İKY201U-BELGE YÖNETİMİ VE OFİS UYGULAMALARI
Ünite 8: İnsan Kaynakları Yönetiminde Bilgi ve Belge Güvenliği
Giriş
İnsan kaynakları yönetiminde geçmişten günümüze bilgi teknolojileri kullanımını 4 temel aşamada ele almaktayız. Bu aşamalar basılı belge esaslı sistemler, kişisel bilgisayarların ilk sürümlerinin kullanımı, veritabanı yönetim sistemlerinin gelişimi ve web tabanlı teknolojilerin ortaya çıkışıdır. İnsan kaynaklarında bilgi teknolojilerinin kullanımı, bu konudaki bilgi ve belge güvenliği gereksinimleri ile doğrudan bağlantılıdır. Bilgi güvenliği, kabaca bilgiye yetkisiz kişiler tarafından yapılacak erişimin ve zarar verecek eylemlerin engellenmesi şeklinde ifade edilebilir. Belge ise bilginin çeşitli şekillerde kayıt altına alınmış halidir.
İnsan Kaynakları Yönetiminde Bilgi Teknolojilerinin Kullanımı
Kişisel bilgisayarların ilk sürümlerinin ve yerel bilgisayar ağlarının kullanıldığı dönemde, bilgiler merkezi bir sunucu bilgisayar ortamında kayıt altında tutulabilmekteydi. Ancak aynı işyerindeki kişisel bilgisayarlar vasıtasıyla merkezi bilgisayara erişilebilmesi ve merkezi bilgisayar üzerindeki kayıtların görüntülenebilmesi söz konusuydu. Bu durumda, bilgi teknolojileri açısından gizlilik konusunda endişeler ortaya çıkmaya başlamıştır. Çünkü sadece belirli yetkilere sahip personellerin insan kaynakları ile ilgili bilgilere ulaşması gerekmektedir. Kayıtları görüntüleyebilecek veya değiştirilebilecek çalışanların belirlenmesi gerekmektedir. Dolayısıyla, gizlilik açısından problemlerin yaşanmaması için belirli çalışanlara belirli yetkilendirme dereceleri oluşturulması ihtiyacı doğmaya başlamıştır.
Veritabanı, birbirleriyle ilişkili bilgilerin belirli bir düzene göre depolandığı alandır. Veritabanı yönetim sistemleri de veritabanlarını oluşturmak ve içerisindeki verileri işlemek için tasarlanmış yazılımlardır. Veritabanı yönetim sistemleri teknolojisinin gelişimi ile birlikte bilgiler daha bütünleşik halde saklanmaya başlanmıştır. Bilgi sistemleri açısından insan kaynakları bölümleri ile kurumlardaki diğer bölümler entegre olabilir duruma gelmiştir. Bu durumda, veritabanı yönetim sistemlerinden faydalanılarak farklı bölümlere ait bilgilerin bir araya getirildiği karmaşık raporların elde edilmesi mümkün olabilmektedir. Sonuç olarak ta kurumlar insan kaynakları yönetimi ile ilgili modülleri de içerebilen yazılımlar satın almaya başlayabilmiştir. Kurumsal kaynak planlama sistemleri, bu tip yazılımlara örnek verilebilir. Kurumsal kaynak planlama sistemleri, işletmenin tüm kaynaklarının birleştirilip verimli olarak kullanılması için tasarlanmış bilgi sistemlerine verilen genel addır. Bu sistemler, satın alma, müşteri hizmetleri, insan kaynakları gibi çok sayıda değişik bölümlere ait program modülleri içerebilirler
Web tabanlı teknolojilerin kullanılmasının en önemli avantajı fiziksel olarak herhangi bir yerde bulunan bilgisayarlardan istenilen bilgilere ulaşılabilmesidir. Bu durumda, kullanıcı adı ve şifre girilen bir web arayüzü sayesinde belirli yetkiler dâhilinde çeşitli bilgiler
görüntülenebilir ve raporlanabilir. Bu tip teknolojilere internet üzerinden erişilmesi sebebiyle güvenlik konusundaki kaygıların daha da fazla olması beklenebilir. Buna bağlı olarak ta gerekli güvenlik önlemlerinin alınması gerekmektedir.
