PDKS Verisinde Anomali Tespiti: Olağan Dışı Örüntüleri Yakalamak
PDKS kayıtlarında anomali tespiti nasıl çalışır? Olağan dışı giriş-çıkış örüntüleri, buddy punching ve istatistiksel sapma analizi rehberi.
Bir PDKS veri tabanında her gün binlerce hareket kaydı birikir ve bu kayıtların ezici çoğunluğu sıradandır: insanlar gelir, çalışır, gider. Asıl ilginç olan, sıradanlıktan sapan küçük azınlıktır — gece 02.40'ta okunan bir yönetici kartı, iki dakika arayla iki ayrı binada görünen aynı personel, üç aydır her gün saniyesi saniyesine aynı saatte yapılan çıkış. Anomali tespiti, bu sapmaları insan gözüne ihtiyaç duymadan, sistematik olarak bulma disiplinidir.
Konu çoğu zaman "suistimal yakalama" olarak çerçevelenir; bu eksik bir bakıştır. Pratikte anomalilerin önemli bölümü arızalı cihaz, hatalı tanım veya süreç boşluğu gibi masum ama maliyetli sorunlara işaret eder.
Anomali Türleri: Neyi Arıyoruz?
PDKS verisinde anomaliler kabaca dört kategoriye ayrılır:
| Kategori | Örnek | Tipik kök neden |
|---|---|---|
| Zamansal | Mesai dışı saatlerde giriş, gece yarısı hareketleri | Yetki ihlali, unutulan görevlendirme, vardiya kaydı hatası |
| Mekânsal | Kısa sürede iki uzak lokasyonda okutma | Kart paylaşımı, kopyalanmış kart, saat senkronizasyon hatası |
| Davranışsal | Düzenin aniden bozulması, aşırı düzenlilik | Kişisel değişim, otomatikleştirilmiş sahte kayıt |
| Toplu | Bir terminalde kayıtların azalması, bir ekipte eşzamanlı sapma | Cihaz arızası, süreç değişikliği, organize suistimal |
"Aşırı düzenlilik" maddesi şaşırtıcı gelebilir: İnsan davranışı doğal bir değişkenlik taşır. Haftalarca saniyesi saniyesine aynı saate denk gelen kayıtlar, çoğu zaman bir otomasyonun izidir.
Yöntem: Kuraldan İstatistiğe, İstatistikten Öğrenmeye
Anomali tespiti tek bir algoritma değil, katmanlı bir yaklaşımdır:
- Sert kurallar: Fiziksel olarak imkânsız durumlar (aynı kartın 5 dakika içinde 40 km uzaklıktaki iki terminalde okunması) doğrudan işaretlenir. Burada yapay zekaya gerek yoktur.
- İstatistiksel sapma: Her personel ve terminal için normal davranış dağılımı çıkarılır; dağılımın uç bölgesine düşen kayıtlar puanlanır.
- Öğrenen modeller: Isolation forest ve otoenkoder gibi gözetimsiz yöntemler, tek tek kuralla tarif edilemeyen çok boyutlu sapmaları yakalar. Saat, lokasyon, cihaz, gün ve hareket dizilimi birlikte değerlendirilir; çünkü her boyut tek başına normal görünebilirken kombinasyon tutarsız olabilir.
- Geri bildirim döngüsü: İnceleme sonucu verilen "gerçek sorun" veya "masum açıklama" etiketleri modele geri beslenir; yanlış pozitif oranı zamanla düşer.
Bu mimari, puantaj denetimindeki yaklaşımın genelleştirilmiş halidir: Orada hedef eksik ve hatalı kayıtlardı; burada hedef, kayıt teknik olarak geçerli görünse bile bağlamın tutarsız olmasıdır.
Örnek Vaka: 400 Kişilik Bir Hastane Kampüsü
Üç bina, 400 personel ve 7/24 işleyen bir özel hastane kampüsü düşünelim. Anomali tespiti devreye alındıktan sonraki ilk iki ayda sistemin işaretlediği başlıca bulgular şunlardı:
- Cihaz arızası: B blok personel girişindeki terminal, nem nedeniyle kayıtların yaklaşık yüzde 8'ini yazmıyordu. Aylardır personel unutkanlığı sanılan açık günlerin gerçek nedeni buydu.
- Kart paylaşımı (buddy punching): Gece vardiyasında iki personelin kartları, sahiplerinin izinli olduğu günlerde de düzenli okunuyordu. İnceleme, vardiya arkadaşlarının karşılıklı kart okuttuğunu ortaya çıkardı.
- Yetki sapması: Bir tedarikçi firmaya verilen geçici kartlar, sözleşme bitiminden sonra da kullanılmaya devam ediyordu. Suistimal değil, kart iptal sürecindeki bir boşluktu.
