Çoğu güvenlik lideri, içeriden gelen olayların meydana geldiğini bir kez daha hatırlatılmasına gerek duymaz. Gözden kaçması daha kolay olan ise risk yüzeyinin ne kadar sessizce değiştiğidir: “Birinin açıkça kötü niyetli bir şey yaptığı” durumlar azalırken “politikalarınızın öngörmediği kanallardan veri aktaran rutin iş kalıpları” artmaktadır.
Bu insan faktörünün ölçeği gayet iyi bilinmektedir. Verizon’un 2025 Veri İhlali Soruşturma Raporu, ihlallerin yaklaşık %60’ında insan faktörünün rol oynadığını belirtmektedir; bu rakam yıllardır sabit kalmaktadır. Daha yararlı olan soru, bu günlük maruz kalma riskinin şu anda nerede yoğunlaştığıdır.
Safetica’nın Veri Koruma Eğilimleri raporu, 2025 yılının ikinci yarısında Safetica tarafından korunan ortamlarda toplanan ve anonimleştirilen sinyalleri analiz ediyor ve bu analizde dört belirgin model öne çıkıyor.
1. Risk, insanların her gün kullandığı araçlarda yatıyor
Engellenen etkinliklerin ve politika ihlallerinin %60’ından fazlası (yaklaşık beşte üçü), kötü niyetten ziyade normal iş davranışlarından kaynaklanan sıradan kanallarda meydana geliyor; web uygulamaları, e-posta ve anlık mesajlaşma. Bu durum, içeriden gelen riski “nadir bir olay” olmaktan çıkarıp “rutin bir yol” hâline getiriyor. Riskli hareketlerin çoğu iş birliğinin gerçekleştiği yerlerde meydana geliyorsa önleme sadece çevre veya uç noktalarla ilgili değildir; işin fiilen yapıldığı tüm yüzeylerde tutarlı, bağlamı dikkate alan kontrollerle ilgilidir.
Liderlerin sorması gereken yararlı bir soru şudur: Politikalarımız, genel bir kesintiye yol açmadan meşru iş birliğini riskli hareketlerden ayırt edebilecek kadar rol ve bağlam farkındalığına sahip mi?
2. Veri kaybı artık belgelerin ötesine geçti
Veri kaybını hâlâ “kurumdan çıkan dosyalar” olarak hayal ediyorsanız yapay zekâ trendi bir uyarı niteliğindedir. ChatGPT ile ilgili engellemeler 3. çeyrekten 4. çeyreğe %86 artış gösterdi ve klasik ofis belgeleri yerine serbest biçimli metinler ve ekran görüntüleri, en çok engellenen içerik türleri listesinde üst sıralara tırmandı. Kullanıma açık veriler, yani hiçbir zaman korumalı bir dosya biçimini almayan yapıştırılmış metinler ve görseller, ağırlık merkezi hâline gelmektedir.
Özet bulgu: 4. çeyrekte, verilerimizde engellenen yapay zekâ etkileşimlerinin yaklaşık beşte biri (%20,1) yalnızca ChatGPT’ye aitti; bu, yapay zekâ riskinin çok sayıda araca yayılmak yerine birkaç baskın, genel amaçlı araç etrafında yoğunlaştığının bir işaretidir.
Bağımsız araştırmalar da aynı sonuca işaret ediyor. LayerX’in 2025 Kurumsal AI raporu, çalışanların yaklaşık %45’inin iş yerinde üretken yapay zekâ kullandığını ve bu kullanıcıların yaklaşık %77’sinin şirket verilerini sohbet robotlarına yapıştırdığını ortaya koydu. Bunların çoğu, kurumsal denetimlere hiç tabi olmayan kişisel, yönetilmeyen hesaplar üzerinden gerçekleştirildi. Daha önceki bir Cyberhaven analizi, ChatGPT’ye yapıştırılan içeriğin yaklaşık %11’inin gizli nitelikte olduğunu ortaya koydu.
CISO’lar için çıkarılacak sonuç şudur: Yapay zekâ yönetişimi sadece bir politika PDF’inde kalamaz. Serbest biçimli girdi ve çıktıların gerçekte nasıl davrandığını da hesaba katmalıdır.