Bilgi ve Belge Güvenliği
Bilgi güvenliği, kabaca bilgiye yetkisiz kişiler tarafından yapılacak erişimin ve zarar verecek eylemlerin engellenmesi şeklinde ifade edilebilir.
Bilgi güvenliği, temel olarak Şekil 8.1’de yer alan ve CIA üçgeni olarak adlandırılan yapının içerdiği 3 temel unsuru gerçekleştirmeyi hedefler. Gizlilik (confidentiality), bütünlük (integrity) ve kullanılabilirlik (availability) olarak isimlendireceğimiz bu unsurları sırasıyla açıklayacağız. Gizlilik kavramını mahremiyet (privacy) ile özdeşleştirmemiz mümkündür. Gizlilikle ilgili kavramlar temel olarak önemli bilgilerin yanlış kişilerin eline geçmesini engellemek amacını güder. Bilgiye erişim, ilgili konudaki yetkili kişiler ile sınırlı tutulmalıdır. r. Bu amaca yönelik olarak veri şifreme (data encryption) gibi tekniklerden faydalanılabilmektedir. Bunun haricinde biyometrik kimlik doğrulama gibi teknikler gizliliğin korunması amacıyla kullanılabilmektedir. Biyometrik kimlik doğrulama, temel olarak kişilerin kimliklerinin çeşitli fiziksel özellikleri vasıtasıyla tespit edilmesidir. Bütünlük kavramı, bilgilerin eksiksiz, tutarlı ve doğru olması anlamını taşımaktadır. Bütünlüğün bozulmasına izin vermemek için yedekleme gibi bir takım yöntemler kullanılmalıdır. Bunun yanısıra bilgilerin bütünlüğünün doğrulanması için de bir takım yöntemler mevcuttur. Bilgisayar ağları üzerinden yapılan veri aktarımları sonrasında hedefe ulaşan verilerin bütünlüğünün doğrulanmasını buna örnek olarak verebiliriz. Kullanılabilirlik kavramı, bilgilerin ihtiyaç duyulduğunda yetkisi olan kişiler tarafından erişilebilir olmasıdır.
Belge, bilginin çeşitli şekillerde kayıt altına alınmış halidir. Dolayısıyla, bilgi güvenliği için yapılan tanımlar genel olarak belge güvenliğini de kapsamaktadır. Belge güvenliği, önemli belgelerin depolanması, yedeklenmesi ve bu belgelere yetkisiz kişilerin erişiminin engellenmesi şeklindeki işlemler topluluğu olarak tanımlanabilir. Belge güvenliği, belge yönetim sistemleri ve elektronik belge yönetim sistemleri açısından son derece önemlidir. Basılı belgeler için ilk akla gelen kapalı ve herkesin erişemeyeceği fiziksel alanlarda tutulmalarıdır. Böyle bir güvenlik önleminin kurumlarda mevcut işlerin akış hızını etkilemeyecek şekilde tasarlanması gerekir.
Bilgi ve Belge Güvenliğinde İnsan Faktörü
İşe alınma süreçlerinde aday personel için bilgi ve belge güvenliğine yönelik olarak aşağıdaki koşulların sağlanmasına dikkat edilebilir:
• Kurumun bilgi güvenliği ile ilgili politikaları doğrultusunda yeni işe alınacak personelin üzerine düşen sorumluluklar belgelenmiş olmalıdır.
• Yeni işe alınacak personelin belgelenmiş olan bu sorumlulukları algıladığından emin olunmalıdır. • Yeni işe alınacak olan personelin, gizlilik ve açığa çıkarmama anlaşmalarını imzalaması işe alınma şartının bir parçası olarak istenmelidir. • Gizlilik ve açığa çıkarmama anlaşmaları, işe alınan personelin ve kuruluşun bilgi güvenliği sorumluluklarını kapsıyor olmalıdır.
