İnsan Kaynakları Yönetiminde Bilgi ve Belge Güvenliği

İnsan kaynakları yönetiminde geçmişten günümüze bilgi teknolojileri kullanımını 4 temel aşamada ele almaktayız. Bu aşamalar basılı belge esaslı sistemler, kişisel bilgisayarların ilk sürümlerinin kullanımı, veritabanı yönetim sistemlerinin gelişimi ve web tabanlı teknolojilerin ortaya çıkışıdır.

Bilgi güvenliği, kabaca bilgiye yetkisiz kişiler tarafından yapılacak erişimin ve zarar verecek eylemlerin engellenmesi şeklinde ifade edilebilir. Bilgi güvenliği, gizlilik, bütünlük ve kullanılabilirlik olarak adlandırılan 3 temel unsuru gerçekleştirmeyi hedefler.

Bilgi güvenliği, kabaca bilgiye yetkisiz kişiler tarafından yapılacak erişimin ve zarar verecek eylemlerin engellenmesi şeklinde ifade edilebilir. Belge ise bilginin çeşitli şekillerde kayıt altına alınmış halidir. Bu sebeple, bilgi güvenliği için yapılan açıklamalar genel itibariyle belge güvenliği kavramını da kapsamaktadır.

Kişisel bilgisayarların ilk sürümlerinin ve yerel bilgisayar ağlarının kullanıldığı dönemde, bilgiler merkezi bir sunucu bilgisayar ortamında kayıt altında tutulabilmektediydi. Ancak aynı işyerindeki kişisel bilgisayarlar vasıtasıyla merkezi bilgisayara erişebilemesi ve merkezi bilgisayar üzerindeki kayıtların görüntülenebilmesi söz konusuydu. Bu durumda, bilgi teknolojileri açısından gizlilik konusunda endişeler ortaya çıkmaya başlamıştır. Çünkü sadece belirli yetkilere sahip personellerin insan kaynakları ile ilgili bilgilere ulaşması gerekmektedir. Kayıtları görüntüleyebilecek veya değiştirilebilecek çalışanların belirlenmesi gerekmektedir.
Dolayısıyla, gizlilik açısından problemlerin yaşanmaması için belirli çalışanlara belirli yetkilendirme dereceleri oluşturulması ihtiyacı doğmaya başlamıştır.

Veritabanı, birbirleriyle ilişkili bilgilerin belirli bir düzene göre depolandığı alandır.

Veritabanı yönetim sistemleri veritabanlarını oluşturmak ve içerisindeki verileri işlemek için tasarlanmış yazılımlardır.

Web tabanlı teknolojilerin kullanılmasının en önemli avantajı fiziksel olarak herhangi bir yerde bulunan bilgisayarlardan istenilen bilgilere ulaşılabilmesidir.

• Bir e-ticaret firmasının müşteri bilgileri ile ilgili kayıtlarının ele geçirilmesi
• Bir sosyal medya uygulaması içerisindeki kişisel bilgilerin çalınması
• Öğrenci bilgi sistemindeki notların yetkisiz kişilerce değiştirilmesi
• Şahıslara ait kredi kartı bilgilerinin yetkisiz kişilerin eline geçmesi
• Bir gıda firması çalışanlarına ait kişisel bilgilerin yetkisiz kişilerin eline geçmesi

bilgi güvenliğinin yeterli düzeyde sağlanamadığı durumlara örnek olarak verilebilir.

Gizlilikle ilgili kavramlar temel olarak önemli bilgilerin yanlış kişilerin eline geçmesini engellemek amacını güder.

Bütünlük kavramı, bilgilerin eksiksiz, tutarlı ve doğru olması anlamını taşımaktadır.

Kullanılabilirlik kavramı, bilgilerin ihtiyaç duyulduğunda yetkisi olan kişiler tarafından erişilebilir olmasıdır.

Türkiye’de kamu kurum ve kuruluşlarında temelde 4 adet gizlilik seviyeleri ön görülmektedir. Bu gizlilik seviyeleri “Çok Gizli”, ”Gizli”, ”Özel” ve ”Hizmete Özel” olarak adlandırılmaktadır.

