Türk Şirketlerinin %85'i Çalışan Suistimaliyle Karşılaşıyor: DLP Sistemi İşletmeleri Nasıl Korur?

Pınar Güneş
SearchInform Bilgi Güvenliği Uzmanı

PwC Türkiye ile Etik ve İtibar Derneği (TEİD) iş birliğiyle hazırlanan Türkiye Suistimal Araştırması 2026 sonuçlarına göre, Türkiye'deki şirketlerin %85'i son iki yılda en az bir suistimal vakasıyla karşılaştı.

Bu yazıda çalışan suistimalinin şirketler için oluşturduğu riskleri ve DLP, DCAP ve SIEM çözümlerinin bu risklerin erken tespit edilmesinde nasıl kullanılabileceğini anlatıyorum.

Çalışan suistimali nedir?

Türk mevzuatında “suistimal” kavramının tek bir yasal tanımı bulunmuyor. Uygulamada suistimal; çalışanların, yöneticilerin veya üçüncü tarafların haksız kazanç elde etmek ya da şirkete zarar vermek amacıyla gerçekleştirdiği kasıtlı eylemler olarak anlaşılıyor. Bu eylemlerin temelinde güvenin, görev ve yetkilerin ya da şirket kaynaklarına erişimin kötüye kullanılması yatıyor.

Kurumsal suistimal farklı biçimlerde ortaya çıkabiliyor: rüşvet ve usulsüz komisyonlar, finansal tablolarla oynama, belge sahteciliği, zimmet, giderleri şişirme, ticari bilgilerin ve müşteri veritabanlarının çalınması, sabotaj veya rakipler için gizlice çalışma.

Bu nedenle çalışan suistimali yalnızca finans veya insan kaynakları departmanlarını ilgilendiren bir konu değil. Aynı zamanda siber güvenlik ve BT kapsamında ele alınması gereken önemli bir bilgi güvenliği riski.

Şirketler en sık hangi suistimal türleriyle karşılaşıyor?

Araştırma verilerine göre şirketler en sık stok ve envanter suistimalleriyle (%19,5) karşılaşıyor. Bunu rüşvet ve usulsüz komisyon alma (%16,1), harcama ve gider suistimalleri (%15,9), nakit ve ödeme araçları suistimalleri (%15,3) ile finansal manipülasyon ve kayıt suistimalleri (%13) izliyor.

Çalışan suistimali neden geç tespit ediliyor?

Araştırmaya göre yaklaşık her dört şirketten biri, suistimalin başlangıcından tespitine kadar geçen süreyi bilmiyor. Bu gecikme, kaybın boyutunu doğrudan etkiliyor: Tespit süresinin 2 yılı aştığı şirketlerde 25 milyon TL'nin üzerindeki kayıplara belirgin biçimde daha sık rastlanıyor.

İhlal görünür hale gelene kadar yaşananlar çoğu zaman basit bir aksaklık olarak değerlendiriliyor. Şüpheli bir işlem hata, olağandışı bir yazışma tesadüf, alışılmadık bir dosya erişimi tek seferlik bir durum olarak görülebiliyor. Oysa bu olaylar birlikte incelendiğinde sistematik bir suistimal şemasına işaret edebilir. 

Çalışan suistimalinde kimler risk grubunda?

Araştırmada 3 ana ihlalci kategorisi öne çıkıyor.

• Çalışanlar: En kalabalık grup. Araştırmaya göre vakaların %64'ü çalışanlardan kaynaklanıyor. En büyük zararı ise genellikle geniş erişim yetkisine ve uzun kıdeme sahip kişiler veriyor. Bu çalışanlar iç süreçleri iyi bildikleri için kontrol mekanizmalarını nasıl aşabileceklerini de biliyor.
• Üst düzey yöneticiler: Vakaların yaklaşık %15'ini oluşturuyorlar. Sayıca daha az olsalar da sonuçları bakımından en tehlikeli gruplardan biri. Yönetici kaynaklı vakalarda 25 milyon TL'nin üzerindeki kayıpların oranı %33,3'e ulaşırken, çalışanların karıştığı vakalarda bu oran yalnızca %7,8.
• Dış aktörler: Bağlantılı tedarikçiler, müşteriler ve aracılar vakaların yaklaşık %10'unda rol oynuyor. Şirket sistemlerine erişimi zamanında kapatılmayan eski çalışanlar da bu grupta önemli bir risk oluşturuyor.