Bilgi ve Belge Güvenliğine Yönelik Bilişim Suçları
Bilgi güvenliğine yönelik saldırıların amacı çoğunlukla işleyen sistemleri bir şekilde kesintiye uğratmak veya sistemlerin işleyişini tamamen durdurmaktır. İnternet sitesinin hizmet vermesini engellemek, internet sitesini başka sayfalara yönlendirmek, internet sitesinin içerdiği dosya ve bilgilere zarar vermek gibi eylemleri bilgi güvenliğine yönelik saldırılara örnek verebiliriz. İnternet suçları konusunda ilk akla gelenlerden birisi şüphesiz ki İngilizce “hacker” olarak adlandırılan ve Türkçe karşılığı “bilgisayar korsanı” olan kişilerdir. Bilgisayar korsanı, sözlük anlamı olarak başka kişilere ait bilgi sistemlerindeki bilgileri gizlice kullanan veya değiştiren kişiler olarak tanımlanır. Bilgisayar korsanlarını daha fazla sayıda grup ile ifade etmek mümkün olmakla beraber bu bölümde 3 temel bilgisayar korsanı grubu üzerinde duracağız. Bu gruplar, beyaz şapkalı, kara şapkalı ve gri şapkalı bilgisayar korsanlarıdır.
• Beyaz Şapkalı Bilgisayar Korsanları (White Hat Hacker): Bu gruptaki bilgisayar korsanları aynı zamanda etik bilgisayar korsanları olarak ta bilinirler. Amaçları sadece bilgi sistemlerinin açıklarını tespit etmektir ve bilgi sistemlerinin içerdiği bilgilere zarar verme eğiliminde değildirler.. Hatta kimi zaman şirketlerin bilgi sistemlerinin güvenlik düzeyini test etmek amacıyla bu türdeki bilgisayar korsanları ile çalışmaları söz konusu olabilmektedir. Bu sayede bilgi sistemlerinin açıklarını kapatabilmektedirler. • Kara Şapkalı Bilgisayar Korsanları (Black Hat Hacker): Bu gruptaki bilgisayar korsanları bilgi sistemlerine yetkisiz giriş yaparak sistemlerin işleyişine ve içerdiği bilgilere zarar vermek amacını güderler. • Gri Şapkalı Bilgisayar Korsanları (Grey Hat Hacker): Bu gruptaki bilgisayar korsanları kara şapkalı bilgisayar korsanları ile beyaz şapkalı bilgisayar korsanlarının karışımı niteliğindedir. Genel olarak kötü amaçlı olmasalar da bilgi sistemlerindeki güvenlik açıklarını bazen kendi çıkarları için kullanabilirler.
Bilişim Suçları
Kötü amaçlı yazılımlar, İngilizce “malicious software” veya kısaca “malware” olarak adlandırılan ve bilgi sistemlerine zarar verebilen yazılımlardır. Bu tür yazılımlar, e-Posta eklerindeki dosyalar ve sosyal
medyadaki bağlantı linkleri gibi çeşitli yolları kullanarak yayılırlar. Kötü amaçlı yazılımlar virüs, truva atı, solucan, tuş kaydedici, casus yazılım gibi alt başlıklar altında toplanmaktadır.
• Virüs: Bilgisayara kullanıcıların bilgisi olmadan yüklenen ve kullanıcının isteği dışında işlemler yapan bir programdır. Virüslerin kendi kendine kopyalayarak çoğalması da söz konusu olabilmektedir. Virüsler genelde “exe” veya “bat” gibi dosya uzantılarına sahiptirler. Virüsler, bilgisayarlara bulaşıp yerleşme şekillerine göre temel olarak dosya virüsleri, önyükleme sektörü virüsleri, makro virüsler, ağ virüsleri gibi değişik gruplara ayrılabilmektedirler. • Truva atı: İngilizce “trojan horse” olarak adlandırılan bu kötü amaçlı yazılımlar bilgisayarların yetkisiz kişilerce uzaktan kullanılabilmesine imkân sağlayan programlardır • Solucan: İngilizce “worm” olarak adlandırılan bu kötü amaçlı yazılımlar kendilerini başka bilgisayarlara yayılmak için çoğaltan programlardır. Bu tip programlar, içerisinde yayıldıkları bilgisayar ağlarını yavaşlatırlar. Solucan bir kez sisteme girdikten sonra kendi başına ilerleyebilir. • Tuş kaydedici: İngilizce “keylogger” olarak adlandırılan bu kötü amaçlı yazılımlar bilgisayar veya başka elektronik cihazlarda yazılan her şeyi kaydeden ve başkalarının bu bilgileri toplamasına izin veren programlardır. Genellikle bilgisayar kullanıcılarının girdiği kullanıcı adı ve şifre gibi bilgileri izinsiz şekilde elde etmeyi amaçlarlar. • Casus yazılım: İngilizce “spyware” olarak adlandırılan bu kötü amaçlı yazılımlar bulundukları bilgisayardaki kişisel bilgileri veya internet aktivitelerini bilgisayar korsanlarına gönderen programlardır. Hedef bilgisayara bir kez bulaştıktan sonra çeşitli yollarla daha fazla yayılmaya ihtiyaç duymazlar. Casus yazılımın amacı girilen sistem içerisinde gizli kalarak istenen bilgileri toplamaktır.
