Siber Güvenlik Uzmanı Doğanay’dan önemli uyarılar! ‘İş ararken kimliğinizi kaybetmeyin’

Söz konusu ilanlar kişisel verilerin toplanması, kullanıcıların dijital profillerinin çıkarılması, kimlik bilgilerinin kötüye kullanılması ve hedefli siber saldırılar için veri elde edilmesinde kullanılıyor.

İŞ BAŞVURUSU YAPANLAR DİKKAT!

İnternet üzerinden gerçekleştirilen işe alım süreçlerinin her geçen gün arttığını belirten Doğanay, milyonlarca kişinin iş bulabilmek için özgeçmişlerini farklı platformlar ve şirketlerle paylaştığını, ancak bu verilerin kimler tarafından hangi amaçla toplandığı ve ne kadar süre saklandığı konusunda önemli belirsizlikler bulunduğunu söyledi. Son zamanlarda kamuoyunda geniş yankı uyandıran ve yüzlerce iş başvurusu yapmasına rağmen geri dönüş alamayan aday örneklerinin, meselenin yalnızca istihdam piyasası açısından değerlendirilmemesi gerektiğini gösterdiğini vurgulayan Doğanay, “Burada asıl tartışılması gereken, kaç başvuru yapıldığı değil; milyonlarca vatandaşın özgeçmiş, iletişim, eğitim, mesleki geçmiş ve diğer kişisel verilerinin kimlerin elinde toplandığı, ne kadar süreyle saklandığı ve hangi amaçlarla kullanıldığıdır” dedi.

“CV ARTIK DİJİTAL KİMLİĞİN BİR PARÇASI”

Özgeçmişin yalnızca eğitim ve iş deneyiminden ibaret olmadığının altını çizen Doğanay, “Bugün bir CV; telefon numarası ve e-posta adresinin ötesinde kişinin eğitim geçmişini, çalıştığı kurumları, görevlerini, uzmanlık alanlarını, referanslarını ve kariyer yolculuğuna ilişkin çok sayıda kişisel veriyi bir arada barındırıyor. Bu nedenle CV artık yalnızca bir özgeçmiş değil, kişinin dijital kimliğinin ve profesyonel yaşamının ayrıntılı bir veri haritasıdır” şeklinde konuştu.

KİŞİSEL BİLGİLER SUÇ AMAÇLI KULLANILIYOR

Kişisel verilerin siber suç ekosistemi açısından yüksek değer taşıdığına dikkati çeken Doğanay, kontrolsüz biçimde toplanan kişisel bilgilerin başka veri sızıntıları ve açık kaynaklardan elde edilen bilgilerle birleştirilerek çok daha kapsamlı dijital profillere dönüştürülebileceğini belirtti. Bu profillerin; kişiye özel sosyal mühendislik ve hedefli oltalama saldırılarından hesap ele geçirme girişimlerine, SIM-swap ve kimliğe bürünme yöntemlerinden deepfake destekli dolandırıcılığa, sahte finansal işlemlerden sentetik kimlik oluşturmaya kadar uzanan geniş bir suç yelpazesinde kullanılabileceğini ifade etti. Doğanay, özellikle çalışanların görev, yetkinlik ve kurum bilgilerinin saldırganlara yalnızca bireyi değil, çalıştığı kuruluşu da hedefleme imkânı sağlayabileceğine işaret ederek, “Bir CV'nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını, ne bildiğini, kimlerle bağlantılı olduğunu ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir” değerlendirmesinde bulundu.

“HER İŞ İLANI GERÇEKTEN İŞE ALIM AMACI TAŞIMIYOR OLABİLİR”

İnternette yayımlanan her iş ilanının gerçek bir personel ihtiyacını yansıtmayabileceğini belirten Doğanay, bazı ilanların uzun süre yayında kaldığını, sürekli güncellendiğini ancak herhangi bir işe alımla sonuçlanmadığının görülebildiğini söyledi. Doğanay, "Burada herhangi bir kurum veya platformu suçlamak doğru olmaz. Ancak gerçekten işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığı mutlaka incelenmeli. Milyonlarca insanın kişisel verisinin hangi amaçlarla işlendiği konusunda daha fazla şeffaflığa ihtiyaç var" ifadelerini kullandı.

