İşten ayrılan bir çalışan, kuruluşun veri ihlaliyle karşı karşıya kalmasına neden olabiliyor. Yapılan bir araştırmaya göre çalışanların %45’i ayrılmadan önce işle ilgili belgeleri indiriyor, kaydediyor, gönderiyor veya dışa aktarıyor. Siber güvenlik şirketi ESET, verilerin güvende kalmasını sağlamak için şirketlerin nelere dikkat etmesi gerektiğini inceledi.
Şirketlere yönelik saldırıların genellikle dışarıdan geleceği öngörülür. Ancak, şirket çalışanları tarafından da suistimaller olabilir. Günümüzde birçok şirketteki bulut tabanlı uygulamalara, veri depolama alanlarına ve şirket ağındaki diğer kaynaklara neredeyse her cihazdan ve her yerden erişim sağlanabiliyor. Bu durum salgın sırasında verimliliği artırmak için önemli bir gereklilik olmasına rağmen, doğru kontroller bulunmadığında çalışanların politikaları kötü amaçlı kullanmalarını da kolaylaştırdı.
Çalışanlarla ilgili riskler arttı
COVID-19 salgını, şirket içinden kaynaklanan risklerin gerçekleşmesi için uygun koşulların oluşmasına neden oldu. Şirketler, salgının etkisiyle ortaya çıkan uzaktan çalışma ve bulut altyapısı dolayısıyla, dolandırıcılığa her zamankinden daha açık hale geldi. Riskler düzgün bir şekilde en aza indirilmediği sürece işten ayrılan çalışanlar kasti olarak veya farkında olmadan kuruluşlara önemli ölçüde maddi ve manevi zarar verebilir. 2018 ve 2020 yılları arasında şirket içi çalışanlarla ilişkili riskler %31 artarak neredeyse 11,5 milyon $’a ulaştı.
Şirketlerin politikaları yok
Yapılan bir araştırmaya göre kuruluşların çoğu (%43), çalışanların şirketten ayrılırken işle ilgili verileri beraberlerinde götürmelerini yasaklayan bir politikaya sahip değiller. İngiltere’de kuruluşların yalnızca %47’si işten ayrılma sürecinin bir parçası olarak erişim izinlerini kaldırıyor ve sadece %62’si şirket cihazlarını geri istiyor. Başka bir veriye göre, çalışanların neredeyse yarısı (%45) işten ayrılmadan önce işle ilgili belgeleri indiriyor, kaydediyor, gönderiyor veya dışa aktarıyor. Bu durum genellikle teknoloji, finansal hizmetler, danışmanlık ve yönetim sektörlerinde daha sık görülüyor.
İşten ayrılma süreci nasıl daha güvenli hale getirilir
Bu tehditlerin birçoğu, kuruluşların daha etkili işten ayrılma süreçleri uygulaması sayesinde daha iyi yönetilebilir. Düşünülenin aksine bu süreçler çalışan istifa etme veya işten ayrılma sinyalleri vermeden çok daha önce başlamalıdır.
Politikanızı çalışanlarınıza açıkça belirtin
Ofis çalışanlarının %72’si işyerinde oluşturdukları verilerin kendisine ait olduğunu düşünüyor. Bu veriler, müşteri listelerinden mühendislik tasarımlarına kadar her şeyi kapsıyor. Çalışanların fikri mülkiyet hakları ile ilgili sınırları anlamasına yardımcı olmak üzere bu sınırları açıkça anlatan ve resmi olarak yazılı bir halde bulunduran bir politika, çalışanla yolları ayırma noktasına gelindiğinde oldukça yararlı olabilir. Çalışanların bu politikayı ihlal ettiğinde neler olabileceğini net bir şekilde içeren uyarıların yanı sıra bu politika işe alım sürecinin standart bir parçası olarak uygulanmalıdır.
Etik alanları ihlal etmeden kötü niyetli çalışanları izleyin
Şirketten ayrılmadan önce bilgi çalmayı planlayan kötü niyetli bir çalışan, işten ayrılacağını insan kaynaklarına bildirmeden çok daha önce bilgileri çalmaya başlar. Bu nedenle kuruluşlar sürekli olarak kaydeden ve şüpheli etkinliği bildiren izleme teknolojileri kullanmalıdır, ancak bu izleme teknolojilerini kullanırken yerel gizlilik yasalarını ve çalışanla ilgili etik alanları ihlal etmemelidir.
Bir politikaya ve sürece sahip olun
Çalışanların işten ayrılma sürecinin sorunsuz ve etkili bir biçimde ilerlemesi için öncesinde net bir sürece ve akışa sahip olmalısınız. Neredeyse tüm kuruluşlar işe alım sürecine sahipken, çalışanların işten ayrılması ile ilgili süreci göz ardı eder. Aşağıdakileri göz önünde bulundurarak bir işten ayrılma süreci oluşturun:
- Tüm uygulamalara ve hizmetlere erişimin devre dışı bırakılması ve tüm uygulamaların ve hizmetlerin şifrelerinin sıfırlanması
- Binaya erişimin engellenmesi
- Şüpheli davranışları kontrol için işten ayrılma görüşmesi düzenlenmesi
- Olağan dışı bir etkinlikle ilgili ipucu olması olasılığına karşı izleme/giriş araçlarının son olarak gözden geçirilmesi
- Şüpheli bir etkinlik görülmesi durumunda bunun İnsan Kaynakları’na/yasal birimlere iletilmesi
- Fiziksel olarak tüm şirket cihazlarının geri alınması
- E-posta iletiminin ve dosya paylaşımının engellenmesi
- Lisansların diğer kullanıcılara atanması
