Kişisel Veri İhlallerinin Çoğu Neden Bir Çalışanla Başlar?

Bir şirket güvenlik duvarına, antivirüs yazılımına ve yedekleme sistemine yatırım yapabilir. Yine de bir bordro dosyası yanlış kişiye gittiğinde ya da bir çalışan sahte bir “şifre yenileme” sayfasına bilgilerini girdiğinde bu yatırımların hiçbiri ihlali durdurmaz. Çalışan kaynaklı veri ihlali, bu nedenle kurumların en sık karşılaştığı ve en geç fark ettiği risklerden biridir.

Bu yazıda çalışan kaynaklı ihlallerin beş yaygın biçimini, her birinin şirkete olan etkisini ve bu risklerin neden yalnızca teknik araçlarla kapanmadığını ele alıyoruz. Amaç bir suçlu aramak değil; hatanın nerede ve neden oluştuğunu görmek.

İnsan faktörü ve veri güvenliği

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlü tutar. Veri sorumlusu (verinin hangi amaçla ve nasıl işleneceğine karar veren şirket) bu yükümlülüğü çalışanları aracılığıyla yerine getirir.

Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi de bu noktaya dikkat çeker. Rehbere göre ihlaller, kullanıcıların dikkatsizlik, dalgınlık veya tecrübesizlik gibi zayıf yönlerinin kullanılmasıyla, örneğin zararlı yazılım içeren bir e-posta ekinin açılması ya da e-postanın yanlış alıcıya gönderilmesiyle ortaya çıkabilir. Rehber, çalışanların eğitilmesini ve farkındalık çalışmalarını idari tedbirlerin başında sayar.

Uluslararası veriler de aynı tabloyu gösteriyor. Verizon’un 2026 Veri İhlali Araştırmaları Raporu’nun (DBIR) yönetici özetine göre incelenen ihlallerin yüzde 62’sinde insan unsuru yer alıyor; bu oran önceki yıl yüzde 60’tı. İnsan unsuru; sosyal mühendislik (kişiyi kandırarak bilgi ya da erişim elde etme), hata ve çalınan kimlik bilgilerinin kullanılması gibi durumları kapsar.

Yanlış alıcıya giden e-posta

E-posta istemcisinin adresi otomatik tamamlaması, aynı isimli iki kişi, aceleyle seçilen bir dağıtım listesi: Yanlış alıcıya giden e-posta, çoğu zaman tek bir tıklamayla oluşur. Ekte bir maaş listesi, bir adayın özgeçmişi ya da bir müşterinin sözleşmesi varsa kişisel veriler, onları görmemesi gereken birine aktarılmış olur.

Bu tür bir hata kötü niyet içermez ama sonucu değiştirmez. KVKK’nın 12. maddesinin beşinci fıkrası, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul’a bildirmesini ister. Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak belirlemiştir.

Uygulamada sorun çoğu zaman şudur: Hatayı yapan çalışan bunun bir veri ihlali olduğunu bilmez ya da utandığı için kimseye söylemez. 72 saatlik süre, ihlal fark edilmeden işlemeye başlar.

Oltalama (phishing) e-postaları

Oltalama, saldırganın güvenilir bir kurum ya da kişi gibi davranarak çalışanı bir bağlantıya tıklatmaya, bir ek açtırmaya veya kullanıcı adı ve şifresini girdirmeye çalıştığı saldırı türüdür. Kargo bildirimi, fatura, “hesabınız askıya alındı” uyarısı ya da yöneticiden geliyormuş gibi görünen acil bir ödeme talebi en bilinen örneklerdir.

Oltalamanın tehlikesi, ilk adımın teknik bir açık değil, bir karar olmasıdır. Çalışan bilgilerini girdiği anda saldırgan, o çalışanın erişebildiği tüm müşteri, personel ve finans verilerine ulaşabilir. Verizon raporu, saldırganların artık bariz sahte e-postalar yerine meşru iş akışlarının içine yerleştirilmiş, bağlama uygun senaryolar kullandığına dikkat çekiyor. Bu da “yazım hatası olan e-postaya tıklama” gibi basit kuralların yetmediğini gösteriyor.

Masada bırakılan belgeler

Veri ihlali yalnızca dijital ortamda yaşanmaz. Yazıcıda unutulan bir bordro çıktısı, toplantı odasında bırakılan bir aday değerlendirme formu, kilitlenmeden bırakılan bir ekran ya da çöpe atılan imzalı bir sözleşme de kişisel verilerin yetkisiz kişilerin eline geçmesine yol açar.

Kurum’un Kişisel Veri Güvenliği Rehberi, kâğıt ortamındaki kişisel veri içeren evrakın kilitli şekilde ve yalnız yetkili kişilerin erişebileceği ortamlarda saklanmasını, bu ortamlara giriş ve çıkışların kontrol altına alınmasını önerir. Temiz masa politikası (mesai bitiminde ya da masadan ayrılırken belgelerin kaldırılması ve ekranın kilitlenmesi) bu önerinin günlük işe yansımasıdır. Politika yazılı olsa bile çalışan nedenini bilmiyorsa uygulamada çabuk unutulur.

