Çalışanların yüzde 45’i işten ayrılmadan önce verileri dışa aktarıyor

İşten ayrılan bir çalışan, kuruluşun veri ihlaliyle karşı karşıya kalmasına neden olabiliyor. Yapılan son araştırmalara göre çalışanların yüzde 45’i ayrılmadan önce işle ilgili belgeleri indiriyor, kaydediyor, gönderiyor veya dışa aktarıyor. Siber güvenlik şirketi ESET, verilerin güvende kalmasını sağlamak için şirketlerin nelere dikkat etmesi gerektiğini inceledi.

Şirketlere yönelik saldırıların genellikle dışarıdan geleceği öngörülür. Ancak, şirket çalışanları tarafından da suistimaller olabilir. Günümüzde birçok şirketteki bulut tabanlı uygulamalara, veri depolama alanlarına ve şirket ağındaki diğer kaynaklara neredeyse her cihazdan ve her yerden erişim sağlanabiliyor. Bu durum pandemi sırasında verimliliği artırmak için önemli bir gereklilik olmasına rağmen, doğru kontroller bulunmadığında çalışanların politikaları kötü amaçlı kullanmalarını da kolaylaştırdı.

COVID-19 pandemisi, şirket içinden kaynaklanan risklerin gerçekleşmesi için uygun koşulların oluşmasına neden oldu. Şirketler, pandeminin etkisiyle ortaya çıkan uzaktan çalışma ve bulut altyapısı dolayısıyla, dolandırıcılığa her zamankinden daha açık hale geldi. Riskler düzgün bir şekilde en aza indirilmediği sürece işten ayrılan çalışanlar kasti olarak veya farkında olmadan kuruluşlara önemli ölçüde maddi ve manevi zarar verebilir. 2018 ve 2020 yılları arasında şirket içi çalışanlarla ilişkili riskler yüzde 31 artarak neredeyse 11,5 milyon Amerikan dolarına ulaştı.

Yapılan bir araştırmaya göre kuruluşların çoğu (yüzde 43), çalışanların şirketten ayrılırken işle ilgili verileri beraberlerinde götürmelerini yasaklayan bir politikaya sahip değiller. İngiltere’de kuruluşların yalnızca yüzde 47’si işten ayrılma sürecinin bir parçası olarak erişim izinlerini kaldırıyor ve sadece yüzde 62’si şirket cihazlarını geri istiyor. Başka bir veriye göre, çalışanların neredeyse yarısı (yüzde 45) işten ayrılmadan önce işle ilgili belgeleri indiriyor, kaydediyor, gönderiyor veya dışa aktarıyor. Bu durum genellikle teknoloji, finansal hizmetler, danışmanlık ve yönetim sektörlerinde daha sık görülüyor.

Bu tehditlerin birçoğu, kuruluşların daha etkili işten ayrılma süreçleri uygulaması sayesinde daha iyi yönetilebilir. Düşünülenin aksine bu süreçler çalışan istifa etme veya işten ayrılma sinyalleri vermeden çok daha önce başlamalıdır.

POLİTİKANIZI ÇALIŞANLARINIZA AÇIKÇA BELİRTİN

Ofis çalışanlarının yüzde 72’si işyerinde oluşturdukları verilerin kendisine ait olduğunu düşünüyor. Bu veriler, müşteri listelerinden mühendislik tasarımlarına kadar her şeyi kapsıyor. Çalışanların fikri mülkiyet hakları ile ilgili sınırları anlamasına yardımcı olmak üzere bu sınırları açıkça anlatan ve resmi olarak yazılı bir halde bulunduran bir politika, çalışanla yolları ayırma noktasına gelindiğinde oldukça yararlı olabilir. Çalışanların bu politikayı ihlal ettiğinde neler olabileceğini net bir şekilde içeren uyarıların yanı sıra bu politika işe alım sürecinin standart bir parçası olarak uygulanmalıdır.

ÇALIŞANLARI İZLEYİN

Şirketten ayrılmadan önce bilgi çalmayı planlayan kötü niyetli bir çalışan, işten ayrılacağını insan kaynaklarına bildirmeden çok daha önce bilgileri çalmaya başlar. Bu nedenle kuruluşlar sürekli olarak kaydeden ve şüpheli etkinliği bildiren izleme teknolojileri kullanmalıdır, ancak bu izleme teknolojilerini kullanırken yerel gizlilik yasalarını ve çalışanla ilgili etik alanları ihlal etmemelidir.

BİR POLİTİKAYA VE SÜRECE SAHİP OLUN

Çalışanların işten ayrılma sürecinin sorunsuz ve etkili bir biçimde ilerlemesi için öncesinde net bir sürece ve akışa sahip olmalısınız. Neredeyse tüm kuruluşlar işe alım sürecine sahipken, çalışanların işten ayrılması ile ilgili süreci göz ardı eder. Aşağıdakileri göz önünde bulundurarak bir işten ayrılma süreci oluşturun:

• Tüm uygulamalara ve hizmetlere erişimin devre dışı bırakılması ve tüm uygulamaların ve hizmetlerin şifrelerinin sıfırlanması
• Binaya erişimin engellenmesi
• Şüpheli davranışları kontrol için işten ayrılma görüşmesi düzenlenmesi
• Olağan dışı bir etkinlikle ilgili ipucu olması olasılığına karşı izleme/giriş araçlarının son olarak gözden geçirilmesi
• Şüpheli bir etkinlik görülmesi durumunda bunun İnsan Kaynakları’na/yasal birimlere iletilmesi
• Fiziksel olarak tüm şirket cihazlarının geri alınması
• E-posta iletiminin ve dosya paylaşımının engellenmesi
• Lisansların diğer kullanıcılara atanması