Bilgi ve belge güvenliğine yönelik olarak aşağıdaki koşulların sağlanmasına dikkat edilebilir.
• Kurumun bilgi güvenliği ile ilgili politikaları doğrultusunda yeni işe alınacak personelin üzerine düşen sorumluluklar belgelenmiş olmalıdır.
• Yeni işe alınacak personelin belgelenmiş olan bu sorumlulukları algıladığından emin olunmalıdır.
• Yeni işe alınacak olan personelin, gizlilik ve açığa çıkarmama anlaşmalarını imzalaması işe alınma şartının bir parçası olarak istenmelidir.
• Gizlilik ve açığa çıkarmama anlaşmaları, işe alınan personelin ve kuruluşun bilgi güvenliği sorumluluklarını kapsıyor olmalıdır.

Bilgi güvenliğine yönelik saldırıların amacı çoğunlukla işleyen sistemleri bir şekilde kesintiye uğratmak veya sistemlerin işleyişini tamamen durdurmaktır.

Beyaz Şapkalı Bilgisayar Korsanları (White Hat Hacker): Bu gruptaki bilgisayar korsanları aynı zamanda etik bilgisayar korsanları olarak ta bilinirler. Amaçları sadece bilgi sistemlerinin açıklarını tespit etmektir ve bilgi sistemlerinin içerdiği bilgilere zarar verme eğiliminde değillerdir. Hatta kimi zaman şirketlerin bilgi sistemlerinin güvenlik düzeyini test etmek amacıyla bu türdeki bilgisayar korsanları ile çalışmaları söz konusu olabilmektedir. Bu sayede bilgi sistemlerinin açıklarını kapatabilmektedirler.

Bilgisayar korsanlarını daha fazla sayıda grup ile ifade etmek mümkün olmakla beraber bu bölümde 3 temel bilgisayar korsanı grubu üzerinde duracağız. Bu gruplar, beyaz şapkalı, kara şapkalı ve gri şapkalı bilgisayar korsanlarıdır. 

İnsanların suç işlerken kullandıkları kötü amaçlı yazılımlar virüs, truva atı, solucan, tuş kaydedici, casus yazılım gibi alt başlıklar altında toplanmaktadır.

Kimlik Yönetimi ve Doğrulama, Ağ Güvenliği, Bilgisayarların Güvenliği bu önlemlerden bazılarıdır.

Bilgi sistemlerine erişim için kullanıcılara verilecek olan yetkiler ve kullanıcı şifresi doğrulama yöntemleri Kimlik Yönetimi ve Doğrulama kapsamında değerlendirilebilir.

Kurumların içerisindeki bilgisayarlar kablolu veya kablosuz yerel ağlar üzerinde haberleşmektedir. Bu sebeple, bilgisayar ağının dış tehditlere karşı korunması önem arz etmektedir. Bu anlamda kurumların bilgi sistemlerinde merkezi olarak konumlandırılmış bir takım yazılım veya donanımlarlardan bahsetmemiz söz konusu olacaktır. Buna bir örnek olarak güvenlik duvarı (firewall) yazılımını verebiliriz. MAC adresi filtreleme gibi çeşitli yöntemler bulunmaktadır. Bunun yanısıra, kurumsal e-postaların güvenliği için istenmeyen e-posta filtreleme (spam e-mail filter) yazılımları kullanılabilir. 

Yazılım firmaları, sistem açıklarına karşı sürekli güncelleme içerisindedirler ve bu durum genellikle güncel yazılımların birçok saldırı tehdidine karşı daha güvenli olmalarını sağlar. Bunun yanı sıra yasal güvence altındaki lisanslı yazılımlar ile çalışılması da kurumlar adına güvenlik açısından faydalı bir yaklaşımdır. Bir diğer önlem de kurum içerisindeki bilgisayarlara anti virüs yazılımları yüklenmesidir. Yedekleme kavramını da bu başlık altında ele alabiliriz.