Kontrol Dışı Çalışan Sistemler: Teknolojide Veri Güvenliği Krizi

Bir sistemin nerede başlayıp nerede biteceğini kimse tam olarak bilemiyorsa, o sistem güvenli sayılamaz. Kontrol dışı çalışan otomasyon altyapılarının başka veri havuzlarına sızması, yalnız bir teknik arıza haberi değil; yönetim anlayışındaki derin bir boşluğun da itirafı. Üstelik bu boşluk, yalnız büyük teknoloji şirketlerinin sorunu değil. Dijital dönüşüm sürecine hız veren her ekonominin, kısa vadede görmezden geldiği yapısal bir risk birikimi söz konusu.

Yetki Sınırları Neden Bu Kadar Kolay Aşılıyor?

Otonom çalışan sistemlerin temel tasarım mantığı, belirli görevleri yerine getirirken insan müdahalesine ihtiyaç duymamak üzerine kurulu. Bu, operasyonel verimlilik açısından cazip. Ancak aynı mantık, sistemin hangi veriyi alacağına, hangisini işleyeceğine ve nereye yazacağına dair sınırların gevşek tanımlanmasına da zemin hazırlıyor.

Teknik açıdan bakıldığında, veri sızıntısının en yaygın mekanizmaları birkaç başlık altında toplanabilir. Birincisi, yetkilendirme hatası: sistem, erişmemesi gereken veri katmanlarına tanımlanmış izinler çerçevesinde erişiyor. İkincisi, bağlam kayması: sistem, asıl göreviyle bağlantılı bilgiyi ararken ilgisiz veri kümelerine temas ediyor. Üçüncüsü ise günlük kaydı yokluğu: sistem neye dokunduğunu, neyi okuduğunu ya da yazdığını izlenebilir biçimde kayıt altına almıyor.

Bu üç durum bir arada gerçekleştiğinde, sızıntı çoğu zaman fark edilmeden büyüyor. Güvenlik ekipleri sonuç ortaya çıktıktan sonra müdahale ediyor; bu da hasarı sınırlı tutmaktan ziyade hasarı tespit etmek anlamına geliyor.

Asıl mesele şu: söz konusu sistemler "çıldırmıyor"tersine tam da programlandıkları gibi davranıyorlar. Sorun, programlamanın başından beri yanlış kapsama oturması.

Türkiye'deki Tablo: Hız ile Altyapı Arasındaki Makas

Türkiye, son yıllarda dijital dönüşüm gündemini hızla ilerletti. Kamu hizmetlerinin dijitalleşmesi, e-ticaret altyapısının büyümesi, bankacılıktan sağlığa uzanan sektörlerde otomasyon kullanımının yaygınlaşması, bunların tümü veri üretim hızını ciddi ölçüde artırdı. Ancak bu hızın hemen yanı sıra bir soruyu da beraberinde getirdi: bu veriler gerçekten korunuyor mu?

Türkiye'de kişisel verilerin korunmasına ilişkin yasal çerçeve 2016 yılında yürürlüğe giren Kişisel Verilerin Korunması Kanunu ile şekillendi. Kanun, veri sorumlusu kavramını tanımladı, işleme koşullarını belirledi ve ihlal bildirimi yükümlülüğü getirdi. Ne var ki yasal düzenlemenin varlığı ile uygulamanın etkinliği arasında ciddi bir fark var.

Özellikle küçük ve orta ölçekli işletmelerin veri güvenliği altyapısına yeterli kaynak ayırmadığı, denetim mekanizmalarının sektörel dağılımda tutarsız işlediği ve ihlal bildirim süreçlerinin pratikte sık sık atlandığı biliniyor. Kamu kurumlarında ise altyapı standartlarının kurum bazında önemli farklılıklar gösterdiği dikkat çekiyor. Bir kurumun güvenlik protokolü titizlikle uygulanırken, bir diğerinde temel erişim denetimleri bile yetersiz kalabiliyor.

Üstelik yasal çerçeve, otonom çalışan sistemlerin özgül risklerini yeterince kapsayacak biçimde güncellenmemiş durumda. Bir sistemin kendi başına başka veri kümelerine sızması durumunda sorumluluk kimin, hangi mekanizmayla tespit edilecek, hangi süreçte kamuoyuyla paylaşılacak? Bu sorulara net yanıtlar veren bir alt düzenleme henüz yok.

Teknik Sorun mu, Yönetişim Sorunu mu?

Burada bir ayrıma dikkat çekmek gerekiyor. Teknoloji şirketleri ve kurumlar, güvenlik açıklarını çoğunlukla teknik bir mesele olarak çerçeveliyor. Yamalar yazılıyor, güncellemeler yayınlanıyor, açıklama metinleri "sistemin iyileştirildiğini" vurguluyor. Bu yaklaşım, sorunu mühendislik katmanında tutmaya yarıyor ve asıl soruyu görünmez kılıyor.

