2025’te Her Beş Şirketten Biri Çalışan Kaynaklı Veri Sızıntısı Yaşadı

SearchInform araştırması, iç tehditlerin boyutunu ve şirketlerin güvenlik yaklaşımını ortaya koydu.

SearchInform, bilgi güvenliği alanında çözümler geliştiren uluslararası teknoloji şirketi, Türkiye’de faaliyet gösteren 103 özel ve kamu kurumunun BT ve siber güvenlik yöneticileriyle bir anket çalışması gerçekleştirdi. Araştırmada, şirketlerin bu yıl çalışanlardan kaynaklanan veri sızıntılarıyla karşılaşıp karşılaşmadığı, hangi güvenlik önlemlerini kullandıkları ve bilgi güvenliği ihtiyaçları için dışarıdan destek almaya (outsourcing) nasıl baktıkları incelendi.

Araştırmaya katılan kurumların % 21’i, yıl içinde çalışanların hatası ya da kasıtlı eylemleri nedeniyle veri sızıntısı yaşadığını belirtti. Bu şirketlerin önemli bir kısmını, %41 ile orta ölçekli işletmeler oluşturuyor. Sızıntıların en sık görüldüğü sektörler ise hizmet, eğitim, üretim ve kamu olarak öne çıkıyor.

Veri sızıntısı yaşayan şirketlerin %68’i, olay sonrası sızıntının hangi kanaldan gerçekleştiğini tespit edebildiklerini söyledi. Bu vaka­ların yaklaşık üçte biri anlık mesajlaşma uygulamaları üzerinden, %14’ü ise USB/flaş bellekler üzerinden gerçekleşti.

Sadece Siber Güvenlik Birimine Sahip Olmak Yetmiyor

Veri sızıntısı yaşayan kurumların %68’inde hem bir bilgi güvenliği çözümü hem de bir siber güvenlik uzmanı veya ekibi bulunuyor. Buna karşın, aynı gruptaki şirketlerin % 9’unda ne bir güvenlik çözümü ne de bir uzman mevcut.

SearchInform’un Türkiye İş Geliştirme Müdürü Elena Varol, bu tabloyu şöyle yorumluyor:

“Siber güvenlik biriminin kağıt üzerinde var olması ya da şirkette bir güvenlik yazılımı bulunması, tek başına siber olayların önüne geçmiyor. Asıl belirleyici olan, tüm iletişim kanallarının ne kadar kapsamlı izlendiği ve olay inceleme süreçlerinin ne kadar olgun olduğu. Yani mesele ‘araca sahip olmak’ değil, o aracı doğru konumlandırıp etkin kullanmak.”

Varol, özellikle DLP (Veri Sızıntısı Önleme) sistemlerinin kullanımına dikkat çekiyor:

“Veri sızıntısı yaşayan şirketlerin %13’ünde halihazırda bir DLP sistemi kurulmuş durumda. Ancak bu şirketlerin tamamında sızıntı, mesajlaşma uygulamaları üzerinden gerçekleşmiş. Burada yanlış yapılandırılmış güvenlik politikaları ya da kullanılan çözümün teknik sınırları devreye girmiş olabilir. Piyasadaki birçok popüler DLP çözümü, mesajlaşma uygulamalarını ya hiç ya da tam anlamıyla kontrol edemiyor.”

“Sızıntı Yok” Diyen Şirketlerin Önemli Kısmı Aslında Durumu Bilmiyor

Araştırmada, ankete katılan ve “Veri sızıntısı yaşanmadı” diyen şirketlerin %27’sinde hiçbir siber güvenlik çözümü kullanılmazken, %18’inde ise ne güvenlik çözümü ne de siber güvenlik uzmanı bulunmaktadır.

Elena Varol, bu şirketler için şu değerlendirmeyi yapıyor:

“Bu kurumlar herhangi bir sızıntıyla karşılaşmamış görünüyor. Ancak güvenlik çözümü ve uzman olmadan, gerçekte içeride ne olup bittiğini bilmiyorlar. Yani ‘sızıntı yok’ ifadesi çoğu zaman ‘tespit edilen sızıntı yok’ anlamına geliyor.”

İç Tehditler Birlikte Geliyor: Veri Sızıntısı Olan Yerde Başka İhlaller de Var

Ankete göre bazı şirketler, veri sızıntısına ek olarak ekipman hırsızlığı, çalışanların rakip firmalar için çalışması ve mesai saatleri içinde gizli olarak freelance ya da ikinci iş yapma gibi vakalarla da karşılaşmaktadır.

Bu tür iç olaylarla karşılaştığını söyleyen şirketlerin %43’ü, aynı zamanda veri sızıntısı da yaşadığını belirtti.

SearchInform Bilgi Güvenliği Uzmanı Pınar Güneş, bu bulguyu şöyle değerlendiriyor:

“Bu sonuçlar, iç tehditlerin nadiren tek başına ortaya çıktığını gösteriyor. Güvenlik kültürünün zayıf olduğu, çalışan davranışlarının yeterince kontrol edilmediği ortamlarda, sadece veri sızıntısı değil; hırsızlık, rakibe çalışma, gizli ek iş gibi pek çok risk aynı anda büyüyor. İç tehditlere bütüncül bakılmadığında, kurumlar bir sorunu çözerken diğerlerini gözden kaçırabiliyor.”

Kurumlar, Siber Güvenlikte Outsource Modeline Temkinli Yaklaşıyor

Araştırma, bilgi güvenliğinin dış kaynağa devri (outsourcing) konusundaki algıyı da ortaya koydu. Katılımcıların: %61’i, bilgi güvenliği hizmetlerini dışarıya devretmeyi düşünmediğini, %20’si, böyle bir hizmetten haberdar olmadığını, %19’u ise, güvenlik görevlerinin en azından bir kısmını dış bir hizmet sağlayıcıya devretmeyi planladığını belirtti.

Dikkat çeken bir diğer nokta ise şu: Güvenliği outsource etmeyi düşünen şirketlerin %70’inde zaten en az bir siber güvenlik uzmanı bulunuyor.

Güneş’e göre bu, outsource kavramının doğru anlaşıldığı şirketlerde “ikame” değil, “destek ve güçlendirme” aracı olarak konumlandığını gösteriyor:

“Birçok kurumun güvenliği dışarıya devretmeye mesafeli olmasının temelinde, üçüncü tarafları kendi altyapılarına sokma konusundaki çekinceler yatıyor. Buna, outsource hizmetlerine dair düşük farkındalık da eklenince tablo netleşiyor. Öte yandan outsource’a açık olan kurumlara baktığımızda, bu modeli kendi siber güvenlik ekiplerinin yerine geçen bir yapı gibi değil, iç kaynaklarını güçlendiren, uzmanlığını genişleten bir destek hattı olarak gördüklerini söyleyebiliriz.”

Şirket Hakkında

SearchInform, bilgi güvenliği ve risk yönetimi alanında çözümler geliştiren uluslararası bir yazılım firmasıdır. 20’den fazla ülkede 4.000’den fazla kurumsal müşteriye sahip olan şirket; veri merkezli denetim ve koruma çözümü, yeni nesil DLP sistemi ve çalışan verimliliği izleme platformu gibi kapsamlı iç tehdit koruma çözümleri sunmaktadır.