Haftanın alarmı: Ayrılan Çalışanın Arkada Bıraktığı Kapı

Geçtiğimiz haftalarda teknoloji dünyasının gündemine oturan Apple–OpenAI davası, kurumsal bilgi güvenliğinin en çok konuşulan ama en az yatırım yapılan alanına işaret ediyor: bir çalışanın kurumdan ayrıldığı an ile erişimlerinin gerçekten kapandığı an arasındaki boşluk.

Apple, 10 Temmuz 2026'da ABD Kaliforniya Kuzey Bölgesi Federal Mahkemesi'nde OpenAI, OpenAI'nın satın aldığı donanım girişimi io Products ve iki eski Apple çalışanı aleyhine dava açtı. Dava dilekçesi; ticari sırların kötüye kullanılması (Defend Trade Secrets Act kapsamında) ve fikri mülkiyet sözleşmesinin ihlali iddialarına dayanıyor.

Dava dilekçesinde yer alan iki iddia, güvenlik açısından özellikle dikkat çekici.

Birincisi: Apple'da sekiz yıl boyunca kıdemli sistem elektrik mühendisi olarak çalıştıktan sonra 2026'da OpenAI'ya geçen bir çalışanın, şirket tarafından tahsis edilen dizüstü bilgisayarını iade etmediği ve çıkış mülakatına ilişkin taleplere yanıt vermediği öne sürülüyor. İddiaya göre bu kişi, bir kimlik doğrulama açığını kullanarak ayrılışından sonra da Apple'ın iç sunucularına erişmeyi sürdürdü ve gizli mühendislik belgeleri, donanım tasarımları ve test prosedürlerini indirdi. Mahkeme dosyasına yansıyan mesajlar arasında "Hâlâ erişebildiğimi fark ettim" ve ayrılışından saatler sonra gönderildiği belirtilen "Bende bir bilgisayar daha mevcut" ifadeleri yer alıyor.

İkincisi: Apple'da 24 yıl çalışıp ürün tasarımı başkan yardımcılığı yapmış ve sonrasında OpenAI'nın donanım direktörü olan bir yöneticinin, işe alım görüşmelerinde Apple'ın gizli proje kod adlarını kullandığı, adaylardan mülakatlara Apple'a ait bataryalar, anakartlar, CAD tasarım dosyaları ve henüz duyurulmamış donanım bileşenleri getirmelerini istediği iddia ediliyor. Apple ayrıca, ayrılmayı planlayan çalışanlara şirketin kendi çıkış ve güvenlik prosedürlerini anlatan bir iç belgenin dağıtıldığını ve böylece güvenlik alarmlarını tetiklemeden belge kopyalama ve çıkış mülakatını sorunsuz atlatma konusunda yönlendirme yapıldığını öne sürüyor. Apple'ın iddiasına göre bugün OpenAI'da 400'den fazla eski Apple çalışanı bulunuyor.

Dava, ticari sır hukuku açısından olduğu kadar bilgi güvenliği mimarisi açısından da ders niteliğinde. Çünkü dava dilekçesinde tarif edilen boşlukların neredeyse tamamı, teknolojiden çok süreç kaynaklı.

ÇIKIŞ KAPISINI GERÇEKTEN KAPATMAK: OFFBOARDING VE ARTIK ERİŞİMLER

Bilgi güvenliğinde en çok ihmal edilen süreç, işe alım değil işten ayrılıştır. Kimlik yaşam döngüsü yönetimi (Joiner–Mover–Leaver) disiplininde "Leaver" adımı, çoğu kurumda hâlâ insan kaynaklarının bir e-postasına ve BT'nin manuel müdahalesine bağlıdır. Oysa bu adım tamamen otomatikleştirilmelidir: İK sistemindeki ayrılış kaydı, tüm dizin hizmetlerinde hesabı devre dışı bırakan, VPN ve SSO oturumlarını sonlandıran, API anahtarlarını iptal eden ve bulut uygulamalarındaki erişimleri kapatan zincirleme bir süreci tetiklemelidir.

