Birçok acente yazılımı, kullanıcıların yaptığı işlemleri kayıt altına alır. Ancak bu kayıtların varlığı, onların okunduğu anlamına gelmez. Çoğu zaman işlem kayıtları yalnızca bir sorun yaşandıktan sonra, geriye dönük inceleme için açılır. Oysa aynı kayıtlar düzenli olarak okunduğunda, bir hesabın ele geçirildiğini, müşteri verisinin toplu biçimde dışarı alındığını ya da bir yetkinin amacı dışında kullanıldığını sorun büyümeden fark etmek mümkündür.
Bu yazıda işlem kayıtlarında hangi sinyallere bakılabileceğini, bu sinyallerin nasıl yorumlanması gerektiğini ve küçük bir acentenin bile uygulayabileceği bir inceleme rutininin nasıl kurulabileceğini ele alıyoruz.
Önce olağanı tanımak
Şüpheli davranışı fark etmenin ön koşulu, olağan davranışı bilmektir. Bir satış temsilcisinin günde kaç müşteri kartı açtığı, operasyon ekibinin hangi saatlerde çalıştığı, raporlama sorumlusunun ayda kaç kez dışa aktarım yaptığı gibi temel örüntüler bilinmeden sapmaları tespit etmek zordur. Bu nedenle ilk birkaç hafta kayıtları yalnızca gözlemlemek, ekibin olağan ritmini anlamak için değerli bir yatırımdır.
Olağan davranış rol bazında farklılık gösterir. Kampanya döneminde yüzlerce müşteriyle iletişime geçen bir temsilcinin yoğun kayıt açması doğaldır; aynı yoğunluğun tahsilat personelinde görülmesi ise açıklama gerektirebilir.
Hesap ele geçirmeye işaret eden sinyaller
- Kısa sürede çok sayıda başarısız giriş: Özellikle farklı kullanıcı adlarıyla aynı kaynaktan yapılan denemeler, parola deneme saldırısını gösterebilir.
- Başarısız denemelerin ardından başarılı giriş: Uzun bir başarısız deneme serisinin sonunda gelen başarılı giriş, parolanın tahmin edildiğine işaret edebilir.
- Fiziksel olarak mümkün olmayan konum değişimi: Aynı hesabın birbirine çok uzak iki noktadan kısa aralıkla giriş yapması.
- Yeni cihaz ve hemen ardından hassas işlem: İlk kez görülen bir cihazdan girişin ardından doğrudan doğrulama ayarlarının değiştirilmesi ya da dışa aktarım yapılması.
- Reddedilen doğrulama istekleri: Kullanıcının art arda reddettiği çok faktörlü doğrulama bildirimleri.
Veri sızdırmaya işaret eden sinyaller
- Normalin çok üzerinde müşteri kartı görüntüleme, özellikle kullanıcının kendi portföyü dışındaki kayıtlarda
- Filtresiz ve tüm alanları içeren büyük dışa aktarımlar
- Maskeli alanların talep üzerine açılma sayısında ani artış
- Mesai dışı saatlerde yoğunlaşan görüntüleme ve indirme işlemleri
- Görev değişikliği veya ayrılık sürecindeki kullanıcıların erişim hacminde artış
Yetki kötüye kullanımına işaret eden sinyaller
- Kullanıcıların kendi yetkilerini veya başkalarının yetkilerini olağan dışı biçimde değiştirmesi
- Uzun süredir kullanılmayan bir hesabın aniden aktifleşmesi
- Acil durum erişim hesabının herhangi bir bildirim yapılmadan kullanılması
- Toplu silme veya arşivleme işlemlerinde beklenmedik artış
- Kritik ayar değişikliklerinin onay akışı dışında yapılmaya çalışılması
Sinyali kanıtla karıştırmamak
Yukarıdaki sinyallerin hiçbiri tek başına kötü niyetin kanıtı değildir. Mesai dışı giriş, işini evden bitirmek isteyen özenli bir çalışana ait olabilir. Yüksek görüntüleme sayısı, yenileme dönemindeki yoğun bir aramanın sonucu olabilir. Bu nedenle sinyaller, bir sorgulama başlatmak için gerekçe olarak görülmeli; kesin yargı için kullanılmamalıdır.
