DİJİTAL İZ VE DİJİTAL ÇAĞDA BİLGİ GÜVENLİĞİ
Tuğgeneral (E) Murat KAYA
GFI Başkan Yardımcısı
Dijital Çağda Bilgi Güvenliği ve İstihbarat Karşı Koyma
Dijitalleşmenin toplumsal, ekonomik ve yönetsel süreçlerin tamamına nüfuz etmesi, bireylerin ve kurumların ürettiği verilerin niteliğini ve güvenlik açısından taşıdığı anlamı önemli ölçüde değiştirmiştir. Günümüzde kişisel veya kurumsal nitelikteki veriler yalnızca üretildikleri bağlam içerisinde değerlendirilmemekte, farklı kaynaklardan elde edilen veri kümeleriyle ilişkilendirilerek yeniden analiz edilebilmekte ve başlangıçta öngörülmeyen amaçlar doğrultusunda kullanılabilmektedir.
Yakın dönemde yaşanan çeşitli veri ihlalleri ve bilgi sızıntıları, bireysel ölçekte üretilen dijital izlerin bir araya getirildiğinde istihbarat değeri kazanabileceğini göstermiştir. Başlangıçta özel iletişim kapsamında değerlendirilen bir mesajın, yıllar sonra farklı bir siyasal, kurumsal veya toplumsal bağlam içerisinde yeniden gündeme gelmesi, bilginin değerinin yalnızca üretildiği andaki niteliğiyle belirlenmediğini ortaya koymaktadır.
Günlük yaşam içerisinde gerçekleştirilen çok sayıda işlem, bireyler hakkında farklı nitelikte veri üretmektedir. Bankacılık işlemleri, sigorta hizmetleri, elektronik ticaret faaliyetleri, kamu hizmetlerine ilişkin abonelikler ve benzeri prosedürler; kimlik, adres, tüketim alışkanlıkları, ekonomik davranış ve tercih bilgileri gibi çeşitli veri unsurlarının oluşmasına neden olmaktadır.
Bu verilerin önemli bir bölümü tek başına değerlendirildiğinde düşük düzeyde istihbarat değerine sahiptir. Ancak farklı kaynaklardan elde edilen verilerin korelasyonu, bu düşük düzeyli veri noktalarının bir araya getirilerek anlamlı profiller oluşturmasına imkân tanımaktadır.
Örneğin bir kamu yöneticisinin yıllar önce gerçekleştirdiği bir toplantıya ilişkin fotoğraf, ilk bakışta herhangi bir güvenlik riski barındırmayabilir. Fotoğraftaki kişiler, paylaşım tarihi, mekân bilgisi, kullanıcı etiketleri ve eş zamanlı olarak yayımlanan diğer içerikler bir arada değerlendirildiğinde ise söz konusu kişi hakkında önemli çıkarımlar yapılabilmektedir.
Bu verilerin farklı kaynaklarla eşleştirilmesi ve birleştirilmesi durumunda ise, bireyin yaşam biçimi, sosyal çevresi, profesyonel ilişkileri, hareket örüntüleri ve belirli konulardaki tutumları hakkında daha kapsamlı çıkarımlar yapılmasına olanak sağlanabilmektedir.
Teknik düzeyde bu risk yalnızca görünen içerikle sınırlı değildir; paylaşılan dijital materyallerin arka planındaki verileri, cihaz kimlikleri ve hassas GPS koordinatları, açık kaynak istihbaratı analistlerinin ilk incelediği alanlar arasında yer alır.
Bu durum, istihbarata karşı koyma açısından önemli bir paradigma değişimine işaret etmektedir. Geleneksel yaklaşımda temel tehdit, hassas bilginin yetkisiz biçimde ele geçirilmesi olarak değerlendirilirken, dijital ortamda dağınık ve görünüşte önemsiz verilerin yeniden birleştirilerek anlamlandırılması da önemli bir güvenlik problemi hâline gelmiştir.
Dolayısıyla herhangi bir veri unsurunun güvenlik açısından taşıdığı değer, yalnızca üretildiği anda sahip olduğu anlam üzerinden değerlendirilmemelidir. Aynı veri, bireyin ilerleyen dönemde üstlendiği görev, meydana gelen bir kriz veya değişen siyasal ve kurumsal koşullar nedeniyle farklı bir stratejik anlam kazanabilir.
