Bir Denetim Konusu Olarak Sosyal Medya
Dünya nüfusunun yarısı sosyal medya kullanıcısı. Günümüzün 2,5 saati sosyal medyada geçiyor. Peki sosyal medya iç denetim planımızda var mı? Sosyal medya denetiminde neleri dikkate almalıyız?
Bu yazımda, kişisel ve kurumsal sosyal medya kullanımında dikkat edilmesi gereken konuları denetim gözü ile değerlendiriyorum.
Bizim neslin internetten önceki hayatın nasıl olduğunu neredeyse unuttuğu, yeni neslin ise internetin olmadığı bir yaşamı hayal bile edemediği bu çağda bilgi teknolojileri (BT) alanında çalışmak hem çok eğlenceli hem de çok zor. Zira teknoloji o kadar hızlı ilerliyor, BT ortamı o kadar radikal biçimde dönüşüyor ki bu değişimi takip etmek, kişisel ve kurumsal olarak adapte olmak ve fırsat-risk dengesini tutturmak büyük çaba gerektiriyor.
İlk olarak 1945 yılında Vannevar Bush tarafından “As We May Think”[1] başlıklı makalesinde Memex adını verdiği teorik makinesi ile düşünsel temelleri atılan, 1990’lı yılların başında Tim Berners Lee’nin HTML’i geliştirerek World Wide Web’i sahneye çıkarmasıyla hayatımıza giren internet çok kısa süre içinde hem kişisel hem de kurumsal hayatın odağına yerleşti.
1993 yılında sadece 600 web sitesi, internete bağlı 2 milyon bilgisayar varken bugün 5 milyara yakın internet kullanıcısı, 1 milyar 865 bin web sitesi var [2]. İnternetin tarihçesi, teknik detayları ve istatistiksel veriler başka bir yazının konusu. İnternet kullanımına dair günlük rakamlara (internet trafiğinden harcanan elektriğe, CO2 emisyonuna kadar birçok anlık veri) yazımın sonunda yer verdiğim 2. sıradaki referanstan erişebilirsiniz.
Bu yazının konusunu ise internet denilince belki de ilk akla gelen ve günümüzde yediden yetmişe herkesin en yoğun biçimde kullandığı uygulamaları içeren sosyal medya oluşturuyor.
Kurumsal sosyal medya kullanımı, kişisel sosyal medya kullanımı, sosyal medyanın kişisel verilerin toplanmasında ve bireylerin yönlendirilmesinde kullanımı, manipülatif ve yalan bilgilerin kolay yoldan yayılması, sosyal medyanın mali boyutu, kişisel verilerin korunması, siber güvenlik gibi birçok alt detayları bulunan çok geniş bir konu olmakla birlikte, burada, sosyal medyaya iç denetim bakımından bir bakış sunularak sosyal medya kullanımında dikkat edilmesi gereken bazı konuların vurgulanması hedeflenmiştir.
Kaplan & Haenlein (2010)[3] tarafından yapılan tanıma göre sosyal medya Web 2.0’ın ideolojik ve teknolojik temelleri üzerine inşa edilmiş olan, kullanıcılar tarafından içerik yaratılmasına ve bu içeriğin ağda paylaşımına imkan sağlayan internet uygulamalarıdır. Çevrimiçi (online) gruplar içerisinde bilgi, fikir, kişisel mesaj, video, fotoğraf gibi içeriklerin oluşturulması ve paylaşılması ile meydana gelen elektronik iletişim biçimidir.
Her ne kadar sosyal medya denilince akla ilk olarak kişisel kullanım gelse de, gerek özel sektör gerekse kamu kuruluşları da sosyal medyayı sürekli artan biçimde, aktif olarak kullanmakta. Üstelik, kişisel sosyal medya kullanımını kurumsal yaşantıdan tamamen bağımsız düşünmek de mümkün değil zira kişisel paylaşımların çalışılan ya da üyesi olunan kurumlarla bağlantıları kadar sosyal medya kullanımının sebep olduğu işgücü kaybı da kurumlar açısından risk oluşturuyor. İşte bu nedenle sosyal medya konusunu ayrı bir denetim konusu olarak denetim evrenine ilave etmek (muhtemelen birçok denetim birimince gerçekleştirilmiştir) ve denetim programına almak gerekiyor.