Burada kritik nokta, oturum sonlandırma ile hesap kapatmanın aynı şey olmamasıdır. Aktif bir oturum belirteci (token) veya kaydedilmiş bir kimlik bilgisi, hesap "kapalı" görünse bile erişimi sürdürebilir. Bu nedenle ayrılışta yalnızca hesabın pasifleştirilmesi değil, tüm oturumların ve yenileme belirteçlerinin (refresh token) de geçersiz kılınması gerekir.

Buna bir de düzenli erişim resertifikasyonu (access recertification) eklenmelidir: hangi hesabın hangi sisteme erişimi olduğunun periyodik olarak gözden geçirilmesi ve sahipsiz hesapların tespiti büyük önem taşımaktadır. Dava dilekçesindeki "kimlik doğrulama açığı" detayı ise ayrı bir başlığı işaret ediyor: kimlik ve erişim altyapısı, en az üretim sistemleri kadar sıkı bir zafiyet yönetimi ve sızma testi programına tabi olmalıdır. Kimlik katmanındaki bir açık, tek bir sistemi değil tüm kapıları birden açar.

İADE EDİLMEYEN CİHAZ: VARLIK ENVANTERİ VE UZAKTAN MÜDAHALE

"Bende bir bilgisayar daha mevcut" cümlesi, tek başına bir varlık yönetimi sorununu özetliyor. Hangi çalışanın zimmetinde kaç cihaz bulunduğunu tam olarak bilmeyen bir kurumun, iade sürecini denetlemesi de mümkün değildir. Doğru yaklaşım, merkezi ve güncel bir donanım envanteri tutulması, cihaz zimmet kayıtlarının İK ayrılış süreciyle entegre edilmesi ve iade tamamlanmadan çıkış işlemlerinin kapatılmamasıdır.

Teknik tarafta ise mobil cihaz yönetimi (MDM) ve uç nokta yönetim çözümleri, iade edilmeyen bir cihazı uzaktan kilitleme, kurumsal veriyi silme ve şirket kaynaklarına erişimini kesme imkânı verir. Disk şifreleme, cihaz fiziksel olarak geri alınamasa bile üzerindeki verinin okunamamasını sağlar.

Uç nokta ajanlarının sunduğu daha az bilinen bir yetenek de burada devreye giriyor: Bazı iç risk yönetimi çözümlerinde (örneğin SearchInform Risk Monitor) bulunan coğrafi konum tespiti özelliği, ajan yüklü bir iş istasyonunun konumunu sunucuya bildirir. İade edilmemiş bir kurumsal dizüstü bilgisayarın, artık şirket ağının dışında ve bambaşka bir adreste çevrimiçi olması, tek başına yüksek öncelikli bir alarm sebebidir. Aynı şekilde ajanın son aktivite kayıtları, cihazın ayrılıştan sonra da kullanılmaya devam edip etmediğini gösterir.

ASIL RİSK, İSTİFADAN ÖNCE BAŞLAR

Kurumların en sık yaptığı hata, iç tehdidi ayrılış anında başlayan bir olay olarak görmektir. Oysa dava dilekçesinde, üst düzey yöneticinin Apple'dan ayrılmadan önce tedarikçilere ilişkin bilgileri ve sektör özetlerini kişisel e-posta adresine gönderdiği öne sürülüyor. Fikri mülkiyet hırsızlığı vakalarının önemli bir bölümü, çalışanın istifasını bildirmesinden önceki haftalarda gerçekleşir çünkü kişi hâlâ tam yetkilidir ve henüz kimsenin şüphesini çekmemiştir.

Bu nedenle olgun bir iç risk yönetimi programı, "ayrılış penceresi" boyunca gözetimi artırır: istifa bildiriminden sonraki dönemde hassas veriye erişim, harici depolama kullanımı, kişisel e-posta trafiği ve toplu dosya işlemleri daha sıkı izlenir. Ancak asıl değerli olan, riski istifadan önce görebilmektir. Yapay zekâ destekli güvenlik politikaları – örneğin SearchInform Risk Monitor'daki 'iş arama' kategorisi, e-posta ve mesajlaşma içeriklerini analiz ederek bu erken sinyalleri yakalayabilir. Buna, kişi bazında gönderilen e-posta, mesaj ve yazdırılan sayfa sayısını izleyen istatistiksel sorgular eklendiğinde, tek tek bakıldığında masum görünen ama toplamda anlam ifade eden davranış birikimleri görünür hale gelir.

