Eskiden genel kanı, veri güvenliği tehditlerinin esas olarak içeriden değil dışarıdan kaynaklandığı yönündeydi; bu nedenle dışarıya yönelik uygun veri koruma önlemleri alınmıştı. Ancak son birkaç yılda birçok şirket, çalışanların şirketin hassas verilerini sızdırmasının veya tahrip etmesinin şirkete tahmin edilemez boyutlarda etkiler yaratabileceğini fark etti.Bu farkındalık değişimi, Edward Snowden olayıyla başladı. Edward Snowden, bir zamanlar NSA’da (ABD Ulusal Güvenlik Ajansı) dış kaynaklı teknisyen olarak çalışmış ve NSA’nın önemli gizli belgelerini çalmıştı.
Snowden olayı dışında, Boscom’un kamuya açık bir raporu da şu görüşü sorgulamıştır: “Şirket verilerine yönelik başlıca tehditler dışarıdan gelmektedir: bilgisayar korsanları, ticari casuslar ve diğer rakipler”.Bu rapor, rahatsız edici bir gerçeği ortaya koydu: İşten ayrılan çalışanların yaklaşık %85’i, şirketin hassas verilerini yanlarında götürüyor. Üstelik çalışanların hassas ve gizli verileri yanlarında götürerek işten ayrılmak istemeleri, nispeten kolay bir iş. Snowden’ın NSA’dan çaldığı bilgiler son derece haber değeri taşıyor olsa da, bu olay aynı zamanda iç kaynaklı veri sızıntılarının ciddi sonuçlarını da ortaya koydu.
Yukarıdakiler ışığında, şirketlerin veri güvenliğini sağlamanın neden bu kadar zor olduğu, özellikle de bu güvenlik risklerinin şirket içi çalışanlardan kaynaklandığı kolayca anlaşılabilir. Çalışanların şirket içi verilere erişimi, işin gereği olarak zorunludur. Erişime kısıtlamalar getirilmesi, çalışanların normal işlerini ve hatta şirketin genel işleyişini olumsuz etkileyebilir. Peki bu sorun çözümsüz mü?
Bu sorunu, sektörle ilgili gerçek bir örnek üzerinden inceleyelim: döviz brokerliği şirketleri.
Aracı kurumların farklı işlevsel departmanları vardır ve her departmanın erişim yetkileri farklıdır. Satış temsilcilerinden pazarlama ekibine (örneğin e-posta pazarlama uzmanları) kadar, müşterilere ait farklı sınıflandırma bilgileri, yazılım aracılığıyla farklı işlevsel departmanlar ve pozisyonlara göre görünürlük ayarları yapılmalıdır. Çünkü bir çalışan, yetki alanı dışındaki bilgileri gördüğünde, veri güvenliği ihlali meydana gelir.İşte bu nedenle, veri erişim izinlerini pozisyona göre ayırmak son derece önemlidir. Bu, aracı kurumların şu anda bilgileri iç kaynaklı potansiyel tehditlerden korurken, aynı zamanda verimliliği de etkilememelerinin tek yoludur.
CRM Yönetim Sistemi ve Veri Şifreleme Teknolojisi
Teknik açıdan, aracı kurumlar için veri korumaya en uygun araçlar CRM yönetim sistemi ve veri şifreleme teknolojisidir. İlki, yönetimin hangi verilerin kimler tarafından görülebileceğini belirlemesine olanak tanırken, ikincisi yetkisiz kişilerin (örneğin hackerlar) harici cihazlar aracılığıyla bilgilere erişmesini engeller.Veri şifreleme teknolojisinin bir avantajı, kötü niyetli çalışanların şirketin gizli verilerini dışarıya aktarmasını engellemesidir; çünkü dışarıya aktarılan veriler doğru şekilde şifresi çözülmedikçe, bu veriler hiçbir işe yaramaz hale gelir.
Yukarıda belirtilen önlemleri daha etkili bir şekilde uygulamak için, aracı kurumların veri güvenliği destek araçlarının uygulama stratejisini belirlemesi daha da önemlidir. Bu, teknik önlemlerin mevcut araçlara göre değil, kurallara ve düzenlemelere göre belirleneceği anlamına gelir.Teknik önlemlerin yanı sıra, yönetim ayrıca şirket içinde USB bellek kullanımının yasaklanması veya çalışanların başkalarının hesaplarıyla sisteme giriş yapmasının yasaklanması gibi iç kuralları açıkça belirtmelidir. Bu gereklilikler, açıkça belirtilmeye gerek kalmadan çalışanların uyması gereken ve ayrı bir anlaşma gerektirmeyen kurallar gibi görünse de, pratikte bu tür ihlalleri önlemek o kadar kolay değildir.
Veri sızıntıları her yerde görülebilir
Edward Snowden olayı, veri sızıntılarının her yerde görülebileceğini bize gösterdi. Sonuçta, güçlü ABD Ulusal Güvenlik Ajansı’nın (NSA) verileri bile kolayca çalınıyorsa, bir şirketin verileri ne kadar güvende olabilir ki? Aslında, uygun veri güvenliği önlemleri, şirket verilerinin güvenlik açıklarını önemli ölçüde azaltabilir.Edward Snowden vakasından bahsederken, hangi tür kişilerin ne tür bilgileri çaldığını da unutmamak gerekir: ABD Ulusal Güvenlik Ajansı (NSA), sıradan bir şirketten daha fazla gizli bilgiye sahiptir ve ajanlar bu bilgileri elde etmek için daha büyük riskler almaya da hazırdır.Snowden ve benzerleri, değerler nedeniyle bilgi çalarken, ticari sırlar ise para ve kâr güdüsüyle çalınır. Bu nedenle, ticari sırların çalınmasını önlemeye yönelik önlemler nispeten daha basit ve ekonomiktir.
Özetle, veri risklerinin her yerde mevcut olduğu bir dünyada yaşıyoruz, ancak aynı zamanda bu riskleri önemli ölçüde azaltabilecek birçok teknik çözüm ve standart operasyon prosedürü de bulunmaktadır.Potansiyel veri güvenliği tehditlerine karşı uyanık olmanız ve önceden önlem almanız gerekir; ancak şunu da unutmayın: veri güvenliği tehditleri her yerde olsa da kontrol edilebilir niteliktedir ve veri güvenliğini aşırı derecede korumak için şirketin üretkenliğini ve kârını feda etmenize gerek yoktur.
