Dünya Sağlık Örgütü tarafından pandemi ilan edilmesine neden olan “Covid-19” adı ile bilinen salgın hastalık sebebiyle, ülkemizde ve tüm dünyada pek çok önlem alınmış durumdadır. Söz konusu önlemlerin bir kısmı idari merciler eli alınmakta ve denetlenmekte iken, bir kısmı ise işverenlerin inisiyatifine bırakılmış durumdadır. İşverenler tarafından bu kapsamda alınan en önemli tedbirlerden biri de “uzaktan çalışma” modelinin benimsenmesi ve uygulanmaya başlanması noktasındadır.
Uzaktan çalışma modeli; işçinin, işveren tarafından oluşturulan iş organizasyonu kapsamında iş görme edimini evinde ya da teknolojik iletişim araçları ile iş yeri dışında yerine getirme esasına dayalı bir ilişkisi olarak tanımlanmaktadır.
Tüm dünyayı etkisi altına alan ölümcül bir salgın hastalığın yayıldığı günümüzde uzaktan çalışma; çalışanların can güvenliği açısından oldukça verimli bir çözüm olmasının yanı sıra şirketler açısından doğuracağı riskler itibariyle de titizlikle ele alınması gereken bir modeldir. Özellikle çalışanlar, evden çalışma modeli için yeterli bir biçimde bilgilendirilmeli, ortaya çıkabilecek çeşitli siber saldırı riskleri hakkında gereken önlemlerin alınması sağlanmalı ve bu gibi dönemlerin özellikle siber suçlular için bir fırsat olarak ele alındığı hususları unutulmamalıdır.
Şirketler nezdinde uzaktan çalışma modelinin barındırdığı riskler ve ne gibi önlemler alınabileceğine yönelik olarak önem arz edebilecek bir takım hususları aktarmakta fayda vardır:
- İlk olarak çalışanlara, uzaktan çalışma modelinin, halihazırda yapılan işin mahiyetinde bir değişikliğe sebebiyet vermeyecek olduğunu ve bu kapsamda normal şartlarda asgari düzeyde dikkat edilen tüm hususlara dikkat ve özen gösterilmeye devam edilmesi gerektiği hatırlatılmalıdır. Çalışanların, uzaktan çalışma modeli öncesinde riayet ettikleri başta gizlilik olmak üzere tüm yükümlülüklerine riayet etmeye devam etmeleri gerektiği anlatılmalıdır. Bu noktada varsa alınması gereken tüm teknik önlemler alınmalıdır.
- Uzaktan çalışma, mümkünse şirket tarafından sağlanan bilgisayar, telefon ve benzeri teknolojik araç gereçler ile yapılmalıdır. Çalışanların kişisel cihazlarında bulunan yazılımlar güncel olmadığı takdirde; bu durum şirket bilgileri açısından güvenlik zafiyetlerine sebebiyet verebilmektedir.
- Şirketler, çalışanların kurumsal kaynaklara uzaktan bağlanmaları durumunda güvenli bir kanal kurmak ve kurumsal verileri dışarıdan istenmeyen erişime karşı korumak için güvenilir bir VPN kurmalı ve aynı zamanda VPN olmadan harici ağlardan kurumsal kaynaklara olan bağlantıları yasaklamalıdır.
- Kişisel e-postalar mümkünse şirket içi yazışmalarda kullanılmamalı; çalışanların doküman yazdırmaları gerekmesi durumunda, dokümanın mahiyeti ve gizlilik derecesine göre bulundukları ortamdaki herhangi bir yazıcıdan çıktı almaları sınırlandırılmalı yahut tamamen engellenmelidir.
- Çalışanların kullanıcı hesaplarının tahmini zor parolalarla korunması sağlanmalıdır. Uzaktan çalışmanın yoğunluğuna bağlı olarak riskler artacağından, parola değiştirme sıklığının arttırılması gerekmektedir. Çalışanların, birden çok yerde aynı parolayı kullanmamaları konusunda uyarılmaları gerekmektedir.
- Şirket sistemlerine erişimlerde ayrıcalıklı yetkilere sahip kullanıcı hesaplarının sayısı kısıtlanarak; yalnızca gerekli olan kullanıcılara bu yetkiler tanınmalıdır. Ayrıcalıklı yetkilere sahip kullanıcı hesaplarının parolaları güvenli ortamlarda saklanmalı ve bu parolaların belirli sıklıkta değiştirilmesini sağlayacak düzenlemeler yapılmalıdır.
- Uzaktan çalışanlar için şirket tarafından onaylanmış depolama platformları, iletişim / video konferans araçları, proje yönetim araçları gibi uygulamalar kullanılmalıdır. Yalnızca ihtiyaç duyulan uygulamaların sistemlerde yüklü olması ve bu liste dışındaki herhangi bir uygulamanın sistemlere yüklenmesi veya çalıştırılmasının engellenmesi gerekmektedir.
- Online ortamlarda gerçekleştirilen toplantılar için; toplantının bir bölümü yahut tamamına ilişkin katılımcıların rızası olmaksızın çeşitli vasıtalarla ses, video ve görüntü kaydı alınmasının, saklanmasının, ifşa edilmesinin ve bunların yapılmasına izin verilmesinin; 5237 sayılı Türk Ceza Kanunu’nun 132. maddesi kapsamında haberleşmenin gizliliğini ihlal, 134. maddesi kapsamında özel hayatın gizliliğini ihlal, 135. maddesi kapsamında kişisel verilerin kaydedilmesi, 136. maddesi kapsamında verileri hukuka aykırı olarak verme veya ele geçirme suçlarını oluşturacağı hususunda çalışanların toplantı öncesi toplantı başkanı tarafından uyarılması gerekmektedir. Bu kapsamda kişisel verilerin gerçek veya tüzel kişiler tarafından güvenliğinin ihlal edilmesi halinin, aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında da hukuki sorumluluğun doğmasına sebebiyet vereceği hususunda çalışanlar bilgilendirilmelidir.
Uzaktan çalışma modeli, pek çok kişi ve kurum için bu zorlu süreci atlatabilme adına iyi bir yöntemdir ve bünyesinde barındırdığı riskler, kontrol altına alınamayacak riskler değildir. Fakat, salgın hastalık ve virüsün yayılması riskinden korunmak adına bu modeli benimserken atılan adımların öylesine doğru atılması gerekmektedir ki, bu adımlar beraberinde başkaca riskleri de tetiklemesin. Şüphesiz ki her bir sektör ve çalışma alanı için bu riskler azalabilir yahut artabilir. Bu itibarla, yazımız kapsamında daha ziyade genel nitelikteki birtakım risklere değinmiş olduğumuzu, sektörel bazlı oluşabilecek başkaca risklerin doğru analiz edilmesi ve bu kapsamda gereken önlemlerin alınabilmesi noktasında uzman kişilerin yardımına başvurmak en doğru yöntem olacaktır.
Süreci herkes için mümkün olan en az yara ile atlatabilmeyi umar, sağlıklı günler dileriz.
Av. Filiz Demiral
Av. Batuhan Bulut