Sosyal medya risklerine geçmeden önce, kendimize ya da denetlenene bazı sorular sorarak başlamakta fayda var:
- Sosyal medya kullanıyor musunuz? (Sosyal medya kullanmamak aslında sizi risklerden azade kılmıyor. Sizin adınıza açılmış bir hesap var mı? Kullanmasanız bile, kendi adınızla bir hesap açıp adınızın başkaları tarafından kullanılma ihtimalini ortadan kaldırmakta fayda var. Hatta konudan bağımsız bir öneri: arama motorlarında ve sosyal medya platformlarında kendi adınızı aratıp adınıza açılmış hesap(lar)ın, fotoğrafınızı kullananların olup olmadığını arada bir kontrol edin.)
- Facebook, Twitter, Instagram vb. hesabınızda iş unvanı ve/veya kuruluş adını paylaşıyor musunuz? (“Bu bilgileri paylaşmak yanlıştır” gibi bir fikirden hareketle sorulan bir soru değildir. Paylaştığınız bilgilerle ilgili kurumunuzun kısıtlamaları, kuralları, ilkeleri var mı? Bunlara uyuyor musunuz? Paylaştığınız bilgilerle ilgili risklerin farkında mısınız? Gibi sorular türeterek farkındalığın artırılması amaçlanıyor.)
- LinkedIn hesabınızda iş unvanı ve/veya kuruluş adını paylaşıyor musunuz? (LinkedIn’in amacı zaten bu değil mi? Bir önceki maddede türetilen sorular bu soru için de geçerli. Kurum ve unvan bilgilerinizi paylaşarak hakkınızda daha başka hangi bilgilere erişilebileceği, sosyal mühendislik ile bu bilgilerin nasıl kullanılabileceği hakkında bilginiz var mı?)
- Sosyal medya hesaplarınızda, aşağıda verilmiş olan örneğe benzer bir sorumluluk reddi beyanı (disclaimer) kullanıyor musunuz? (Örneğin; “Bu hesaptaki paylaşımlarım kişisel olup çalıştığım kurumun görüşlerini, strateji ya da politikalarını temsil etmemektedir” gibi.)
- Kurumunuzun bir «Sosyal Medya Politikası» var mı?
- «Çalışan Gizlilik Sözleşmesi» imzaladınız mı? (Bu sözleşmede kişisel Sosyal Medya kullanımına ilişkin maddeler var mıydı?)
- Kuruluşunuzun Kurumsal Risk Yönetimi kapsamında tuttuğu «Risk Kayıtları» içerisinde Sosyal Medya konusu var mı?
Sosyal medya kullanımı konusu neden önemli?
Peki sosyal medya konusu neden önemli? Bir denetim konusu olarak sosyal medyayı neden seçmeliyiz? Bu sorunun cevabı için çok sayıda ikna edici istatistik ve yaşanmış örnek olay mevcut. Dünya genelinde sosyal medya, e-ticaret, internet ve mobil kullanımla ilgili verileri ve içgörüleri derleyerek yıllık raporlar hazırlayan “We Are Social” tarafından 2021 yılı Ocak ayında yayınlanmış olan “Digital 2021 Global Overview Report” dijital dünya ile ilgili oldukça aydınlatıcı ve ilginç istatistiklere yer veriyor[4]. Bunlardan küçük bir kısmını aşağıda listeledim, daha detaylı bilgi için kaynaklar kısmındaki bağlantı adresinden raporu inceleyebilirsiniz.
- Örneğin; dünya nüfusunun %67’si (5,22 milyar) mobil telefon, %60’ı (4,66 milyar) internet kullanıcısı. Aktif sosyal medya kullanıcı sayısı ise nüfusun yarısını (4,2 milyar — 2020 raporunda bu rakam 3,80 milyar) geçmiş durumda.
- Ortalama bir internet kullanıcısının çevrimiçi olarak harcadığı zaman günde 6 saat 54 dakika. Geçen yıla göre 11 dakikalık bir artış gerçekleşmiş. Aşağıdaki görüntüde geçen yılın raporundan aldığım değerler yer alıyor. Bu da yılın 100 gününü internette geçirdiğimiz anlamına geliyor. Günde ortalama 8 saat uyuduğumuz düşünülürse hayatımızın neredeyse %40’ını internette geçiriyoruz.
