bu senaryoda işe yaramaz.
2. Üç İç Tehdit Tipi
| Tip | Motivasyon | Tipik İmza |
|---|---|---|
| Kötü niyetli | Para, kızgınlık, rakibe taşınacak veri | Ayrılış öncesi toplu kopyalama, kişisel e-postaya ek |
| İhmalkar | Kasıt yok; dikkatsizlik, politika bilmeme | Yanlış kişiye e-posta, herkese açık bulut klasörü, şifresiz USB |
| Ele geçirilmiş | Hesabı çalınan kullanıcı adına hareket eden dış saldırgan | Olağandışı saat/lokasyon, anormal dosya erişimi |
Sahada en pahalıya patlayan tip kötü niyetli olandır, özellikle de ayrılmak üzere olan çalışan. Müşteri listesi, fiyat tablosu veya kaynak kod, “son hafta içinde” sessizce taşınır.
3. Ayrılan Çalışan Senaryosu: Kritik 30 Gün
İstifa bildirimi ile son iş günü arasındaki dönem iç tehdit yönetiminin en kritik penceresidir. Bu pencerede izlenmesi gereken sinyaller:
- Toplu dosya erişimi: Kullanıcının normalin 5-10 katı dosyaya dokunması.
- Taşınabilir medya aktivitesi: USB takma ve klasör kopyalama denemeleri.
- Kişisel buluta/e-postaya aktarım: Drive, Dropbox, Gmail ekleri, WeTransfer.
- Mesai dışı aktivite: Gece veya hafta sonu anormal dosya erişimi.
- Sıkıştırma ve şifreleme: Büyük arşivlerin (zip/7z) oluşturulması.
- Silme davranışı: Gönderileri ve geçmişi temizleme girişimleri.
“İç tehdit bir kişi problemi değil, bir görünürlük problemidir. Meşru erişimi kötüye kullananı, erişim anındaki davranışı izlemeden yakalayamazsınız.”
Sencer Erdem, Kıdemli Uç Nokta Güvenlik Mimarı
4. Tespit: Davranış Sinyalleri Nasıl İzlenir?
Tek bir sinyal nadiren kanıttır; örüntü anlamlıdır. Etkili tespit, uç nokta telemetrisi (dosya erişimi, proses, cihaz) ile DLP kanal denetiminin birleşimini gerektirir. Departman bazlı taban çizgisi kurulur: finans çalışanının büyük Excel dosyalarına erişmesi normaldir, aynı davranışın satış stajyerinde görülmesi değildir.
İhbar zinciri kısa tutulmalıdır: sinyal → risk skoru → uyarı → isteğe bağlı otomatik aksiyon (USB kilidi, ağdan izolasyon). Haftalar sonra yapılan log incelemesi yalnızca kanıt için işe yarar, sızıntıyı durdurmaz.
5. Katmanlı Önleme Çerçevesi
- Erişim hijyeni: En az yetki (least privilege), ayrılış anında hesap ve token kapatma, atıl hesap temizliği.
- Veri envanteri: Hassas verinin nerede olduğunu DSPM ile bilin; korunmayan veri izlenemez.
- Kanal denetimi: DLP ile e-posta, USB ve bulut yükleme kanallarında gerçek zamanlı politika.
- Davranış analitiği: Toplu kopyalama, mesai dışı erişim ve anormal hacim için uyarı eşikleri.
- Kanıt zinciri: Olay kayıtlarının kurcalanamaz şekilde saklanması. Hukuki süreç ve KVKK bildirimi için şart.
- Kültür: Net veri politikası + ayrılış protokolü; izlemenin şeffaf ve meşru çerçevede duyurulması.
6. Sonuç
İç tehdit güvenlik çevresinin içinden geldiği için klasik savunmaları bypass eder. Çözüm, erişimi azaltmak, hassas veriyi envanterlemek ve hareket anını DLP + davranış telemetrisiyle izlemektir. Moftgate bu üçünü tek ajan omurgasında birleştirir: cihaz duruşu, veri sınıflandırması ve kanal denetimi aynı telemetriyi paylaşır.
15 yılı aşkın kurumsal altyapı güvenliği, tersine mühendislik ve DLP mimarisi deneyimi. Bankacılık, savunma ve kamu sektörlerinde 100.000’den fazla uç noktanın yerel ve kapalı devre güvenlik dönüşümünü yönetti.
Uygulayıcılar İçin Uzman Yanıtları
Çalışanları izlemek KVKK açısından yasal mı?
Ölçülülük şartıyla evet. İzleme meşru amaçla (veri güvenliği), çalışana önceden bildirilerek ve iş amaçlı veriyle sınırlı yapılmalıdır. Kişisel iletişim içeriği yerine dosya hareketi ve meta veri izlenmesi ölçülülüğü korur. Aydınlatma metni ve yazılı politika esastır.
Ayrılan çalışanın veri götürdüğü sonradan kanıtlanabilir mi?
Olay anında uç nokta telemetrisi ve DLP kayıtları tutuluyorsa evet: hangi dosyanın, hangi kanala, ne zaman aktarıldığı zaman çizelgesiyle belgelenir. Kayıt yoksa sonradan kanıt üretmek çok zordur. Bu yüzden sürekli izleme, olay sonrası incelemeden önce gelir.
İç tehdit tespiti için sadece DLP yeterli mi?
Hayır. DLP kanalda engeller; ancak kimin, hangi cihazda, hangi dosyaya önce eriştiğini görmek için uç nokta telemetrisi gerekir. İhmalkar senaryolarda ise erişim azaltma ve veri envanteri (DSPM) devrededir. Üç katman birlikte çalışmalıdır.
Ele geçirilmiş hesap iç tehdidi nasıl ayırt edilir?
Hesap meşru kimlikle giriş yaptığı için kimlik doğrulama tek başına ayırt edemez. Davranış bağlamı ayırt eder: olağandışı saat, yeni cihaz, kullanıcının taban çizgisinden sapma. Bu sinyaller uç nokta telemetrisi ve SSO/SSPM kayıtlarının birleşimiyle görünür olur.
Resmi Standartlar ve Kaynakça
- •Verizon 2025 Data Breach Investigations Report (DBIR) ↗(İhlallerde insan faktörünün payı ve içeriden kaynaklanan senaryoların dağılımı.)
- •IBM Cost of a Data Breach Report 2025 ↗(İçeriden kaynaklanan ihlallerin ortalama maliyeti ve tespit süreleri.)
- •KVKK Veri İhlali Bildirim Rehberi ↗(Çalışan kaynaklı sızıntılarda 72 saat bildirim yükümlülüğü ve kanıt beklentisi.)
- •ISO/IEC 27001:2022 Information Security Controls (Annex A) ↗(A.6 İnsan kaynağı güvenliği: ayrılış süreci ve erişim geri alma kontrolleri.)