Asıl soru şu: bu sistemler kim tarafından, hangi yetki çerçevesinde devreye alındı? Çalışma sınırları nasıl tanımlandı? Olası sapmaları izlemekle kim görevlendirildi? Bir ihlal yaşandığında hesap verecek olan kim?

Kontrol dışı çalışan bir sistemin veri sızıntısına yol açması, yalnızca kötü yazılmış bir kodun ürünü değil. Aynı zamanda o sistemin hangi gözetim mekanizmaları altında çalıştığına dair kurumsal bir kararın, ya da karar yokluğunun, yansıması. Bu nedenle siber güvenlik tartışması salt teknik düzlemde kalmaya devam ettiği sürece, sorun tekrar tekrar üretilmeye devam edecek.

Yönetişim açığı derken şundan söz ediyorum: sistemleri devreye alan kurumların çoğu, bu sistemlerin günlük işleyişini takip edecek iç yapıları oluşturmadan ilerliyor. Teknolojiyi satın almak ya da geliştirmek, o teknolojiyi yönetmekle eş değil. İkincisi için insan kaynağı, süreç tasarımı ve hesap verebilirlik şemaları gerekiyor; bunlar çoğu zaman bütçeye dahil edilmiyor, zaman çizelgesine girmiyor.

Orta Vadede Ödenecek Bedel

Veri güvenliğini ciddiye almayan bir dijital ekonominin ödeyeceği bedel, anlık kayıpların çok ötesine geçiyor.

Birincisi, güven erozyonu. Vatandaşların ya da kullanıcıların, kurumların veri güvenliğini sağlayamadığına dair algısı bir kez yerleştiğinde, bunu geri kazanmak için yıllar gerekiyor. E-devlet hizmetlerine katılımdan dijital finansal araçlara kadar pek çok alanda kullanıcı davranışı doğrudan etkileniyor.

İkincisi, regülasyon maliyeti. Veri sızıntılarının yarattığı baskı kaçınılmaz olarak daha sert düzenlemeleri gündeme getiriyor. Avrupa'da Genel Veri Koruma Yönetmeliği'nin (GDPR) uygulamaya girmesi sürecinde şirketlerin katlandığı uyum maliyetleri bunu açıkça ortaya koydu. Önlem alınmadan beklenen bir ekonomi, sonunda daha maliyetli ve daha hızlı bir uyum sürecine zorlanıyor.

Üçüncüsü, rekabet dezavantajı. Uluslararası veri akışları ve ortaklıklar, giderek artan ölçüde güvenlik standartlarına bağlı hale geliyor. Güvenilir veri altyapısı kuramayan ekonomiler, küresel dijital değer zincirinin daha kırılgan halkası konumuna düşüyor.

Ne Yapılmalı?

Teknik önlemlerin listesi aslında iyi biliniyor: en az ayrıcalık ilkesi (bir sistemin yalnızca ihtiyaç duyduğu veriye erişmesi), kapsamlı günlük kaydı ve denetim izleri, düzenli sızma testleri, veri sınıflandırma protokolleri. Bunları uygulamak mümkün, kaynaklara ve kararlılığa bağlı.

Asıl eksiklik, bunların ötesinde. Kurumsal düzeyde şu soruların yanıtlanması gerekiyor: Otonom çalışan sistemlerin devreye alınmasında onay süreçleri nasıl işliyor? Çalışma sınırlarını kim belirliyor, kim denetliyor? İhlal durumunda bildirim yükümlülüğü net mi, uygulanan mı?

Yasal çerçeve açısından ise mevcut düzenlemelerin otonom sistemlere özgü senaryoları kapsayacak biçimde güncellenmesi kaçınılmaz görünüyor. Sorumluluk zincirinin net tanımlanmadığı durumlarda ihlaller kayıt dışı kalıyor, kamuoyu bilgilendirilmiyor ve aynı açıklar tekrar kullanılıyor.

Son olarak sektör genelinde şeffaflık normu yerleşmeli. İhlalleri gizlemek kısa vadede kurumsal itibarı koruyormuş gibi görünse de uzun vadede sektörün bütününe zarar veriyor. Çünkü kamuoyuna ulaşmayan bir ihlal, öğrenilemeyen bir ders demek.

Kontrol dışı çalışan sistemlerin veri sızıntısına yol açması bir başlangıç noktası. Asıl mesele, bu başlangıç noktasının neye dönüştüğü: geçici bir panik mi, yoksa köklü bir yeniden yapılanmanın tetikleyicisi mi. Bunu belirleyecek olan teknoloji değil, teknolojiye nasıl yaklaştığımız.