- İnternette geçirilen zamanın ülkelere göre dağılımına baktığımızda ise Türkiye’nin günlük ortalama 7 saat 57 dakikalık (2020 raporunda 7 saat 29 dakika) süre ile ortalamanın üzerinde olduğunu görüyoruz. Bu süre Filipinler için 10 saat 56 dakika (geçen yıla göre 1 saatten fazla artış var), Japonya için ise 4 saat 25 dakika (geçen yıl 4 saat 22 dakika).
Hemen hemen bütün ülkelerde internet ve sosyal medyada geçirilen sürelerin artmasının en önemli sebebi kuşkusuz COVID19.
- İnternette geçirilen zamanın yaklaşık %35’ini ise sosyal medyada geçirilen zaman oluşturuyor. Sosyal medyada geçirilen süre ortalama 2 saat 25 dakika. Türkiye için sosyal medyada geçirilen ortalama zaman ise yine dünya ortalamasının üzerinde, 2 saat 57 dakika.
- Müşterileri ile Facebook sayfaları üzerinden iletişim kuran 50 milyondan fazla küçük işletme var. Twitter üzerinden firma/marka şikayetinde bulunan insanların %78’i bir saat içinde cevap bekliyor. Fortune 500 firmalarının % 77’sinin Twitter, %70’inin Facebook, %69’unun Youtube hesabı var (aktif olarak kullandıkları hesapları).
WebSense’in 2005 ve 2006 yıllarında ABD’de yaptığı bir araştırmaya göre çalışanların %60’ı “sanal kaytarma” (cyberloafing) ile çalışma sürelerinin %24’ünü iş dışı faaliyetlerle geçiriyor. Staffmonitoring.com tarafından 2015 yılında yapılan başka bir araştırmaya göre ise çalışanlar iş saatlerindeki internet kullanımlarının %60’ını online alışverişle geçiriyor[5].
İnternette ve sosyal medyada geçirilen zamana sadece işgücü kaybı olarak olumsuz biçimde tek taraflı bakmamak gerekiyor. Örneğin, Vyas P. G. Ve Pandey S. (2020)[6] tarafından yayınlanmış olan “The effect of social networking sites use on employees’ knowledge sharing” başlıklı makalede sosyal medya kullanımının iş tatmini, bilgi paylaşımı ve sosyal profesyonel bağlantıların inşası gibi konulardaki faydalarından bahsediliyor. Bu noktada konu yine BT denetimlerinde en çok vurgulanan konulardan biri olan “kullanıcı farkındalığı”na geliyor. Sosyal medya ve internetin çalışma zamanı içerisinde bilinçli bir biçimde kullanılmasının sağlayabileceği faydaları da gözden kaçırmamak gerekiyor.
Sosyal medya kullanımına ilişkin riskler
Sosyal Medya Kullanımına ilişkin riskler denilince ilk olarak hassas bilgilerin paylaşılması, kurumsal imajı ve itibarı olumsuz biçimde etkileyecek içerik ya da yorum paylaşımı, rekabet dezavantajı (rakipler kadar etkin kullanılamaması sonucunda müşteri kaybı), işgücü kaybı sayılabilir.
Bu risklere karşın çalışanlar, müşteriler ve paydaşlarla gerçek zamanlı iletişim, rekabet avantajı, ücretsiz reklam, trendlerin ve gelecek yönelimlerinin tespiti ve uygun biçimde kullanılması halinde itibar sağlaması gibi fırsatlar söz konusu.
Sosyal medya konulu bir denetim gerçekleştirilirken riskler üç temel sınıfa ayrılabilir: kurumsal sosyal medya hesaplarının kullanımı, çalışanların sosyal medya kullanımları, paydaşların sosyal medya kullanımları. Bu üç ana başlık altındaki riskler ise aşağıdaki biçimde sıralanabilir:
Sosyal medya kullanımının taşıdığı risklere ilişkin çok sayıda örnek bulunmakla birlikte bunlardan yakın zamanlı ve en meşhurlarından biri Elon Musk’ın 1 Mayıs 2020 tarihinde Twitter’da paylaştığı “Tesla stock price is too high” mesajıdır.
