İnsan faktörünün sebep olduğu siber olaylar genellikle çalışanların yaptığı hatalara dayanıyor. Bu konuda önemli bir detay olan personelin olası kasıtlı kötü niyetli davranışları göz ardı ediliyor.
Kaspersky’nin yaptığı en son araştırmaya göre, son iki yılda Türkiye’deki kurumların %73’ünün farklı şekillerde siber olaylarla karşılaştığını ve bunların %29’unun çalışanların kasıtlı davranışlarından kaynaklandığını ortaya koyuyor.
Kurum içinde gerçekleşen tehditlerin kasıtsız ve kasıtlı olmak üzere iki ana türü kaynağı bulunuyor. Kasıtsız veya kazara meydana gelen tehditler, kimlik avı ve diğer sosyal mühendislik yöntemlerine kanmak veya hassas ve gizli bilgileri yanlış kişiye göndermek gibi çalışan hataları olarak gözleniyor.
Buna karşılık kasıtlı tehditler, işverenlerinin sistemlerine kasıtlı olarak giren kötü niyetli kişiler tarafından içerden gerçekleştiriliyor. Bu genellikle hassas verilerin satışından maddi kazanç elde etmek veya şirketten intikam almak için yapılıyor. Kötü niyetli içeridekiler bir kurumun düzenli iş operasyonlarını aksatmayı veya durdurmayı, BT zayıflıklarını ortaya çıkarmayı ve gizli bilgileri elde etmeyi amaçlıyor.
Kurum içindeki kötü niyetli kişiler ise tüm çalışanlar arasında siber olaylara neden olabilecek en tehlikeli gruplar olarak tanımlanıyor. Bu kişilerin eylemlerinden kaynaklanan tehditler aşağıdaki faktörler nedeniyle daha da karmaşık hale geliyor:
- Kullandığı bilgi güvenliği araçlarının detayları da dahil olmak üzere bir kuruluşun altyapısı ve süreçleri hakkında özel bilgiye sahipler.
- Şirket ağının içindedirler ve kimlik avı, güvenlik duvarı saldırıları gibi yollarla dışarıdan şirkete nüfuz etmeleri gerekmez.
- Kurum içinde meslektaşları ve arkadaşları vardır. Bu nedenle sosyal mühendislik tekniklerini kullanmaları çok daha kolaydır.
- Kuruma zarar vermek adına yüksek motivasyona sahiptir.
