Kurumsal AI kullanım panellerinin neredeyse tamamında bir "mesai dışı kullanım" grafiği vardır. Grafik hoş görünür, yöneticiye sunumu kolaydır ve genellikle yanlış okunur. Gece 03.00'te açılmış bir oturum, tek başına bir güvenlik bulgusu değildir. Bir sorudur.
Bu yazı, o sorunun hangi cevapları olabileceğini ve zaman damgasını neyle birleştirirseniz gerçekten sinyal elde edeceğinizi ele alıyor.
Zaman damgası neden zayıf bir sinyaldir
Bir sinyalin değeri, ayırt ediciliğiyle ölçülür: gözlem, iyi huylu ve kötü huylu senaryolarda farklı olasılıklara sahip olmalıdır. Mesai dışı kullanım bu testi geçemez, çünkü iyi huylu açıklamaların sayısı fazla ve hepsi yaygındır.
| Gözlem | Muhtemel açıklamalar | Ayırt edici ek sinyal |
|---|---|---|
| Gece yarısı yoğun oturum | Farklı saat dilimi, gece vardiyası, teslim baskısı | Kullanıcının geçmiş çalışma profili |
| Tek hesap, 7/24 sürekli aktivite | Servis hesabı, otomasyon, paylaşımlı koltuk | Eşzamanlı oturum ve cihaz sayısı |
| Hafta sonu kısa ama sık oturumlar | Nöbet, olay müdahalesi | Aynı saatlerde açılmış olay kayıtları |
| Resmî tatilde tek seferlik kullanım | Yurt dışı çalışan, danışman | İstihdam türü ve konum verisi |
| Mesai dışı yüksek hacimli veri girişi | Toplu iş, veri taşıma, yığın işleme | İstem içeriğinin deterministik taraması |
Tablodaki her satırın ilk sütunu aynı alarmı üretir. Ayrım, ikinci ve üçüncü sütunda oluşur. Yalnız zaman damgasına bakan bir kural, doğru pozitiflerin yanına çok sayıda yanlış pozitif getirir — ve yanlış pozitif oranı yükseldikçe alarmın kendisi değersizleşir. Güvenlik ekipleri gürültülü alarmları kapatmaz, daha kötüsünü yapar: bakmayı bırakır.
Kötü niyetli kullanım nadir, mesai dışı çalışma yaygındır. Nadir bir olayı yaygın bir gözlemle aramak, sonuçların ezici çoğunluğunun masum olmasına yol açar. Bu istatistiksel bir kusur değil, kuralın yanlış kurulmuş olmasının sonucudur.
Zaman damgasının gerçekten iyi olduğu iki iş
Zayıf bir güvenlik sinyali olması, işe yaramaz olduğu anlamına gelmiyor. İki alanda gerçekten güçlü.
Paylaşımlı hesap tespiti
Bir insanın çalışma günü fiziksel sınırlara sahiptir. Bir hesabın aktivitesi gün içinde kesintisiz yayılıyorsa, birden fazla insanın ya da bir otomasyonun arkasında olduğu makul bir çıkarımdır. Eşzamanlı oturum, farklı cihaz parmak izi ve birbiriyle bağdaşmayan coğrafi konum bilgisiyle birleştiğinde çıkarım güçlenir. Bu, koltuk denetiminin en somut çıktılarından biri; ayrıntısını Paylaşımlı hesap sorunu yazısında ele aldık.
Otomasyon ve servis hesabı ayrıştırma
İnsan kullanımı düzensizdir: duraklamalar, düzeltmeler, değişken oturum uzunlukları. Otomasyon düzenlidir: sabit aralık, sabit istem şablonu, dar varyans. Zaman dağılımının kendisi, bir koltuğun aslında bir servis hesabı olduğunu ortaya çıkarır. Bunun maliyet tarafında da doğrudan karşılığı var — insana atanmış görünen bir lisans aslında bir cron işine hizmet ediyordur.
Mesai dışı verisini "şüpheli davranış" arayışında değil, "bu koltuğun arkasında kim ya da ne var" sorusunda kullanın. İkinci soruda zaman damgası birinci sınıf kanıttır.
Alarmı neyle birleştirmeli
Zaman tek başına yetmiyorsa, ona ne eklemeli? Kullanışlı olanlar, insan davranışından bağımsız biçimde doğrulanabilen sinyaller.
İçerik taraması. İstemde kimlik bilgisi geçip geçmediği, saatten bağımsız ve kesin bir gerçektir. Gece 03.00'te gönderilmiş zararsız bir istem risk değildir; öğlen 14.00'te gönderilmiş bir üretim anahtarı risktir. Bu taramanın neden bir modele değil deterministik kurallara bırakılması gerektiğini kendi ölçümümüzle Çalışanlar yapay zekaya ne yapıştırıyor? yazısında gösterdik: regex 7 kimlik bilgisi bulurken LLM sınıflandırıcı bunların yalnızca 4'ünü hassas olarak işaretledi.
Hacim ve yön. Oturum başına gönderilen içerik miktarındaki ani sıçrama, saatten daha ayırt edicidir. Özellikle giden içeriğin (isteme yapıştırılanın) gelen içerikten orantısız büyümesi anlamlıdır.
Kaynak çeşitliliği. Yeni araç, yeni entegrasyon, yeni bağlayıcı. Bu değişimler onaylı envanterle karşılaştırılabilir.
Kimlik bağlamı. Hesabın istihdam durumu hâlâ geçerli mi? Çıkış süreci başlamış bir kullanıcının mesai dışı aktivitesi, aynı aktivitenin tam zamanlı bir çalışandaki halinden farklı ağırlık taşır.
Bu dördü, mesai dışı gözlemine bağlamı geri kazandırır. Tek başına zaman "kim, ne zaman" der; birleşimi "kim, neyi, nereye" der.
Ölçmenin sınırı
Teknik tarafın ötesinde bir sınır daha var. Çalışanların ne zaman ve ne sıklıkla çalıştığını ölçmek, kolayca performans gözetimine dönüşen bir veri türüdür. Güvenlik amacıyla toplanan bir zaman serisinin yönetim raporuna dönüşmesi, hem hukuki hem kültürel maliyet üretir. Amaç sınırlaması, saklama süresi ve erişim kısıtı bu yüzden teknik konfigürasyonun parçası olmalı; çerçevesi için KVKK ve çalışan AI denetimi yazısına bakın.
Kültürel maliyet ayrıca ölçülemez bir yan etki üretir: gözetlendiğini düşünen çalışan, kurumsal aracı bırakıp kişisel hesabına geçer. O noktadan sonra ne zamanı görebilirsiniz ne içeriği. Gölge AI'ın en yaygın oluşma biçimlerinden biri budur; farkını Gölge AI nedir, farkı ne yazısında ayırdık.
Mesai dışı kullanımı tek başına bir güvenlik bulgusu sayan bir kurum, teslim gecesi çalışan mühendisini soruşturur ve sonuç çıkmayınca kuralı kapatır. Geriye ne kural kalır ne güven. Alarmın eşiği değil, tanımı yanlıştır.
Özet
Mesai dışı kullanım verisi, kimlik ve içerik sinyalleriyle birleştiğinde değerli, tek başına kullanıldığında yanıltıcıdır. Panelde bırakın; ama alarm kuralını içerik taramasının üzerine kurun. Saat kaç olduğu değil, ne gönderildiği önemli.