Bu tarihten sonra, yazıyı güncellediğim 2021 Haziran ayına kadar Elon Musk benzer biçimde o kadar fazla tweet paylaştı ki hangi birini ekleyeceğime karar veremedim :)
Musk, 2018 yılında da Tesla’yı hisse başına 420 $ teklifle New York borsasından çekme planı hakkındaki tweeti sonrasında 40 milyon $ ceza almış ve şirketin Yönetim Kurulu Başkanlığından istifa etmek zorunda kalmıştı.
Sosyal medyanın gücünü gösteren çarpıcı örneklerden biri ise Kanadalı müzisyen Dave Carroll tarafından United Airlines için yaptığı ve Youtube’a yüklediği şarkıdır. 2008 yılında United Airlines ile gerçekleştirdiği bir seyahatte, 3.500 $ değerindeki gitarının yükleme esnasında kırıldığını gördükten sonra bir türlü firmadan destek alamayan Carroll, hazırladığı şarkıya olayı anlatan bir klip çekerek 2009 yılında Youtube’a yükledi. Oldukça eğlenceli bir klipe sahip olan “United Breaks Guitars” adlı şarkının yüklendiği ilk gün 150 bin olan izleyici sayısı üçüncü günde yarım milyona, bir ay sonra ise 5 milyona ulaştı. Videonun yayınlanmasından sonraki dört hafta içinde United Airlines hisselerinin değeri %10 düşerek hissedarlarına 180 milyon $ kaybettirdi[7].
…
I flew United Airlines on my way to Nebraska
The plane departed, Halifax, connecting in Chicago’s “O’Hare”
While on the ground, a passenger said from the seat behind me
“My God, they’re throwing guitars out there”
…
Sosyal medyanın oltalama (phishing) ya da sosyal mühendislik saldırılarında kullanımı da oldukça sık karşılaşılan bir durum. Cumhurbaşkanlığı ve Merkez Bankası logosu kullanılarak yapılan “kredi kartı iadesi” konulu paylaşımlara Twitter ve LinkedIn’da çok defa rastladım. Bu usulsüz paylaşımlar doğrudan kurumsal sosyal medya kullanımı denetim alanına girmiyor olabilir ancak kullanıcı farkındalığını artırmak ve olası mağduriyetleri gidermek için bu riski de dikkate almakta fayda var.
Gözden geçirilecek konular ve kontroller
Sosyal medya risklerine ilişkin kilit kontrollerin başında kurumsal ilkelerin (policy) belirlenmesi geliyor. Kurumsal ilkeler kuşkusuz her kuruma özgü olarak farklılık göstermekle birlikte temelinde sosyal medya kullanım standartlarının belirlenmesini ve kurumsal yükümlülüğün sınırlandırılmasını kapsamalıdır. Sosyal Medya Politikası ideal olarak aşağıdaki bileşenleri içermelidir:
- Kişisel Sosyal Medya Kullanımı — Çalışan İlkeleri,
- Kurumsal-Resmi Sosyal Medya Kullanım İlkeleri,
- Yorum yapma ilkeleri,
- Mahremiyet ilkeleri,
- Açıklama ve gizlilik ilkeleri,
- Etik ilkeleri,
- Kanallara (Twitter, LinkedIn, Instagram, Youtube vb.) özel ilkeler.
Sosyal medya kullanımına ilişkin kontrollerden bir diğeri eğitim başlığı altında değerlendirilmekte olup hem çalışanların sosyal medya kullanımı konusunda bilinçlendirilmesini hem de kurumsal sosyal medya hesaplarını yöneten kullanıcıların eğitimini içermektedir. Kurumsal sosyal medya hesaplarının yöneticilerinin farkındalığı ve riskler konusunda bilgi sahibi olmaları özellikle önemlidir.
Dikkate alınması gereken diğer kontrol izleme ile ilgili olup sorunların tespiti, telafi ve yükümlülüklerin karşılanması için kayıtların kontrolü ve saklanmasını içermektedir. Sosyal medya hesaplarının takibi ve yönetimi ayrı bir görev olarak tanımlanmalı, yürütülmesi gereken faaliyetler ve raporlama gereksinimleri yazılı hale getirilmelidir.
