insan kaynakları müdürlerinin siber saldırganlardan korunması lazım artık

arkadaşlar, duydum mu hiç? it çalışanlarını hedef alan dolandırıcılık olayları arttı son zamanlarda. ama burada garip olan şey şu: saldırganlar direkt sizi hedeflemiyorlar, önce insan kaynakları departmanına giriyorlar. yani kısacası hr müdürünüz sizi satabilir, bilerek değil tabi ama.

ne oluyor yani?

dark reading’in haber aldığı kadarıyla, bu tür dolandırıcılıklar artık it çalışanlarının bilgilerini çalmak için hr süreçlerini hedef alıyor. saldırganlar şöyle yapıyor: hr’a sosyal mühendislik taktikleriyle yaklaşıyorlar, “ben yeni it yöneticisiyim” diyorlar, sonra çalışan bilgilerini, sistem erişimlerini, hatta parolalarını istiyorlar. spoiler: hr müdürü de “aman bu adam yönetici mi, hemen yardım etmeliyim” diye yapıyor.

peki bu açık neden tehlikeli?

• İnsan faktörü: hr müdürü teknik güvenlik konusunda çok bilgili değil, o yüzden sosyal mühendislik saldırılarına kolay düşüyor
• Erişim seviyesi: hr’ın eline geçen bilgiler çok kıymetli - tüm çalışanların kimlik bilgileri, maaş bilgileri, sistem erişimleri
• Zincir reaksiyonu: bir it çalışanının bilgisini çaldıktan sonra, onun hesabını kullanarak tüm sisteme giriyorlar
• Hiç kimse şüphede değil: “hr’dan gelen istek” diye düşünüyor herkes, kimse sorgulamıyor

şimdi ne yapacaksınız:

1. HR Eğitimi (En Kritik)

yapılacak şeyler:
- HR müdürlerinize sosyal mühendislik taktiklerini öğretin
- "Bilinmeyen kişi arayıp sistem bilgisi isterse ne yapacağınızı" eğitimi verin
- "Telefonda kimlik doğrulama nasıl yapılır" konusunda pratik yapın
- Phishing simülasyonu yapın (hr'a da yapın)

Konkret adımlar:

• ayda bir kere hr’ı eğit, “bu taktiklerle saldırabilirler” diye
• “asla telefonla parola verme”, “asla sistem erişimi sağlama” kuralını koy
• “şüpheli bir istek gelirse it’ye sor” prosedürü oluştur

2. Otomatikleştirilmiş Kontrol Sistemleri

dark reading’in bahsettiği gibi, sadece eğitim yetmiyor. otomatikleştirilmiş analiz yapmanız lazım:

# Örneğin:
# - HR sistemi ile IT sistemi arasında veri doğrulaması yap
# - "Yeni çalışan eklemeleri" otomatik olarak it'ye bildir
# - Anormal erişim isteklerini flag'le
# - Yeni hesap açılışlarında multi-step approval koy

Pratik çözümler:

• hr’ın açtığı her yeni hesap it’ye otomatik olarak gitmeli, manuel onay gerekli
• “sistem erişimi istekleri” sadece belirli kanallardan (örneğin ticketing sistemi) gelmelidir
• telefonla gelen istekler 100% şüpheli, her zaman doğrulama yapılmalı

3. Prosedür Değişiklikleri

İtinasız Prosedür (Şimdiki):
HR müdürü → "Yeni çalışan ekle" → Sistem Erişimi Verildi ✗

İtinazlı Prosedür (Olması Gereken):
HR müdürü → Ticketing Sistemi → IT Onayı → Kimlik Doğrulama → Sistem Erişimi ✓

Yapılacaklar:

• yeni çalışan bilgileri yazılı kanallarda (email, ticket) gelsin, telefonla değil
• her sistem erişimi isteği için it müdürü onayı gerekli
• hr’dan gelen istek bile olsa, “bu kişi gerçekten bu departmanda mı” diye it kontrol etsin

4. HR Sisteminin Güvenliği

• hr bilgisayarlarında mfa (multi-factor authentication) zorunlu yap
• hr sistemine erişim sadece belirli ağdan olsun (vpn + ip whitelist)
• hr personelinin parolaları güçlü olsun, 3 ayda bir değişsin
• hr sisteminin tüm işlemleri log’lanmalı, audit trail olmalı

5. Simülasyon Testleri

edit: bu çok önemli, gerçekten yapın:

# Ayda bir kere "fake" saldırı simülasyonu yapın
# Örneğin:
# - Sahte bir it yöneticisi olarak hr'a ara
# - "Yeni sistem kurulumu için şu bilgileri lazım" de
# - Kaç kişi bilgiyi verdi, kaç kişi reddetti not et
# - Sonra eğit, tekrar et

etkilenen taraf

geçici çözümler (hemen yapabilirsiniz)

• telefonla sistem erişimi isteği alırsa: “email ile resmi kanaldan tekrar istek at” de
• hr’dan şüpheli bir istek gelirse: “bu kişinin yöneticisine sor, doğrula”
• yeni çalışan eklemeden önce: “İnsan kaynakları müdürü tarafından yazılı onay al”
• şüpheli durumlarda: it müdürü direkt hr müdürüyle telefonda doğrulama yap

kısacası

arkadaşlar, bu sorunu sadece eğitimle çözemezsiniz. eğitim şart ama yetmez. otomatikleştirilmiş kontroller, güçlü prosedürler ve düzenli simülasyonlar yapmanız lazım. hr müdürünüz çok iyi niyetli olabilir ama sosyal mühendislik karşısında herkes zayıftır. o yüzden sistemi öyle kurun ki, “iyi niyetli ama yanılabilir insan” faktörünü minimize etsin.

spoiler: bu açıkları kapatan şirketler, kapamayan şirketlerin bilgilerini çalıyorlar. acele edin.

kaynaklar

• Dark Reading - Stopping IT Worker Scams Requires Revamped HR Process
• NIST Cybersecurity Framework - Identity Management
• SANS - Social Engineering Training
• CISA - Phishing and Social Engineering Resources

Bu içerik yapay zeka tarafından oluşturulmuştur.