VERİ HER ZAMAN AĞDAN ÇIKMAZ: FİZİKSEL VARLIK GÜVENLİĞİ

Dava dilekçesinin en sıra dışı yönü, sızdığı öne sürülen bilginin bir kısmının hiç dijital olmamasıdır. Adaylardan mülakatlara batarya, anakart ve duyurulmamış donanım bileşenleri getirmelerinin istendiği; bir adayın ise bu parçaların ofisten çıkarılabileceğini bilmediği için şaşırdığı iddia ediliyor.

Bu, bilgi güvenliği ekiplerinin sıklıkla gözden kaçırdığı bir gerçeği hatırlatıyor: en gelişmiş DLP mimarisi bile bir kişinin cebindeki fiziksel bir parçayı durduramaz. Donanım geliştiren kurumlarda koruma, laboratuvar ve prototip alanlarına fiziksel erişim kontrolü, prototip zimmet ve iade kayıtları, varlık etiketleme, çıkış noktalarında denetim ve temiz masa politikası gibi klasik fiziksel güvenlik katmanlarını kapsamak zorundadır. Buna, ekranların telefonla fotoğraflanmasına karşı ekran filigranı ve kamera ile ekran çekimi tespiti gibi uç nokta kontrolleri eşlik etmelidir. Fiziksel güvenlik, siber güvenliğin eski moda bir akrabası değildir. Aksine, onun tamamlayıcısıdır.

MÜLAKAT MASASI BİR BİLGİ TOPLAMA KANALI OLABİLİR

Bu vakanın en özgün güvenlik dersi, hiçbir teknik kontrolün kapsamadığı bir kanala işaret ediyor: işe alım görüşmesi. İddiaya göre adaylara gizli proje kod adları üzerinden sorular yöneltilmiş, "göster ve anlat" oturumlarında ayrıntılar elde edilmeye çalışılmış ve bir çalışan, mülakattan önce hangi gizli materyalleri inceleyerek hazırlanması gerektiği konusunda yönlendirilmiştir.

Buna karşı savunma teknolojik değil, kültüreldir. Çalışanların, mülakat ortamında mevcut işverenlerine ait hangi bilgileri paylaşabilecekleri ve paylaşamayacakları konusunda net biçimde bilgilendirilmesi; bilgi toplama tekniklerinin farkındalık eğitimlerinin bir parçası haline getirilmesi gerekir. Kod adı sorulan, örnek parça getirmesi istenen ya da "biraz daha detay" için sıkıştırılan bir adayın bunu bir uyarı işareti olarak tanıması, çoğu DLP kuralından daha etkilidir. Aynı farkındalık, kurumun kendi işe alım süreçleri için de geçerlidir: bir adaydan eski işverenine ait gizli bilgi talep etmek, o kurumu da hukuki riske sokar.

GERİDE KALAN KAYNAK VE VAKANIN NASIL ORTAYA ÇIKTIĞI

Dava dilekçesindeki bir başka ayrıntı, farklı bir tehdit modelini gösteriyor: ayrılan çalışanın, Apple'da çalışmaya devam eden bir meslektaşıyla iletişimini sürdürdüğü ve bilgi akışının sürdüğü öne sürülüyor. Burada tehdit ayrılan kişi değil, içeride kalan ve rakip için bilgi taşımaya devam eden kişidir. Bu, erişim kontrolüyle tespit edilemez, çünkü söz konusu kişinin erişimi tamamen meşrudur.

Bu tür bir durumu görünür kılan başlıca katman iletişim analizidir. Kurumsal e-posta ve mesajlaşma kanallarının içerik analizi, çalışanlar arası ve dışarıyla iletişim yoğunluğunu haritalayan kullanıcı ilişki grafikleri ve şüpheli iletişimi konu bazında etiketleyen yapay zekâ destekli politikalar, olağandışı bilgi akışlarını ortaya çıkarabilir.