Kurumsal sosyal medya hesaplarına erişimin kontrol edilmesi ve kötü kullanımın engellenmesine yönelik kontrol de değerlendirilmelidir.
Kurumsal sosyal medya hesaplarına erişim şifreleri kurumsal şifre politikasına uygun biçimde yönetilmelidir. Kurumsal hesapları kimlerin kullandığı kayıt altına alınmalı, birden çok yöneticisi olan hesaplarda mutlaka hangi paylaşımın kim tarafından yapıldığı tespit edilebilmelidir.
Kontrollerin tasarımı ve uygulanması değerlendirilirken yazının ilk kısmında verilmiş olan başlangıç sorularının yanında aşağıdaki soruların yanıtları da değerlendirilmelidir:
- Kurumsal sosyal medya hesaplarını kim(ler) yönetiyor? Sosyal medyadan sorumlu, tercihen üst düzey yönetici olan bir sorumlu belirlenmeli, sorumlular değiştiğinde hesaba erişimin kısıtlanması için gerekli şifre ve konfigürasyon değişiklikleri yapılmalıdır. Doğrudan paylaşımları yönetmese bile, bu sorumlu için paylaşımların kontrolü, kriz anında açıklama ve bilgi sağlama, cevap gerektiren konularda karar verme gibi görevleri içeren yazılı bir görev tanımı hazırlanmalıdır. Kurumsal sosyal medya hesaplarının yönetilmesi ve bu hesaplara erişim izninin verilmesi için yetkilendirmeyi kimin yapacağı bir prosedür olarak tanımlanmalıdır.
- Kurumsal hesap ve üst yönetici hesapları arasında senkronizasyon ve uyum var mı? Kurumsal hesaplardan yapılan paylaşımlar ile kurum üst yöneticisi tarafından yapılan paylaşımlar arasında çelişki olmamalı, kurumsal olarak açıklanması daha uygun olan konular üst yöneticinin kişisel hesabından doğrudan paylaşmak yerine kurumsal hesaba yönlendirme yapılarak gerçekleştirilmelidir.
- Kurumsal hesaplarımızla kimleri takip ediyoruz? Kurumsal hesaplar genellikle kuruma özgü faaliyet ve bilgilerin kamuoyuna paylaşımı amacını taşımaktadır. Kurumsal sosyal medya kullanımının amacı ve hedeflerinin ne olduğu net olarak belirlendikten sonra bu hesapla kimlerin takip edileceği de üzerinde düşünülmesi gereken bir konudur. Kurum hesabını yöneten kişinin kişisel tercihleri takip edilecek hesapların seçiminde baskın olmamalıdır. Takip edilen hesaplardan yapılan paylaşımlar üzerindeki beğeni ve yeniden paylaşım (retweet) işlemleri dikkatli biçimde gerçekleştirilmeli, doğruluğundan emin olunmayan, kurumsal yapıya uygun olmayan konular üzerinde beğeni ya da yeniden paylaşımla etkileşim sağlanmamalıdır.
- Yasal problem doğurabilecek takipçi yorumlarına karşı neler yapılacağı tasarlanmış mı? Bu durumda yapılması gerekenler biliniyor mu? Paylaşımlara yapılan yorumlar içerisinde suç unsuru taşıyan, kurumsal itibarı zedeleyici, reaksiyon gösterilmemesi halinde olumsuz algı doğurabilecek konular olması halinde hızlı bir biçimde reaksiyon vermek gerekebilir. Bu konularla ilgili yasal düzenlemeler ve özellikle bilişim hukuku alanında bilgi ve deneyim sahibi bir birim ya da hizmet sağlayıcıdan destek alınmalı, kurumsal hesaplardan bu tip paylaşımlara karşı ani ve üzerinde düşünülmemiş reaksiyon vermekten kaçınılmalıdır.
- Paylaşım yapılmadan önce filtreden ve kontrolden geçiriliyor mu? Kurumsal politikalar belirlenirken paylaşım yapılacak konular prensip olarak belirlenebilir ancak bazı konuları önceden öngörmek mümkün değildir. Bu nedenle, sosyal medya hesaplarından paylaşım yapılmadan önce bir inceleme ve filtreden geçirme mekanizmasının bulunması önleyici bir kontrol olarak sağlanmalıdır.