Diğer taraftan dijital iletişim ortamlarının yaygınlaşması, bireyler hakkında bilgi edinmek için doğrudan fiziksel temas veya uzun süreli gözlem ihtiyacını önemli ölçüde azaltmıştır. Sosyal medya platformlarında paylaşılan içerikler çoğu kez bireylerin ilgi alanları, yaşam biçimleri, ekonomik davranışları ve belirli konulara ilişkin eğilimleri hakkında çeşitli göstergeler sağlayabilmektedir.
Açık kaynaklardan elde edilen verilerin sistematik biçimde toplanması ve analiz edilmesi, açık kaynak istihbaratının kapsamını da genişletmektedir. Sosyal medya içerikleri, haber kaynakları, görsel materyaller, açık veri tabanları ve dijital platformlarda yer alan diğer bilgiler bir arada değerlendirildiğinde, belirli bir kişi veya kurum hakkında kapsamlı bir bilgi profili oluşturulabilmektedir.
Özellikle yapay zekâ destekli analiz araçlarının gelişmesi ile daha önce insan analistlerin önemli miktarda zaman ve emek harcamasını gerektiren veri eşleştirme ve örüntü tespit süreçleri daha da hızlanmıştır. Böylece çok sayıda ve farklı nitelikteki dijital veri unsurunun aynı analiz çerçevesi içerisinde değerlendirilmesi ile insanların karakter analizlerini dahi yapabilecek düzeye evrilmiştir.
Elbette bu süreçlerin ürettiği sonuçların her zaman doğru veya eksiksiz olması beklenmemelidir. Aynı fotoğrafta bulunan iki kişinin aynı görüşü paylaşması, aynı etkinliğe katılan kişilerin aynı amaçla hareket etmesi veya belirli bir kişiyle gerçekleştirilen sosyal etkileşimin belirli bir ilişkiyi kesin olarak ortaya koyması zorunlu değildir.
Bu nedenle dijital verilerden elde edilen çıkarımların önemli bir bölümü doğrudan olgusal bilgi değil, olasılıksal değerlendirme niteliğindedir. Ayrıca bilgi operasyonları açısından kritik husus, her zaman gerçeğin eksiksiz biçimde ortaya çıkarılması olmayabilir. Belirli bir aktörün hedefi, üçüncü tarafların belirli bir kişi veya olay hakkında belirli bir kanaate yönelmesini sağlamak da olabilir. Bu durum, bilgi güvenliği ile bilgi bütünlüğü arasındaki ilişkinin önemini artırmaktadır.
İlave olarak kişisel verinin stratejik değeri, farklı veri kümelerinin ilişkilendirilmesi, işlenmesi ve belirli amaçlara yönelik anlamlı çıkarımlar üretilebilmesinden doğmaktadır.
Cambridge Analytica vakası, kişisel verilerin siyasal alandaki potansiyel kullanımına ilişkin önemli örneklerden biri olarak literatürde yer almaktadır. ABD Federal Ticaret Komisyonu tarafından yürütülen süreçlerde, şirketle bağlantılı aktörlerin çok sayıda Facebook kullanıcısına ilişkin verileri yanıltıcı yöntemlerle topladığı ve bu verilerin seçmen profilleme ve hedefleme amacıyla kullanıldığına ilişkin bulgular ortaya konulmuştur.
Bu vaka, belirli bir seçim sonucunun yalnızca söz konusu veri faaliyetleri nedeniyle ortaya çıktığını tek başına kanıtlamamaktadır. Kişisel verilerin, bireylerin davranışlarını sınıflandırmak, belirli kitleleri hedeflemek ve siyasal iletişim süreçlerini farklılaştırmak amacıyla kullanılabilecek stratejik bir kaynağa dönüşebileceğini göstermesi bakımından önem taşımaktadır.
Bu nedenle gelecekte kişisel veri kümelerinin stratejik öneminin artacağı değerlendirilebilir. Verinin fiziksel bir kaynak gibi tüketilmemesi, kopyalanabilmesi, farklı veri kümeleriyle yeniden ilişkilendirilebilmesi ve farklı amaçlarla tekrar analiz edilebilmesi, onu klasik bilgi kaynaklarından farklılaştırmaktadır.