Suistimal riskini yalnızca mevcut çalışanlarla sınırlı değerlendirmemek de gerekiyor. Tedarikçilerin erişim yetkileri, üçüncü taraflarla kurulan iletişim ve işten ayrılan çalışanların hesapları da düzenli olarak kontrol edilmeli.

Çalışan suistimalinin şirketlere maliyeti nedir?

Ankete katılan şirketlerin %40'ında son iki yıldaki toplam suistimal kaybı 5 milyon TL'yi, %16'sında ise 25 milyon TL'yi aştı.

Ancak suistimalin etkileri doğrudan finansal kayıplarla sınırlı kalmıyor. Çalınan veya kaybedilen tutarlara düzenleyici kurumların uyguladığı cezalar, dava ve soruşturma masrafları, müşteri kaybı ve itibar zararı da ekleniyor. Ticari sırların ele geçirilmesi şirketin rekabet gücünü zayıflatırken, ekip içindeki güven ve bağlılık da zarar görüyor.

Suistimal tespitinde teknolojinin payı neden düşük?

Araştırma verileri, teknolojinin suistimallerin tespitindeki payının henüz sınırlı olduğunu gösteriyor. Vakaların yalnızca %12,4'ü gözetim ve izleme, %7,8'i veri analizi, %6,6'sı ise bilgi teknolojileri kontrolleri sayesinde ortaya çıkarılıyor.

Başka bir ifadeyle, tüm teknolojik kanallar birlikte değerlendirildiğinde bile ihlallerin ancak yaklaşık dörtte biri tespit edilebiliyor. Başlıca tespit araçları hala iç denetimler ve etik ihbar hatları.

Burada şunun altını çizmemiz gerekiyor: İç denetim veya ihbar mekanizmaları çoğu zaman gerçekleşmiş olayları ortaya çıkarır. Teknolojik çözümler ise dijital izleri analiz ederek daha hazırlanmakta olan ihlalleri erken aşamada fark edilmesine yardımcı oluyor.

DLP, çalışan suistimalini nasıl tespit eder?

DLP (Data Loss Prevention), hassas verilerin izinsiz kullanılmasını, paylaşılmasını veya şirket dışına çıkarılmasını tespit eden ve önleyen bir veri güvenliği sistemidir.

DLP sistemleri verinin kim tarafından, ne zaman ve hangi kanal üzerinden kullanıldığını izler. Güvenlik politikalarına aykırı bir hareket tespit edildiğinde olayı kayda alabilir, güvenlik ekibini uyarabilir veya belirlenen kurala göre işlemi engelleyebilir.

Kapsamlı bir DLP sistemi; e-posta, kurumsal mesajlaşma uygulamaları, bulut depolama platformları, USB bellekler, ağ klasörleri, yazıcılar, web siteleri ve yapay zeka platformları üzerinden gerçekleştirilen veri aktarımlarını izler.

Gelişmiş içerik analizi teknolojileri sayesinde yeni nesil DLP sistemleri yalnızca dosyanın adına veya uzantısına bakmaz. Belgenin içeriğini inceleyerek kişisel verileri, finansal bilgileri, sözleşmeleri, teknik çizimleri ve müşteri listelerini tanıyabilir. Dosyanın adı veya formatı değiştirilse ya da belgenin yalnızca küçük bir bölümü kopyalansa bile kritik veri tespit edilebilir.

DLP çözümü çalışan suistimalinin şu işaretlerini ortaya çıkarabilir:

• Görev alanıyla ilgisi olmayan gizli dosyalara erişim
• Kısa sürede çok sayıda belgenin açılması veya kopyalanması
• Dosyaların kişisel e-postaya, bulut depolama alanına ya da USB belleğe aktarılması
• Tedarikçilerle yapılan şüpheli yazışmalar
• İşten ayrılmadan önce olağandışı miktarda veriye erişilmesi
• Çalışanın normal davranış düzeninden belirgin biçimde sapması

DLP'nin asıl değeri, bu dijital izleri bağlam içinde değerlendirerek güvenlik uzmanının dikkatini gerçekten riskli durumlara yönlendirmesidir.

