İnternette yayımlanan sahte veya gerçekte işe alım amacı taşımayan iş ilanlarının, adayların kişisel verilerinin kötüye kullanılması açısından risk oluşturabileceği belirtiliyor. Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, özgeçmişlerin yalnızca kariyer bilgilerini değil, kişilerin iletişim, eğitim ve mesleki geçmişine ilişkin kapsamlı verileri de içerdiğine dikkat çekti.
Doğanay’a göre çevrim içi işe alım süreçlerinde adaylardan toplanan verilerin hangi amaçla işlendiği, ne kadar süre saklandığı ve kimlerle paylaşıldığı konusunda şeffaflık önem taşıyor. Özgeçmişlerde yer alan bilgilerin başka veri kaynaklarıyla birleştirilmesi durumunda kişilere ilişkin daha kapsamlı dijital profiller oluşturulabileceği ifade ediliyor.
CV’ler hedefli saldırılarda kullanılabilir
Bir CV’nin telefon ve e-posta gibi iletişim bilgilerinin yanı sıra eğitim geçmişi, çalışılan kurumlar, görevler, uzmanlık alanları ve referanslar gibi bilgiler içerdiğini belirten Doğanay, bu verilerin sosyal mühendislik ve hedefli oltalama saldırılarında kullanılabileceğini söyledi.
Kişisel bilgilerin farklı kaynaklardan elde edilen verilerle birleştirilmesinin kimliğe bürünme, hesap ele geçirme girişimleri ve deepfake destekli dolandırıcılık gibi riskleri artırabileceği belirtiliyor. Özellikle çalışılan kurum ve görev bilgilerinin, saldırganlara şirket çalışanlarını hedef alma konusunda da çeşitli bilgiler sağlayabileceği aktarılıyor.
Her iş ilanı gerçek bir pozisyon anlamına gelmeyebilir
Doğanay, bazı iş ilanlarının uzun süre yayında kalmasının veya sürekli güncellenmesinin, ilanın gerçek bir personel ihtiyacına dayanıp dayanmadığı konusunda soru işaretleri oluşturabileceğini belirtti.
Bu tür ilanların doğrudan herhangi bir kurum veya platformla ilişkilendirilmemesi gerektiğini ifade eden Doğanay, gerçek bir işe alım yapılmayan ilanlar üzerinden kişisel veri toplanıp toplanmadığının incelenmesi gerektiğini söyledi.
Sahte veya yanıltıcı ilanların yalnızca dolandırıcılık amacıyla değil, web sitesi trafiği ve sosyal medya etkileşimini artırmak ya da kurumun büyüdüğü algısını oluşturmak için de kullanılabileceği öne sürülüyor. Böyle durumlarda adaylardan gereğinden fazla kişisel veri talep edilmesinin ayrıca değerlendirilmesi gerektiği belirtiliyor.
Veri minimizasyonu vurgusu
Kişisel verilerin işlenmesinde amaca bağlılık, sınırlılık ve ölçülülük ilkelerinin önemine işaret eden Doğanay, gereğinden fazla veri toplanmasının siber riskleri artırabileceğini ifade etti.
İşe alım süreçlerinde gerçek bir açık pozisyona dayanmayan ilanların yayımlanmaması, adaylara kişisel verilerinin hangi amaçla işlendiğinin açıklanması ve ihtiyaç duyulmayan özgeçmişlerin mevzuata uygun şekilde silinmesi öneriliyor.
Ayrıca iş ilanı platformları ve işverenlerin kişisel veri işleme süreçlerinin denetlenmesi, adayların verilerinin ne kadar süre saklanacağı konusunda bilgilendirilmesi ve yanıltıcı ilanların bildirilebileceği mekanizmaların oluşturulması gerektiği belirtiliyor.
Uzman, aktif olarak iş aramayan kişilerin kariyer platformlarındaki hesaplarını ve yayımdaki özgeçmişlerini de gözden geçirmelerini öneriyor. Kullanılmayan kişisel verilerin çevrim içi ortamda gereksiz yere tutulmamasının temel veri güvenliği uygulamalarından biri olduğu ifade ediliyor.
Doğanay, yapay zekâ destekli siber tehditlerin gelişmesiyle birlikte insanlara ait verilerin de önemli bir hedef hâline geldiğini belirterek, işe alım süreçlerinde kişisel verilerin korunmasının yalnızca insan kaynakları birimlerinin değil, siber güvenlik ve veri koruma süreçlerinin de konusu olması gerektiğini söyledi.