- Sahte kurumsal hesaplar var mı? Takip ediliyor mu? Yukarıdaki bazı görsellerde yer aldığı gibi (Cumhurbaşkanlığı, Merkez Bankası, İş Bankası) kurum adını kullanıcının ilk bakışta ayırt edemeyeceği biçimde yazarak kurum logosunu kullanan hesaplar açılabilir. Bu hesaplarla ilgili olarak kurumun doğrudan sorumluluğu bulunmayabilir ancak kurum itibarını zedeleyici paylaşımları tespit ederek gerekmesi halinde zamanında hukuki girişimlerde bulunmak için bu tip hesapların bulunup bulunmadığı kontrol edilmelidir.
- Paylaşımlarda gizlilik ilkelerine uygun hareket ediliyor mu? Kısmen beşinci maddede belirtilmiş olan paylaşım öncesi filtre ve kontrolle ilgili olmakla birlikte, bu kontrolün sağlanması için veri envanterinin hazırlanması, bilgilerin gizlilik derecelerine göre sınıflandırılması ve paylaşımlarda bu sınıflandırmaların gözetilmesi gerekir.
- Sosyal medya kullanım analizleri yapılıyor mu? Sosyal medya kullanımının kuruma kattığı değer ve getirdiği riskler analiz ediliyor mu? Hangi paylaşımın ne kadar etkileşim aldığı, paylaşımların kurum faaliyetlerinin tanıtımına, kurumun bilinirliğine ve itibarına olumlu/olumsuz etkileri değerlendirilerek sosyal medyanın kullanım stratejisi gözden geçirilmelidir.
Daha önceden açılmış ancak kullanılmayan hesaplar (unattended social media accounts) gözden kaçırılmamalıdır. Kullanılmayan hesaplar bilgisayar korsanları tarafından kolaylıkla tespit edilip ele geçirilerek kullanılabilir. Kurumsal hesaplar kontrol edilerek daha önceden alınmış olan ve kullanılmayan bu tip hesaplar varsa şifre güvenliği sağlanmalı, periyodik olarak şifre değişikliği yapılarak bu hesaplar izlenmelidir. Ayrıca, bir bilgi mesajı ile hesap aktif olarak kullanılan asıl hesaba yönlendirilebilir.
Üçüncü taraf hizmet sağlayıcılardan hizmet alınması halinde bu hizmet sağlayıcı da denetim kapsamına alınmalıdır. Hizmet sağlayıcı ile yapılan sözleşme, hizmet koşulları, denetim hakkı gibi konular değerlendirilmelidir.
Sonuç olarak, sanıyorum ki hem bireysel hem de kurumsal olarak yoğun biçimde kullanılan sosyal medya birçok iç denetim biriminin denetim evreninde yer alıyordur. Kısaca özetlemek amacıyla başlayıp tasarladığımdan hayli uzun olan bu yazıda özel sektör kuruluşlarının sosyal medya kullanımlarına ilişkin bazı önemli konular yer almıyor. Eksik olduğunu düşündüğünüz konuları yorum kısmında dile getirebilirsiniz.
Kaynaklar:________________________________________
[1] https://www.theatlantic.com/magazine/archive/1945/07/as-we-may-think/303881 (Erişim tarihi: 31.08.2020)
[2] https://www.internetlivestats.com (Erişim tarihi: 06.06.2021)
[3] https://www.researchgate.net/publication/222403703_Users_of_the_World_Unite_The_Challenges_and_Opportunities_of_Social_Media (Erişim tarihi: 31.08.2020)
[4] https://datareportal.com/reports/digital-2021-global-overview-report (Erişim tarihi: 06.06.2021)
[5] https://www.researchgate.net/publication/330861702_Workplace_internet_leisure_and_employees'_productivity_The_mediating_role_of_employee_satisfaction (Erişim tarihi: 31.08.2020)
[6] https://www.emerald.com/insight/content/doi/10.1108/EJTD-02-2020-0027/full/pdf?title=the-effect-of-social-networking-sites-use-on-employees-knowledge-sharing (Erişim tarihi: 13.09.2020)
[7] https://en.wikipedia.org/wiki/United_Breaks_Guitars (Erişim tarihi: 13.09.2020)