“SAHTE İŞ İLANLARI DİJİTAL MANİPÜLASYON ARACI HALİNE GELEBİLİR”

Doğanay, gerçek bir işe alım amacı taşımayan ilanların yalnızca kişisel veri güvenliği açısından değil, dijital ekosistemin güvenilirliği açısından da risk oluşturabileceğini belirtti. Bazı şirketlerin veya kötü niyetli yapıların, gerçekte personel ihtiyacı bulunmamasına rağmen sürekli iş ilanı yayımlayarak web sitelerine trafik çekmeyi, sosyal medya hesaplarının etkileşimini artırmayı veya sürekli büyüyen bir organizasyon algısı oluşturmayı hedefleyebileceğine dikkat çeken Doğanay, bu tür uygulamaların aynı zamanda adayların kişisel verilerinin gereksiz yere toplanmasına neden olabileceğini ifade etti.

“GEREKSİZ FAZLA VERİ SİBER RİSK İŞTAHINI ARTIRIR”

Doğanay, şu değerlendirmede bulundu: "Dijital platformlarda yayımlanan her iş ilanının gerçekten istihdam amacı taşıdığı varsayımıyla hareket edilmemelidir. Eğer herhangi bir işe alım yapılmadığı hâlde sürekli yeni ilanlar yayımlanıyorsa, bunun amacı ve toplanan kişisel verilerin nasıl işlendiği şeffaf biçimde ortaya konulmalıdır. Bu durum yalnızca insan kaynakları uygulaması olarak değil, kişisel verilerin korunması ve siber güvenlik perspektifiyle de incelenmelidir. Kaldı ki Kişisel Verileri Koruma Kanunu da kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi kapsamında veri minimizasyonu uygulanması gerektiğini belirtir. Gereksiz fazla veri siber risk iştahını artırır."

“SOSYAL MÜHENDİSLİK SALDIRILARI, HEDEFLİ OLTALAMA KAMPANYALARI...”

Gerçek dışı işe alım ilanlarının kurum içinde de olumsuz etkiler oluşturabileceğini belirten Doğanay, sürekli yeni personel arandığı algısının çalışanlar üzerinde iş güvencesine ilişkin kaygıları artırabileceğini, bunun da kurum kültürü ve çalışan psikolojisi açısından değerlendirilmesi gereken ayrı bir konu olduğunu söyledi. Doğanay, yapay zekâ çağında büyük ölçekli CV havuzlarının siber saldırganlar açısından önemli bir hedef hâline geldiğini belirterek, "Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir. Bu nedenle işe alım süreçleri artık sadece insan kaynaklarının değil, siber güvenlik uzmanlarının da ilgi alanına girmektedir" ifadelerini kullandı.

İŞE ALIM SÜREÇLERİ İÇİN YENİ STANDART ÇAĞRISI

İşe alım süreçlerinde kişisel verilerin korunmasına yönelik yeni standartlar geliştirilmesi gerektiğini belirten Doğanay, şu önerilerde bulundu:

- Gerçek bir açık pozisyon bulunmadan iş ilanı yayınlanmamalı

- Gerçek ve güncel bir açık pozisyona dayanmayan ilanlarda bu durum adaylara açıkça belirtilmeli. 

- Özgeçmiş havuzu oluşturmak amacıyla kişisel veriler toplanmamalı

- Adaylardan toplanan kişisel verilerin hangi amaçla işlendiği açık şekilde belirtilmeli.

- İşe alım süreci tamamlandıktan sonra ihtiyaç duyulmayan özgeçmişler mevzuata uygun biçimde silinmeli.

- İş ilanı platformları ve işverenlerin kişisel veri işleme süreçleri düzenli olarak denetlenmeli.

- Adaylar, kişisel verilerinin ne kadar süre saklanacağı konusunda açık ve anlaşılır şekilde bilgilendirilmeli.

Bunlara ek olarak; aktif olarak iş aramayan vatandaşlarımızın kariyer platformlarındaki hesaplarını gözden geçirmelerini, ihtiyaç duymuyorlarsa özgeçmişlerini yayından kaldırmalarını veya hesaplarını silmelerini öneriyoruz. Çünkü internette uzun süre erişilebilir halde bırakılan kişisel veriler, zaman içinde farklı risklere maruz kalabiliyor. Dijital dünyada kullanılmayan veriyi çevrimiçi ortamda tutmamak en temel siber güvenlik prensiplerinden biridir. Yapay zekâ çağı ile güçlenen yeni nesil siber tehditlerde saldırganın hedefi artık yalnızca sistemler değil; insanın kimliği, verisi ve dijital güvenidir.”