Üç bulgunun yalnızca biri kasıtlı suistimaldi; diğer ikisi süreç ve donanım sorunuydu. Dağılım sahada genellikle böyledir ve bu yüzden anomali uyarılarını suçlama değil inceleme talebi olarak çerçevelemek kritik önem taşır.
Yanlış pozitiflerle yaşamayı öğrenin
Tüm sapmaları yakalayıp hiç yanlış alarm üretmeyen bir ayar yoktur; duyarlılığı artırmak her zaman daha fazla yanlış pozitif demektir. Pratik hedef, günlük uyarı sayısını inceleme kapasitenizle eşleştirmek ve eşiği buna göre kalibre etmektir. İncelenmeyen uyarı, hiç üretilmemiş uyarıdan daha zararlıdır; çünkü sisteme duyulan güveni aşındırır.
Anomali Skorundan İnceleme Sürecine
Tespit, işin yarısıdır; diğer yarısı, bulgunun adil ve verimli biçimde ele alınmasıdır. Olgun bir süreçte akış şöyle işler:
- Önceliklendirme: Her anomaliye bir skor ve kategori atanır; inceleme listesi skora göre sıralanır.
- Bağlam paketi: Uyarının yanında kişinin son 30 günlük özeti, ilgili terminalin durumu ve benzer geçmiş vakalar sunulur. İncelemeyi yapan kişi ham veriyle baş başa bırakılmaz.
- İki aşamalı değerlendirme: İlk bakışı İK veya güvenlik operasyonu yapar; yalnızca doğrulanan vakalar yöneticiye taşınır. Bu filtre, çalışanların gereksiz yere sorgulanmasını önler.
- Kayıt ve etiketleme: Her vakanın sonucu sisteme işlenir. Bu hem modelin öğrenme girdisi hem de olası bir hukuki süreçte delil bütünlüğü açısından önemlidir.
Bildirimlerin kime, hangi formatta gideceğinin tasarımı başlı başına bir konudur; bunu akıllı yönetici uyarıları yazısında ayrıntılı ele alıyoruz.
Mobil ve Uzaktan Çalışmada Anomaliler
Turnike ve terminal dünyasındaki anomali mantığı, mobil PDKS kullanımında yeni boyutlar kazanır: GPS konumunun manipülasyonu, aynı hesabın birden çok cihazda kullanılması, jailbreak veya root edilmiş cihazlardan gelen kayıtlar. Saha ekipleri için mobil PDKS kullanan işletmelerde anomali tespiti, cihaz bütünlüğü sinyalleriyle birlikte çalışmak zorundadır. Bu özel alanı sahte konum ve olağan dışı giriş kontrolü yazısında derinlemesine inceliyoruz.
Piyasadaki modern platformlar bu sinyalleri tek akışta birleştirmeye yöneliyor; örneğin AirX'in iş zekası modülü, giriş-çıkış kayıtlarını lokasyon ve cihaz verisiyle aynı raporlama katmanında ele alan yaklaşıma bir örnek.
KVKK ve Etik Çerçeve
Anomali tespiti, doğası gereği çalışan davranışını yakından izler; bu nedenle hukuki ve etik sınırlar baştan çizilmelidir:
- Amaçla sınırlılık: Sistem, iş ilişkisinin yürütülmesi ve güvenlik amaçlarıyla sınırlı kalmalı; analiz amacı aydınlatma metninde açıkça yer almalıdır.
- Orantılılık: İzlenen sinyaller hedefle orantılı olmalıdır. Giriş-çıkış saati analizi ile sürekli konum takibi aynı şey değildir.
- İnsan onayı: Hiçbir yaptırım, yalnızca algoritmik skora dayanarak uygulanmamalıdır; her vakada insan değerlendirmesi şarttır.
- Saklama süreleri: Anomali kayıtlarının ne kadar süre tutulacağı veri saklama politikasında tanımlanmalıdır.
Başlarken
Anomali tespitine geçiş için gerçekçi bir sıralama şöyledir: Önce sert kuralları (imkânsız hareketler, mesai dışı erişim listeleri) devreye alın; bunlar tek başına bulguların önemli kısmını üretir. Ardından 3-6 aylık temiz veriyle istatistiksel temel çizgileri oluşturun ve öğrenen modelleri pilot kapsamda açın. Her aşamada uyarı hacmini inceleme kapasitenizle dengeleyin.
Anomali tespiti, PDKS verisini pasif bir kayıt defterinden aktif bir erken uyarı sistemine dönüştürür. Doğru çerçeveyle kurulduğunda hem işletmeyi suistimale karşı korur hem de — belki daha sık — kimsenin fark etmediği arızaları ve süreç boşluklarını gün yüzüne çıkarır.