Gerçek bir vaka: DLP usulsüz komisyon şemasını nasıl ortaya çıkardı?

Yakın zamanda karşılaştığım bir olayda, veri sızıntılarını önleme sisteminin (DLP) test sürecinde bir usulsüz komisyon vakası ortaya çıkarıldı.

Satın alma departmanındaki bir çalışan, görev tanımıyla ilgisi olmamasına rağmen mesai saatlerinde düzenli olarak bir grafik düzenleme programı kullanıyordu. DLP sistemi bu olağandışı davranışı tespit etti.

Yapılan inceleme, çalışanın tedarikçilerden gelen tekliflerdeki tutarları üst yönetimin onayına sunmadan önce değiştirdiğini ve komisyon karşılığında belirli bir tedarikçiyi öne çıkardığını gösterdi. Şirket bu nedenle defalarca elverişsiz teklifleri seçmiş ve maddi kayba uğramıştı.

Sistem, şemayı daha ilk haftalarda ortaya çıkardı. DLP daha erken devreye alınmış olsaydı önceki vakalar da tespit edilebilirdi. 

Müşterilerimizin karşılaştığı bu ve benzeri çalışan suistimali vakalarını bir araya getirdiğimiz “Bizde Öyle Şey Olmaz” broşürünü buradan indirebilirsiniz.

DLP, DCAP ve SIEM birlikte nasıl koruma sağlar?

İç suistimale karşı kapsamlı ve güvenilir bir koruma, 3 çözüm sınıfının birlikte kullanılmasına dayanıyor.

DCAP (Data-Centric Audit and Protection) sistemleri kritik dosyaların nerede tutulduğunu gösteriyor, bunları içeriğine göre sınıflandırıyor ve kimlerin dosyalara erişebildiğini denetliyor. Şirket böylece en az yetki ilkesini uygulayabiliyor: Her çalışan yalnızca görevi için gerekli bilgilere erişiyor.

DLP, daha önce de belirttiğim gibi, erişime açılan verilerin nasıl kullanıldığını ve hangi kanallar üzerinden aktarıldığını kontrol ediyor. Veri hareketlerini ve kullanıcı davranışlarını analiz ederek güvenlik politikalarına aykırı işlemleri tespit ediyor.

SIEM (Security Information and Event Management) ise farklı sistemlerden, uygulamalardan ve cihazlardan gelen olayları topluyor ve birbiriyle ilişkilendiriyor. Mesai dışında oturum açma, alışılmadık bir kaynağa erişim ve toplu dosya okuma gibi ayrı ayrı masum görünebilecek olayları tek bir riskli senaryo olarak güvenlik ekibinin önüne getiriyor.

Kısacası DCAP “Kritik veriler nerede ve kimler erişebiliyor?”, DLP “Veri nasıl kullanılıyor ve nereye aktarılıyor?”, SIEM ise “Farklı sistemlerdeki olaylar arasında nasıl bir ilişki var?” sorularına yanıt veriyor.

Son söz

Türkiye Suistimal Araştırması 2026 önemli bir ilişkiyi açıkça ortaya koyuyor: Suistimal ne kadar geç tespit edilirse kayıplar o kadar büyüyor ve kaybedilen tutarın yalnızca sınırlı bir kısmı geri kazanılabiliyor.

DLP sistemleri veri hareketlerini, iletişim kanallarını ve kullanıcı davranışlarını analiz ederek çalışan suistimali ile veri sızıntısının erken belirtilerini görünür hale getiriyor. DCAP kritik verilerin ve erişim haklarının kontrolünü sağlarken, SIEM farklı sistemlerdeki olayları ilişkilendirerek güvenlik ekibine bütüncül bir görünüm sunuyor.

Suistimal ciddi bir iş riski olmayı sürdürüyor. Bu nedenle önleyici tedbirlere ve sağlam bir veri güvenliği sistemine yatırım yapmak, ortaya çıkabilecek sonuçların bedelini ödemekten çok daha akılcı.