Nitekim dava dilekçesine göre Apple'ın bu iletişimden haberdar olması da tam olarak bu şekilde gerçekleşti: söz konusu mesajlar, içeride kalan çalışanın şirket tarafından tahsis edilmiş dizüstü bilgisayarında tespit edildi. Yani vakayı açığa çıkaran şey, bir güvenlik duvarı ya da bir ağ alarmı değil; kurumsal cihazların izlenebilir ve adli incelemeye elverişli olmasıydı. Uç noktalarda adli bilişime hazırlık (forensic readiness), çoğu kurumda ihlal yaşanana kadar değeri anlaşılmayan bir yetenektir.

GÜVENLİK PROSEDÜRÜNÜN KENDİSİ DE BİR SIRDIR

Son olarak, dava dilekçesindeki en düşündürücü ayrıntıya değinmek gerekiyor: Apple'ın kendi çıkış ve güvenlik prosedürlerini anlatan bir iç belgenin, ayrılmayı planlayan çalışanlara dağıtıldığı ve alarm tetiklemeden belge kopyalamanın yollarının paylaşıldığı öne sürülüyor.

Bu iddia doğru çıksın ya da çıkmasın, ortaya koyduğu prensip tartışmasız: Tespit mekanizmalarının eşikleri ve mantığı biliniyorsa, o mekanizmalar artık koruma sağlamaz. Bu nedenle güvenlik prosedürleri, kontrol eşikleri ve alarm kuralları da sınıflandırılmış bilgi olarak ele alınmalı; erişimleri bilmesi gereken prensibiyle sınırlandırılmalıdır. Daha da önemlisi, tespit yalnızca sabit eşiklere dayanmamalıdır. Statik kurallar ("100'den fazla dosya kopyalayan kullanıcı için uyarı üretilsin") atlatılabilir, buna karşılık davranışsal temel çizgiden sapmayı ölçen analitik, kümülatif değerlendirme yapan istatistiksel sorgular ve meşru hiçbir iş akışının dokunmayacağı tuzak belgeler (honeytoken), eşiği bilen bir kişiye karşı bile işlevini sürdürür.

SONUÇ: "MAKUL ÖNLEMLER" ARTIK HUKUKİ BİR EŞİK

Bu dava, teknik bir tartışmanın ötesinde önemli bir gerçeği hatırlatıyor. Ticari sır hukuku, bir bilginin korunmaya değer sayılabilmesi için sahibinin onu gizli tutmak adına "makul önlemler" almış olmasını şart koşar. Yani erişim kontrolü, sınıflandırma, çıkış prosedürleri ve denetim kayıtları yalnızca sızıntıyı önlemeye yarayan araçlar değildir. Bir gün mahkemeye gidildiğinde o bilginin gerçekten korunan bir ticari sır olduğunu kanıtlayan delillerdir. Kontrolleri uygulamamak, yalnızca veriyi değil, o veri üzerindeki hukuki iddiayı da zayıflatır.

Kurumlar için çıkarılacak dersler katmanlı: ayrılış sürecini insan inisiyatifinden çıkarıp otomatikleştirmek, cihaz envanterini ve iadesini denetlenebilir kılmak, riski istifa anında değil öncesinde görmeye çalışmak, fiziksel varlıkları da koruma kapsamına almak, mülakat gibi teknoloji dışı kanalları farkındalık eğitimiyle kapatmak ve tespit kabiliyetini bilinebilir eşiklerin ötesine taşımak. Bu katmanların önemli bir bölümü, DLP ve iç risk yönetimi sınıfındaki çözümlerle desteklenebilir. Dosya erişim denetimi ve otomatik sınıflandırma (DCAP çözümleri, örneğin SearchInform FileAuditor), uç nokta ve cihaz kontrolü, coğrafi konum tespiti, iletişim ve kullanıcı ilişki analizi ile yapay zekâ destekli erken risk sinyalleri, ayrılış penceresinde ihtiyaç duyulan görünürlüğü artırır.