Yapay zekâ teknolojilerinin gelişmesiyle birlikte kişisel verilerin değerinin her zamankinden daha fazla arttığını vurgulayan Doğanay, sözlerini şöyle tamamladı: "Eskiden siber güvenlik denildiğinde akla sunucular, ağlar ve bilgisayar sistemleri gelirdi. Bugün ise en değerli hedef insanın kendisi ve ona ait veriler. Yapay zekâ çağında siber güvenlik artık yalnızca sistemleri değil, insan verisini korumaktır. İş arayan milyonlarca vatandaşın özgeçmişi de korunması gereken stratejik dijital varlıklar arasında yer alıyor. Kişisel verilerin güvenliği artık sadece bireysel bir hak değil, dijital ekonominin ve ulusal siber güvenliğin de temel unsurlarından biridir. Ayrıca bu sorun yalnızca işverenlerin veya kariyer platformlarının inisiyatifine bırakılamaz. Kamu otoriteleri tarafından da etkin düzenleyici ve denetleyici mekanizmaların geliştirilmesi gerekiyor. Türkiye’de iş ilanları üzerinden gerçekleştirilen kişisel veri toplama faaliyetleri daha etkin denetlenmeli; gerçek bir açık pozisyona dayanmayan ilanlar için şeffaflık yükümlülüğü getirilmeli ve aday havuzu oluşturmak amacıyla yapılan veri toplama faaliyetleri açık kurallara bağlanmalıdır. İşverenlerin ve kariyer platformlarının topladıkları özgeçmişleri hangi amaçla ve ne kadar süreyle sakladıkları denetlenmeli; kapanmış veya gerçekte mevcut olmayan pozisyonlara ilişkin ilanların belirli süreler içerisinde yayından kaldırılması sağlanmalıdır. Ayrıca yanıltıcı iş ilanlarının bildirilebileceği etkin bir mekanizma oluşturulmalı ve tekrarlayan ihlaller için idari yaptırımlar değerlendirilmelidir. Milyonlarca vatandaşın kişisel verisinin işlendiği böylesine büyük bir dijital ekosistemde denetim artık yalnızca ilanların içeriğini değil, ilanların arkasındaki veri toplama, kullanma, paylaşma ve saklama süreçlerinin tamamını kapsamalıdır."

HAMZA AYTAÇ DOĞANAY KİMDİR? 

2000 Yılında Polis Koleji’ni derece ile bitirmiş, 2004 yılında Polis Akademisi’nden başarı ile mezun olup Ankara ilinde Komiser Yardımcısı olarak göreve başlamıştır. Ankara Üniversitesi’nde Adli Bilişim Tezli Yüksek Lisansını tamamlamış ve “Mobil Cihaz Adli Bilişiminde Karşılaşılan Güncel Zorluklar Ve Delil Zinciri” isimli kitabı yazmıştır. Microsoft Sistem Mühendisliği, Adli Bilişim uzmanlığı, Sibersuç Soruşturma, Çevrimiçi Gizli Soruşturma gibi eğitimleri ve bahse konu alanlarda tecrübesi bulunan Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç DOĞANAY, 6 yıl EGM Siber Suçlarla Mücadele Daire Başkanlığında yönetici ve adli bilişim uzmanı olarak görev yapmıştır. Iphone Data Security (LOCARD,2018), Criminal Justice Statistics on Cyber Crime and Electronic Evidence (Romanya, 2018), Analyze of an Infostealer (Güney Kore, 2019), Siber Terörle Mücadelede Karşılaşılan Zorluklar (e-Safe, 2019) gibi yurtdışı İngilizce ve yurtiçi Türkçe olmak üzere birçok sunum vermiş ve eğitim vermiştir. Ayrıca Avrupa Konseyi Sibersuç Program Ofisi (C-PROC) danışmanlığı ve İstanbul Gelişim Üniversitesi Siber Güvenlik Uygulama ve Araştırma Merkezi Danışma Kurulu Üyeliği görevleri yürütmüştür. Akademik kariyerine geçiş yapmadan önce Siber Suçlarla Mücadele ve Asayiş Şube Müdürlüğü yaptığı dönemde görev yaptığı ilde daha önce çözülememiş 3 faili meçhul cinayeti ekibiyle birlikte aydınlatmıştır. 

Şu anda Doğanay Siber Emniyet Teknolojileri (DSET) kurucusu olarak Adli Bilişim, Veri Kurtarma ve Siber Güvenlik, Yapay Zeka Destekli ürün geliştirme hizmetlerinin yanında Ankara Üniversitesi’nde Kişisel Verilerin Korunması Kanunu (KVKK) uyum süreci, bilgi güvenliği ve adli bilişim alanlarında uzman sıfatıyla Öğretim Görevlisi olarak görevine devam etmekte olup Gazi Üniversitesi Bilgi Güvenliği Mühendisliği bölümünde PhD (Doktora) çalışmasına devam etmektedir.