Telegram, WhatsApp ve benzeri mesajlaşma uygulamaları, bireysel ve kurumsal iletişimin günlük unsurlarından biri hâline gelmiştir. Uçtan uca şifreleme, iletişim sırasında mesaj içeriğinin yetkisiz üçüncü taraflarca okunmasına karşı önemli bir güvenlik mekanizması sağlamaktadır. Elbette birlikte şifreleme mekanizması, bir iletişimin gelecekte hiçbir koşul altında erişilebilir olmayacağı anlamına gelmemektedir. Mesajın alıcı tarafından yeniden paylaşılması, ekran görüntüsünün alınması, iletişim kurulan cihazın ele geçirilmesi, yedekleme süreçlerindeki güvenlik zafiyetleri veya iletişim grubundaki diğer kullanıcıların davranışları, ayrı risk alanları oluşturmaktadır.
Dolayısıyla bir mesajın güvenliği yalnızca teknik altyapı üzerinden değerlendirilmemelidir. İletişimin tarafları, kullanılan cihazlar, depolama yöntemleri ve iletişim bağlamı da güvenlik değerlendirmesinin bir parçası olmalıdır.
Buradaki temel husus, dijital iletişimin gelecekteki dolaşımının yalnızca göndericinin kontrolünde olmamasıdır. Bugün güven ilişkisi içerisinde gerçekleştirilen bir yazışma, taraflar arasındaki ilişkinin değişmesi, hukuki bir soruşturma, kurumsal bir uyuşmazlık veya siyasal bir kriz gibi farklı koşullar altında yeniden gündeme gelebilir.
Bu nedenle dijital iletişim güvenliği, yalnızca “mesajın gönderildiği anda korunması” değil, aynı zamanda “mesajın gelecekteki yaşam döngüsünün yönetilmesi” perspektifinden ele alınmalıdır.
WikiLeaks tarafından 2010 ve 2011 yıllarında yayımlanan çok sayıdaki diplomatik belge, kapalı kurumsal ortamlarda oluşturulan geniş bilgi kümelerinin belirli koşullar altında kamuya açık hâle gelebileceğini gösteren tarihsel örneklerden biridir.
Diğer taraftan bir mesajın veya belgenin üretildiği tarih, üretildiği koşullar ve iletişim bağlamı zaman içerisinde ortadan kalkabilir. Buna karşılık içerik, yıllar sonra farklı bir bağlam içerisinde yeniden dolaşıma sokulabilir. Bu durumda mesajın anlamı yalnızca içeriği üzerinden değil, onu çevreleyen koşullar üzerinden de yeniden yorumlanabilir.
Örneğin bir grup yazışmasında kullanılan mizahi bir ifade, bağlamından koparıldığında ciddi bir görüşün ifadesi olarak sunulabilir. Bir yazışmanın yalnızca belirli bir bölümü yayımlanarak metnin bütünü hakkında farklı bir algı oluşturulabilir. Gerçek bir iletişim kaydının arasına sentetik veya sahte bir içerik yerleştirilmesi ise doğrulama sürecini daha da karmaşık hâle getirebilir.
Günümüzde açık kaynaklardan elde edilen ses, görüntü ve metin örnekleri kullanılarak kişilerin seslerinin, görüntülerinin veya iletişim tarzlarının taklit edilebilmesi, bu sorunu daha karmaşık hâle getirmektedir. Gerçek bir veri sızıntısının içerisine sentetik bir içerik yerleştirildiğinde, kamuoyunun yalnızca içeriğin doğruluğunu değil, içeriğin gerçekten ilgili kişi tarafından üretilip üretilmediğini de değerlendirmesi gerekmektedir.
Dolayısıyla çağdaş bilgi güvenliği açısından temel risk yalnızca mahrem bilginin ifşa edilmesi değildir. Aynı zamanda bireylerin kendi ifadeleri ve görüntüleri üzerindeki bağlamsal kontrolünün zayıflaması da önemli bir risk alanıdır.
Gerçek bir belgenin varlığı, aynı veri kümesi içerisinde yer alan bütün içeriklerin gerçek olduğu anlamına gelmemektedir. Benzer şekilde sahte bir belgenin tek başına dolaşıma sokulması ile gerçek bir bilgi sızıntısının içerisine yerleştirilmesi arasında önemli bir fark bulunmaktadır.
Gerçek verilerle sahte veya manipülatif içeriklerin aynı bilgi akışı içerisinde sunulması, doğrulama süreçlerinin güçleşmesine neden olabilir. Özellikle kriz dönemlerinde bilgi akışının yüksek hızda gerçekleşmesi, sosyal medya platformlarında içeriklerin doğrulanmadan yeniden paylaşılması ve yorumların olgusal bilgilerin önüne geçmesi, bilgi bütünlüğüne yönelik tehditleri artırmaktadır.