Sağlıklı bir yaklaşım, sinyalleri üç düzeyde ele almaktır. Bilgi düzeyindeki sinyaller yalnızca kaydedilir ve dönemsel incelemede bakılır. Dikkat düzeyindeki sinyaller yöneticiye bildirim olarak iletilir ve çalışanla kısa bir görüşme yapılır. Acil düzeydeki sinyaller ise, örneğin aynı anda yeni cihaz, olağan dışı konum ve toplu dışa aktarım bir araya geldiğinde, hesabın geçici olarak kısıtlanmasını ve olay müdahale sürecinin başlatılmasını gerektirir.
Küçük acenteler için inceleme rutini
Ayrı bir güvenlik ekibi olmayan acenteler için de uygulanabilir bir rutin kurmak mümkündür:
- Haftalık kısa bakış: Acente sahibi veya yetkilendirilmiş bir yönetici, haftada bir kez başarısız giriş, yeni cihaz ve dışa aktarım kayıtlarına göz atar.
- Aylık yetki kontrolü: Ay içinde yapılan rol ve yetki değişiklikleri gözden geçirilir.
- Olay sonrası derin inceleme: Bir şüphe ortaya çıktığında ilgili kullanıcının belirli bir dönemdeki tüm işlemleri ayrıntılı olarak incelenir.
- Notlarla belgeleme: Her incelemede neye bakıldığı ve ne bulunduğu kısaca not edilir; bu notlar bir sonraki incelemede olağanın ne olduğunu hatırlatır.
Kayıtların okunabilir olması
İnceleme rutininin işlemesi için kayıtların teknik olmayan bir yöneticinin anlayabileceği biçimde sunulması gerekir. Kullanıcı, işlem türü, etkilenen kayıt, zaman, cihaz ve şube bilgilerinin filtrelenebilir bir ekranda görülebilmesi; sık kullanılan sorguların kaydedilebilmesi ve belirli sinyaller için otomatik uyarı tanımlanabilmesi bu açıdan önemlidir. Web paneli ve mobil uygulama üzerinden yapılan işlemlerin aynı ekranda birlikte görünmesi, kanallar arası geçişlerin gözden kaçmasını önler.
Bir inceleme örneği
Haftalık kontrol sırasında yönetici, bir satış temsilcisinin hesabıyla çarşamba gecesi yeni bir tarayıcıdan giriş yapıldığını, ardından birkaç dakika içinde iki şubeye ait müşteri listelerinin görüntülendiğini fark eder. Temsilci, sabah yaptığı görüşmede o saatte uyuduğunu ve evde başka bir cihaz kullanmadığını söyler. Bu noktada sinyal, dikkat düzeyinden acil düzeye geçer: Hesabın oturumları sonlandırılır, parolası ve doğrulama yöntemleri yenilenir, o gece görüntülenen kayıtların listesi çıkarılır ve olay müdahale süreci başlatılır. Temsilci daha sonra kişisel e-postasına gelen sahte bir giriş sayfasına bilgilerini girdiğini hatırlar. Haftalık rutin olmasaydı bu erişim belki aylarca fark edilmeyecekti.
Çalışanlarla şeffaflık
İşlem kayıtlarının incelendiğini çalışanlardan saklamak yerine açıkça paylaşmak, hem caydırıcı bir etki yaratır hem de güven ortamını korur. Kayıtların amacının bireyleri izlemek değil, hesapları ve müşteri verisini korumak olduğunu anlatmak önemlidir. Bir çalışanın hesabının ele geçirildiği senaryoda, erken tespit en çok o çalışanı korur.
Kayıtları konuşturmak
Okunmayan bir işlem kaydı, yalnızca depolama alanı kaplar. Düzenli ve sistematik biçimde okunan kayıtlar ise acenteye erken uyarı sistemi sağlar. Acente yazılımınızda işlem kayıtlarının nasıl filtrelendiğini ve CRM tarafındaki kullanıcı hareketlerinin nasıl izlendiğini görmek için demo sayfamızı ziyaret edebilirsiniz.