Kişisel cihaz ve mesajlaşma uygulamaları

Bir müşteri temsilcisinin kimlik fotokopisini kişisel telefonuyla çekip bir mesajlaşma grubuna atması, bir yöneticinin çalışan listesini kişisel bulut hesabına yüklemesi ya da bir çalışanın kurumsal e-postayı şifresiz bir kişisel cihazda açması günlük işin bir parçası gibi görünebilir. Oysa bu durumların her birinde veri, şirketin kontrol ve güvenlik önlemlerinin dışına çıkar.

Cihaz kaybolduğunda, hesap ele geçirildiğinde ya da çalışan işten ayrıldığında bu veriye kimin eriştiğini tespit etmek zorlaşır. Kurum’un rehberi, kişisel veri içeren cihazların kaybolması veya çalınması durumlarına karşı erişim kontrolü ve şifreleme önerir. Aynı risk, son dönemde iş yerlerinde yaygınlaşan üretken yapay zekâ araçlarına müşteri ya da çalışan bilgisi girilmesinde de karşımıza çıkar.

Çalışan kaynaklı bir ihlalin şirkete etkisi

Tek bir hata, birbirine bağlı birkaç sonuç doğurabilir:

• Yasal süreç. İhlalin Kurul’a ve ilgili kişilere bildirilmesi, Kurul incelemesi ve KVKK kapsamında idari yaptırım riski.
• Operasyonel yük. İhlalin kapsamını tespit etmek, etkilenen kişileri belirlemek ve bildirim yapmak için hukuk, BT ve İK ekiplerinin günlerce bu işe ayrılması.
• Güven kaybı. Verisi sızan müşteri, aday ya da çalışanın şirkete duyduğu güvenin zedelenmesi; kurumsal müşterilerin tedarikçi denetimlerinde soru işareti oluşması.
• İç kültür. Hatayı yapan çalışanın suçlanması, sonraki hataların saklanmasına ve bildirimlerin gecikmesine yol açabilir.

Farkındalık eğitiminin rolü

Yukarıdaki beş durumun ortak noktası, teknik bir aracın tek başına önleyemediği anlarda ortaya çıkmalarıdır. E-posta filtresi her oltalama mesajını yakalamaz; veri kaybı önleme yazılımı masadaki kâğıdı görmez. Bu anlarda son kararı çalışan verir.

Farkındalık eğitimi, çalışana kuralları ezberletmekten çok, riskli anı fark etmeyi öğretir: “Bu ek gerçekten beklediğim bir dosya mı?”, “Bu listeyi göndermeden önce alıcıları kontrol ettim mi?”, “Bu bilgiyi kişisel telefonumdan paylaşmalı mıyım?” Kurum’un rehberi de çalışanların veri güvenliğine ilişkin rol ve sorumluluklarının görev tanımlarında belirlenmesini, politika değiştiğinde yeni eğitimlerle bilgilendirilmesini önerir.

İyi bir program bir de şunu sağlar: Çalışan bir hata yaptığında bunu hemen bildirmesi gerektiğini ve kime bildireceğini bilir. 72 saatlik bildirim süresi düşünüldüğünde, saklanmayan bir hata çoğu zaman en ucuz hatadır. Eğitimin ne kadar sıklıkla verileceği, hangi rollere hangi içeriğin gerektiği ve katılımın nasıl belgeleneceği ayrı bir planlama konusudur.

Sonuç ve sonraki adım

Çalışan kaynaklı veri ihlali, çoğu zaman kötü niyetten değil, bilgi eksikliğinden ve aceleden doğar. Yanlış alıcıya giden e-posta, oltalama, masada kalan belge ve kişisel cihaz kullanımı, her şirketin bugün yaşayabileceği durumlardır. Teknik önlemler bu riskleri azaltır; ancak son kararı veren çalışan riski tanımıyorsa açık kapı kalır.

Sonraki adım olarak şirketinizde son bir yılda yaşanan küçük olayları (yanlış gönderilen e-postalar, şüpheli bağlantı bildirimleri, kaybolan cihazlar) bir araya getirin. Bu liste, farkındalık eğitiminin hangi konulara odaklanması gerektiğini gösterir. Eğitim içeriğini KVKK Farkındalık Eğitimi sayfasında, idari süreçlere odaklanan canlı programı ise KVKK Çözümleri: İdari Yönler sayfasında inceleyebilirsiniz. Kurum genelinde planlama yapmak isteyenler kurumsal çözümler sayfasındaki eğitim modellerine bakabilir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 12) — Mevzuat Bilgi Sistemi: www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf
• Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu, Ocak 2018: kvkk.gov.tr/SharedFolderServer/CMSFiles/7512d0d4-f345-41cb-bc5b-8d5cf1
• Veri İhlali Bildirimi — Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı — Kişisel Verileri Koruma Kurumu, 15.02.2019: www.kvkk.gov.tr/Icerik/5362/Veri-Ihlali-Bildirimi
• 2026 Data Breach Investigations Report — Executive Summary — Verizon Business, Mayıs 2026: www.verizon.com/business/resources/executivebriefs/2026-dbir-executive

Son güncelleme: Ekim 2026 · Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez.