Uzmanlar, dijital platformlarda yayımlanan sahte, yanıltıcı veya gerçek amacı gizlenmiş iş ilanlarının artık yalnızca bir dolandırıcılık yöntemi olarak görülmemesi gerektiğini belirterek, bu ilanların kişisel verilerin toplanması, bireylerin dijital profillerinin çıkarılması, kimlik bilgilerinin kötüye kullanılması ve hedefli siber saldırılar için veri elde edilmesi amacıyla kullanılabildiğine dikkat çekti.
İnternet üzerinden gerçekleştirilen işe alım süreçlerinin her geçen gün arttığını belirten Doğanay, milyonlarca kişinin iş bulabilmek için özgeçmişlerini farklı platformlar ve şirketlerle paylaştığını, ancak bu verilerin kimler tarafından hangi amaçla toplandığı ve ne kadar süre saklandığı konusunda önemli belirsizlikler bulunduğunu söyledi.
Son zamanlarda kamuoyunda geniş yankı uyandıran ve yüzlerce iş başvurusu yapmasına rağmen geri dönüş alamayan aday örneklerinin, meselenin yalnızca istihdam piyasası açısından değerlendirilmemesi gerektiğini gösterdiğini belirten Doğanay, “Burada asıl tartışılması gereken, kaç başvuru yapıldığı değil; milyonlarca vatandaşın özgeçmiş, iletişim, eğitim, mesleki geçmiş ve diğer kişisel verilerinin kimlerin elinde toplandığı, ne kadar süreyle saklandığı ve hangi amaçlarla kullanıldığıdır.” dedi.
“CV artık dijital kimliğin bir parçası”
Bir özgeçmişin yalnızca eğitim ve iş deneyiminden ibaret olmadığını vurgulayan Doğanay, şu değerlendirmede bulundu:
“Bugün bir CV; telefon numarası ve e-posta adresinin ötesinde kişinin eğitim geçmişini, çalıştığı kurumları, görevlerini, uzmanlık alanlarını, referanslarını ve kariyer yolculuğuna ilişkin çok sayıda kişisel veriyi bir arada barındırıyor. Bu nedenle CV artık yalnızca bir özgeçmiş değil, kişinin dijital kimliğinin ve profesyonel yaşamının ayrıntılı bir veri haritasıdır.”
Bu verilerin siber suç ekosistemi açısından yüksek değer taşıdığına dikkati çeken Doğanay, kontrolsüz biçimde toplanan kişisel bilgilerin başka veri sızıntıları ve açık kaynaklardan elde edilen bilgilerle birleştirilerek çok daha kapsamlı dijital profillere dönüştürülebileceğini belirtti. Bu profillerin; kişiye özel sosyal mühendislik ve hedefli oltalama saldırılarından hesap ele geçirme girişimlerine, SIM-swap ve kimliğe bürünme yöntemlerinden deepfake destekli dolandırıcılığa, sahte finansal işlemlerden sentetik kimlik oluşturmaya kadar uzanan geniş bir suç yelpazesinde kullanılabileceğini ifade etti.
Doğanay, özellikle çalışanların görev, yetkinlik ve kurum bilgilerinin saldırganlara yalnızca bireyi değil, çalıştığı kuruluşu da hedefleme imkânı sağlayabileceğine işaret ederek, “Bir CV’nin yanlış ellere geçmesi yalnızca kişisel veri ihlali anlamına gelmeyebilir. Saldırgan açısından bu belge, kişinin kim olduğunu, nerede çalıştığını, ne bildiğini, kimlerle bağlantılı olduğunu ve hangi senaryolarla ikna edilebileceğini gösteren bir istihbarat kaynağına dönüşebilir.” değerlendirmesinde bulundu.
“Her iş ilanı gerçekten işe alım amacı taşımıyor olabilir”
İnternette yayımlanan her iş ilanının gerçek bir personel ihtiyacını yansıtmayabileceğini belirten Doğanay, bazı ilanların uzun süre yayında kaldığını, sürekli güncellendiğini ancak herhangi bir işe alımla sonuçlanmadığının görülebildiğini söyledi.
Doğanay, “Burada herhangi bir kurum veya platformu suçlamak doğru olmaz. Ancak gerçekten işe alım yapılmayan ilanlar üzerinden büyük ölçekli kişisel veri toplanıp toplanmadığı mutlaka incelenmeli. Milyonlarca insanın kişisel verisinin hangi amaçlarla işlendiği konusunda daha fazla şeffaflığa ihtiyaç var.” ifadelerini kullandı.
Sahte iş ilanları dijital manipülasyon aracı hâline gelebilir
Doğanay, gerçek bir işe alım amacı taşımayan ilanların yalnızca kişisel veri güvenliği açısından değil, dijital ekosistemin güvenilirliği açısından da risk oluşturabileceğini belirtti.
Bazı şirketlerin veya kötü niyetli yapıların, gerçekte personel ihtiyacı bulunmamasına rağmen sürekli iş ilanı yayımlayarak web sitelerine trafik çekmeyi, sosyal medya hesaplarının etkileşimini artırmayı veya sürekli büyüyen bir organizasyon algısı oluşturmayı hedefleyebileceğine dikkat çeken Doğanay, bu tür uygulamaların aynı zamanda adayların kişisel verilerinin gereksiz yere toplanmasına neden olabileceğini ifade etti.
Doğanay, şu değerlendirmede bulundu:
“Dijital platformlarda yayımlanan her iş ilanının gerçekten istihdam amacı taşıdığı varsayımıyla hareket edilmemelidir. Eğer herhangi bir işe alım yapılmadığı hâlde sürekli yeni ilanlar yayımlanıyorsa, bunun amacı ve toplanan kişisel verilerin nasıl işlendiği şeffaf biçimde ortaya konulmalıdır. Bu durum yalnızca insan kaynakları uygulaması olarak değil, kişisel verilerin korunması ve siber güvenlik perspektifiyle de incelenmelidir. Kaldı ki Kişisel Verileri Koruma Kanunu da kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi kapsamında veri minimizasyonu uygulanması gerektiğini belirtir. Gereksiz fazla veri siber risk iştahını artırır.”
Gerçek dışı işe alım ilanlarının kurum içinde de olumsuz etkiler oluşturabileceğini belirten Doğanay, sürekli yeni personel arandığı algısının çalışanlar üzerinde iş güvencesine ilişkin kaygıları artırabileceğini, bunun da kurum kültürü ve çalışan psikolojisi açısından değerlendirilmesi gereken ayrı bir konu olduğunu söyledi.
Doğanay, yapay zekâ çağında büyük ölçekli CV havuzlarının siber saldırganlar açısından önemli bir hedef hâline geldiğini belirterek, “Milyonlarca özgeçmişten oluşan veri havuzları, kötü niyetli kişilerin eline geçtiğinde sosyal mühendislik saldırıları, hedefli oltalama kampanyaları ve kimlik dolandırıcılığı için kullanılabilecek stratejik veri kaynaklarına dönüşebilir. Bu nedenle işe alım süreçleri artık sadece insan kaynaklarının değil, siber güvenlik uzmanlarının da ilgi alanına girmektedir.” ifadelerini kullandı.
Siber Güvenlik Uzmanından İşe alım süreçleri için yeni standart çağrısı
İşe alım süreçlerinde kişisel verilerin korunmasına yönelik yeni standartlar geliştirilmesi gerektiğini belirten Doğanay, şu önerilerde bulundu:
– Gerçek bir açık pozisyon bulunmadan iş ilanı yayınlanmamalı
– Gerçek ve güncel bir açık pozisyona dayanmayan ilanlarda bu durum adaylara açıkça belirtilmeli.
– Özgeçmiş havuzu oluşturmak amacıyla kişisel veriler toplanmamalı
– Adaylardan toplanan kişisel verilerin hangi amaçla işlendiği açık şekilde belirtilmeli.
– İşe alım süreci tamamlandıktan sonra ihtiyaç duyulmayan özgeçmişler mevzuata uygun biçimde silinmeli.
– İş ilanı platformları ve işverenlerin kişisel veri işleme süreçleri düzenli olarak denetlenmeli.
– Adaylar, kişisel verilerinin ne kadar süre saklanacağı konusunda açık ve anlaşılır şekilde bilgilendirilmeli.
Bunlara ek olarak; aktif olarak iş aramayan vatandaşlarımızın kariyer platformlarındaki hesaplarını gözden geçirmelerini, ihtiyaç duymuyorlarsa özgeçmişlerini yayından kaldırmalarını veya hesaplarını silmelerini öneriyoruz. Çünkü internette uzun süre erişilebilir halde bırakılan kişisel veriler, zaman içinde farklı risklere maruz kalabiliyor. Dijital dünyada kullanılmayan veriyi çevrimiçi ortamda tutmamak en temel siber güvenlik prensiplerinden biridir.
“Yapay zekâ çağı ile güçlenen yeni nesil siber tehditlerde saldırganın hedefi artık yalnızca sistemler değil; insanın kimliği, verisi ve dijital güvenidir.”
Yapay zekâ teknolojilerinin gelişmesiyle birlikte kişisel verilerin değerinin her zamankinden daha fazla arttığını vurgulayan Doğanay, sözlerini şöyle tamamladı:
“Eskiden siber güvenlik denildiğinde akla sunucular, ağlar ve bilgisayar sistemleri gelirdi. Bugün ise en değerli hedef insanın kendisi ve ona ait veriler. Yapay zekâ çağında siber güvenlik artık yalnızca sistemleri değil, insan verisini korumaktır. İş arayan milyonlarca vatandaşın özgeçmişi de korunması gereken stratejik dijital varlıklar arasında yer alıyor. Kişisel verilerin güvenliği artık sadece bireysel bir hak değil, dijital ekonominin ve ulusal siber güvenliğin de temel unsurlarından biridir. Ayrıca bu sorun yalnızca işverenlerin veya kariyer platformlarının inisiyatifine bırakılamaz. Kamu otoriteleri tarafından da etkin düzenleyici ve denetleyici mekanizmaların geliştirilmesi gerekiyor. Türkiye’de iş ilanları üzerinden gerçekleştirilen kişisel veri toplama faaliyetleri daha etkin denetlenmeli; gerçek bir açık pozisyona dayanmayan ilanlar için şeffaflık yükümlülüğü getirilmeli ve aday havuzu oluşturmak amacıyla yapılan veri toplama faaliyetleri açık kurallara bağlanmalıdır. İşverenlerin ve kariyer platformlarının topladıkları özgeçmişleri hangi amaçla ve ne kadar süreyle sakladıkları denetlenmeli; kapanmış veya gerçekte mevcut olmayan pozisyonlara ilişkin ilanların belirli süreler içerisinde yayından kaldırılması sağlanmalıdır. Ayrıca yanıltıcı iş ilanlarının bildirilebileceği etkin bir mekanizma oluşturulmalı ve tekrarlayan ihlaller için idari yaptırımlar değerlendirilmelidir. Milyonlarca vatandaşın kişisel verisinin işlendiği böylesine büyük bir dijital ekosistemde denetim artık yalnızca ilanların içeriğini değil, ilanların arkasındaki veri toplama, kullanma, paylaşma ve saklama süreçlerinin tamamını kapsamalıdır. “