Bilişim Suçlarına Karşı Alınabilecek Önlemler
Bilgi sistemlerine erişim için kullanıcılara verilecek olan yetkiler ve kullanıcı şifresi doğrulama yöntemleri bu kapsamda değerlendirilebilir. Daha önce de bahsettiğimiz gibi her bir kullanıcıya veya kullanıcı grubuna olması gerektiği kadar yetki verilmesi gerekir. Kimi zaman farklı yetkilendirme derecelerinin tanımı ile uğraşmak istemeyen kişiler her bir kullanıcıya yönetici yetkisi dahi tanımlayabilmektedirler. Bu tarz yaklaşımların istenmeden birtakım bilgi ve belgelerin kaybedilmesine yol açması oldukça olasıdır. Bir diğer hususta bilgi sistemlerinde tanımlı olan kullanıcı şifrelerinin kolayla tespit edilebilir olmamasıdır.
Kurumların içerisindeki bilgisayarlar kablolu veya kablosuz yerel ağlar üzerinde haberleşmektedir. Bu
sebeple, bilgisayar ağının dış tehditlere karşı korunması önem arz etmektedir. Bu anlamda kurumların bilgi sistemlerinde merkezi olarak konumlandırılmış bir takım yazılım veya donanımlardan bahsetmemiz söz konusu olacaktır. Buna bir örnek olarak güvenlik duvarı (firewall) yazılımını verebiliriz. Güvenlik duvarı (firewall), yerel ağ ile dış ağlar arasındaki trafiği kontrol eden yazılım veya donanımlardır. Sadece kablosuz bilgisayar ağlarının güvenliğini sağlamak için deşifreleme ve MAC adresi filtreleme gibi çeşitli yöntemler bulunmaktadır. Bu konuda, İngilizce kısaltmaları WEP (kablolu dengi gizlilik) ve WPA (kablosuz bağlantı korunmuş erişim) olan şifreleme yöntemlerini örnek verebiliriz. Bu yöntemler sayesinde kablosuz ağlara erişim için girilen şifreler daha korunaklı bir şekilde sunuculara ulaşacak ve doğrulamaları gerçekleştirilecektir. Bunun yanısıra, kurumsal e-Postaların güvenliği için istenmeyen e-Posta filtreleme (spam e-Mail filter) yazılımları kullanılabilir. Bunun sebebi internet ortamında kişisel bilgilerin ele geçirilmesi amacıyla istenmeyen e-Postaların sıklıkla kullanılmasıdır. Bu tip yazılımların düzgün çalışabilmesi için içerdiği kuralların doğru tanımlanmış olması gerekir. Aksi durumda kişiler veya kurumlar arasındaki bilgi alışverişinde aksamalar ve gecikmelerle karşılaşılabilir.
Öncelikle kurumlar içerisinde kullanılan yazılımların güncel olmasına dikkat edilmelidir. Yazılım firmaları, sistem açıklarına karşı sürekli güncelleme içerisindedirler ve bu durum genellikle güncel yazılımların birçok saldırı tehdidine karşı daha güvenli olmalarını sağlar. Bunun yanısıra yasal güvence altındaki lisanslı yazılımlar ile çalışılması da kurumlar adına güvenlik açısından faydalı bir yaklaşımdır. Bir diğer önlem de kurum içerisindeki bilgisayarlara antivirüs yazılımları yüklenmesidir. Böylelikle bilgisayar korsanlarının kötü amaçlı yazılımları kullanarak bilgisayarlara zarar vermesinin büyük oranda önüne geçilmiş olur.