Çalışan Verilerinizi Korumaya Yönelik En İyi Uygulamalar
Kuruluşların çalışanlarının kişisel verilerini koruma sorumluluğu vardır. Ancak çalışanların kendileri en iyi güvenlik uygulamaları konusunda yeterince bilgi sahibi değilse veya verilerini güvence altına almak için gerekli araçlar sağlanmadıysa, başarılı olmaları nasıl beklenebilir?
Çalışanlar hassas verilerini dikkatsizce sürücülere, cihazlara, e-postalara ve belgelere, çoğunlukla da en açık konumlara dağıtabilir. Bu bilgilerin yanlış ellere geçmesi ciddi bir veri ihlaline yol açabilir. Endişelenmemiz gereken sadece olayların kendisi değil, aynı zamanda ortaya çıkabilecek olası cezalar da. Örneğin GDPR, çalışan verilerini içeren ihlaller ile müşteri verilerini içeren ihlaller arasında hiçbir ayrım yapmamaktadır.
Kişisel verilerini güvenli bir şekilde saklamamanın sonuçlarını anlamadıkları için çalışanları gerçekten suçlayamayız. Sonuçta çoğumuzun saklaması gereken pek çok gizli bilgisi var; bu bilgiler oturum açma bilgileri, banka bilgileri, pasaport taramaları, önemli notlar vb. olabilir. Sadece bu değil, birçok çalışan şirketin ağı bilgisayar korsanlarından ve kötü niyetli kişilerden korumak için gerekli güvenlik kontrollerini uyguladığına dair doğal bir varsayımda bulunuyor. Gerçek şu ki birçok kuruluş hâlâ hangi varlıkları sakladıklarını, bu varlıkların nerede bulunduğunu ve bunlara kimlerin erişebileceğini takip etmekte zorlanıyor.
Pek çok şirket "en az ayrıcalıklı" erişimi zorunlu kılmak için gerekli güvenlik kontrollerini uygulama konusunda başarısız oluyor. En az ayrıcalık açısından ne durumda olduğunuzu görmek için hızlı bir test istiyorsanız, kuruluşunuzdaki herkese açık kaç klasörünüz olduğuna bir göz atın. Çok fazla olduğuna bahse girerim. Ayrıca çalışanların kendi cihazlarını iş yerine getirmesi giderek büyüyen bir trend olan BYOD ile ilgili bir sorun var. BYOD'nin birçok avantajı olsa da, doğru yönetilmezse kuruluşların hassas verilere nasıl erişildiğini ve bu verilere güvenli bir şekilde erişilip erişilmediğini takip etmesini çok zorlaştırabilir.
Çalışanların Kişisel Bilgilerini Yeterli Şekilde Güvenceye Almaları Nasıl Sağlanır?
Kuruluşların atması gereken ilk ve en belirgin adım, sağlam bir güvenlik farkındalığı eğitim programı uygulamaktır. Çalışanlar, Kişisel Olarak Tanımlanabilir Bilgilerin (PII) güvenli olmayan bir şekilde saklanmasıyla ilişkili risklerin farkında olmalıdır. Örneğin çoğu çalışan, ağdaki diğer kullanıcıların, cihazlarında depolanan PII'lere erişebileceğinin farkında değildir.
Şirketlerin tam olarak hangi verileri sakladıklarını ve bu verilerin nerede bulunduğunu bilmeleri zorunludur. Hassas verilerin tanımlanması ve sınıflandırılması sürecini otomatikleştirebilecek veri keşfetme ve sınıflandırma araçları mevcuttur. Veri sınıflandırma, şirketlerin kaynakları daha etkili bir şekilde önceliklendirmesini ve tahsis etmesini çok daha kolaylaştıracak. Ayrıca artık gerekli olmayan tüm veriler mümkün olan en kısa sürede silinmelidir. Kuruluşlar, ağa bağlanan tüm cihazların bir envanterini tutmalı ve bir cihazın kaybolması veya çalınması durumunda hassas verilerin şifrelenmesini veya silinmesini sağlamak için Mobil Cihaz Yönetimi yazılımını kullanmalıdır. Verilerin, yetkili cihazlar listesinde olmayan bir cihaza asla gönderilmemesini sağlamak için kontroller uygulanmalı ve şirketler ayrıca işle ilgili e-postaları inceleme hakkını da saklı tutmalıdır.
Çalışanlar doğal olarak hassas bilgilerini tek bir yerde saklamayı tercih ederler ve bu mutlaka kötü bir şey değildir. Önemli olan bu bilgilerin güvenli bir şekilde saklanmasıdır. Oturum açma kimlik bilgileriyle ilgili olarak, parolalarımızı hatırlamamıza ve güvence altına almamıza yardımcı olacak çeşitli araçlar mevcuttur. Örneğin, modern tarayıcıların çoğunda yerleşik bir temel şifre yönetim sistemi bulunur ve saklanan şifrelere birden fazla cihazdan erişilebilir. Benzer işi yapan çeşitli tarayıcı uzantıları da vardır. Diğer ticari araçlar arasında 1Password, Dashlane ve LastPass bulunur.
Son olarak kuruluşların "en az ayrıcalıklı" hesap erişimini zorunlu kılmak için gerekli çözümlere sahip olması gerekir. Çalışanlar yalnızca görevlerini yerine getirmek için ihtiyaç duydukları verilere erişim hakkına sahip olmalıdır. Bunu manuel olarak yapmak mümkün olsa da, bu görevi çok daha kolay hale getirebilecek bir dizi uygun fiyatlı çözüm vardır. Örneğin, Lepide Veri Güvenliği Platformu, kuruluşların mevcut erişim izinlerini, izinlerin nasıl verildiği ve ne zaman değiştirildiğine ilişkin ayrıntıları içeren sezgisel bir konsol aracılığıyla gözden geçirmesine olanak tanır. Bu tür çözümler, çalışanların kişisel verilerinin bilgisayar korsanları veya kötü niyetli kişiler tarafından ele geçirilmesi riskini önemli ölçüde azaltabilir.