3. Kullanıcılar, statik denetimlerden daha hızlı uyum sağlar
Birçok ekip, “politika köstebek avı” hissini bilir: Bir yolu kilitlerseniz faaliyetlerin başka bir yere kaymasını izlersiniz. Veriler bunu sayısallaştırıyor. 4. çeyrekte, riskli uygulama faaliyetleri içindeki payı bakımından şifreli mesajlaşma uygulamalarının kullanımı %64’ün üzerine çıktı. Bir kanal engellendiğinde, kullanıcılar genellikle durmaz; başka bir kanala geçer ve maruz kalma risklerini e-posta ve ağlardan web, bulut ve mesajlaşma platformlarına kaydırırlar.
Bu nedenle ölçüm, silolaşmış değil, kanallar arası (e-posta, web, sohbet, bulut ve USB) olmalıdır. Amaç her şeyi engellemek değil; kullanıcıları geçici çözümler aramaya itmeden riskli hareketleri azaltmaktır.
Bu denge, “Daha fazla koruyun. Daha az engelleyin” sloganının pratikteki anlamıdır.
4. İçeriden gelen risk çoğunlukla davranışsal niteliktedir
E-posta, hâlâ başlıca bir erken uyarı kaynağıdır: 2025’in ikinci yarısında tehdit düzeyindeki uyarıların %72’sini tetiklemiştir. Ancak buradan çıkarılacak ders “sadece e-postaya odaklanın” değildir. Asıl önemli olan, bu riskin çoğunun, bir avuç dramatik ve kötü niyetli eylemden değil, işgücü genelinde sessizce alınan küçük, tekrarlanan veri işleme kararlarının birikiminden kaynaklandığıdır.
Önemli bulgu: Dış USB aygıtları, 4. çeyrekte olağan dışı etkinlik tetikleyicilerinin %36,1’ini oluşturdu (çeyrek bazında %7,7 artış). Bu durum, birçok ekibin “çözüldü” olarak gördüğü bir kanalın hâlâ anlamlı bir davranışsal sinyal olduğunu ve genellikle iş birliğinin yavaş ilerlediği durumlarda iş akışından kaçış yolu olarak kullanıldığını hatırlatıyor.
Dış kaynaklı veriler de bunu doğruluyor. Cyberhaven araştırması, içeriden bilgi sızdırma vakalarının yaklaşık %15,6’sını çıkarılabilir ortamlara atfediyor ve Proofpoint, USB sürücülerinin Avrupa’nın bazı bölgelerinde hâlâ önde gelen bilgi sızdırma yolu olmaya devam ettiğini belirtiyor. 2025 Ponemon/DTEX İçeriden Gelen Risklerin Maliyet raporu, niyet sorusunu açıkça ortaya koyuyor: İçeriden gelen olayların yaklaşık %53’ünün arkasında ihmalkâr çalışanlar yer alıyor.
Tekrarlanan USB kullanımı veya kopyalama davranışları niyeti işaret edebilir ancak çok daha sıklıkla bir uyumsuzluğa işaret eder. Her ikisi de araştırılmaya değerdir; hiçbiri basit bir “kötü niyetli içeriden kişi” profiline uymaz.
Güvenlik liderleri için kısa bir risk kontrol listesi
Yukarıdakileri somut bir iç görüşmeye dönüştürmek istiyorsanız bu çeyrekte sorulması gereken beş soru şunlardır:
- Hassas verilerle ilgili risk bizim için nerede artıyor; e-posta, web uygulamaları, anlık mesajlaşma, bulut mu yoksa USB mi?
- Politikalarımız, meşru iş birliğini riskli hareketlerden ayıracak kadar rol ve bağlam farkındalığına sahip mi?
- Yapıştırılan metinler, ekran görüntüleri ve serbest biçimli yapay zekâ girdileri gibi “kullanımdaki veriler” ile ilgili davranışları kapsayan önlemlerimiz var mı?
- Kanal değiştirme durumlarını izliyor muyuz? E-postayı engellediğimizde, aynı davranış modelinin sohbet uygulamalarına kaymasını tespit edebiliyor muyuz?
- Yapay zekâ araçları ve şifreli kanallar konusunda tutumumuz nedir? Bunlar, veri işleme iş akışları olarak yönetiliyor mu, yoksa sadece başka bir web sitesi kategorisi olarak mı ele alınıyor?
Raporun tamamını okuyun
Safetica Veri Koruma Trendleri raporunun tamamı, eksiksiz veri tablolarını, çeyrek bazında dökümleri ve bu kalıpların arkasındaki görselleri içerir. Raporu indirin.
Quishing kurumsal güvenlik önlemlerini nasıl atlatabilir?