Klasik istihbarata karşı koyma yaklaşımı; hassas bilgilerin korunması, erişim yetkilerinin sınırlandırılması, tehdit aktörlerinin faaliyetlerinin tespit edilmesi ve kurumsal güvenlik mekanizmalarının güçlendirilmesi gibi temel unsurlar üzerine kuruludur. Bu yaklaşım dijital çağda önemini korumaktadır. Bununla birlikte korunması gereken bilgi alanı genişlemiş ve tehdit yüzeyi çeşitlenmiştir.
Bu kapsamda istihbarata karşı koyma, yalnızca dışarıdan gelecek tehditleri engelleyen pasif bir güvenlik yaklaşımı olmaktan çıkarak, dijital ortamda zaten mevcut bulunan verilerin gelecekte oluşturabileceği riskleri öngören proaktif bir güvenlik modeline dönüşmektedir.
Bu yaklaşımın temel unsurlarından ilki veri minimizasyonudur. Veri minimizasyonu, ihtiyaç duyulmayan kişisel veya kurumsal verilerin toplanmaması, gereksiz biçimde saklanmaması ve kullanım amacı sona eren verilerin uygun süreçlerle imha edilmesini esas alan bir veri yönetimi yaklaşımıdır. Güvenlik açısından temel prensip oldukça açıktır: Üretilmeyen, toplanmayan, erişilemeyen veya zamanında imha edilen bir verinin yetkisiz biçimde sızdırılması mümkün değildir.
Bu nedenle kurumların veri güvenliği politikaları yalnızca mevcut verilerin korunmasına odaklanmamalı, hangi verinin neden üretildiği, hangi amaçla işlendiği, kimler tarafından erişilebildiği ve ne kadar süreyle saklandığı sorularını da kapsamalıdır.
Veri minimizasyonu aynı zamanda kurumsal tehdit yüzeyinin küçültülmesine katkı sağlar. Gereksiz veri birikiminin azaltılması, olası bir güvenlik ihlalinin kapsamını da sınırlandırabilir.
Bu yaklaşım bireysel düzeyde de uygulanabilir. Kullanıcıların her dijital platformda gereğinden fazla kişisel bilgi paylaşmaması, konum ve ilişki bilgilerini sınırlı tutması ve geçmişte üretilmiş dijital içeriklerin gelecekteki kullanım ihtimallerini dikkate alması, dijital risk yönetiminin temel unsurlarından biri hâline gelmektedir.
İkinci olarak, stratejik ve kamusal sorumluluk taşıyan aktörler için ‘Dijital Hijyen Politikaları’ standart bir prosedüre dönüştürülmelidir. İnsanlar görevlere geldiklerinde dijital geçmişleri de onlarla birlikte taşınır. Bu nedenle, kritik karar vericilerin ve üst düzey personelin görev öncesinde ve görev süresince periyodik olarak dijital ayak izi denetiminden geçirilmesi, açık kaynaklarda biriken dağınık verilerin, ilişki ağlarının ve geçmiş paylaşımların bir kriz anında nasıl bir tehdide dönüşebileceğinin önceden analiz edilmesini sağlar. Risk açığa çıkmadan önce haritalandırmak, kriz anında dezenformasyonla mücadele etmekten her zaman daha maliyetsizdir.
Buradaki amaç bireylerin özel hayatlarının sınırsız biçimde izlenmesi değil, görev ve sorumluluklarla bağlantılı olası güvenlik risklerinin önceden belirlenmesidir. Bu nedenle dijital ayak izi denetimi, hukuki ve etik sınırlar içerisinde yürütülen bir risk yönetimi mekanizması olarak tasarlanmalıdır.
Bununla birlikte geçmişte üretilmiş her bilginin daha sonra ortaya çıkması bir güvenlik saldırısı olarak da değerlendirilmemelidir. Kamu yararını ilgilendiren gerçek bir bilginin ortaya çıkarılması ile bireyin özel yaşamına ilişkin verilerin bağlamından koparılarak baskı veya manipülasyon aracı hâline getirilmesi birbirinden ayrılmalıdır.
Bilgi güvenliği yaklaşımı, hesap verebilirlik mekanizmalarının ortadan kaldırılması amacıyla kullanılmamalıdır. Kamu görevlileri açısından kamu yararı taşıyan bilgilerin şeffaflık ve hesap verebilirlik çerçevesinde değerlendirilmesi ile kişisel verilerin kötüye kullanılması arasında açık bir ayrım yapılması gerekmektedir. Dolayısıyla çağdaş bilgi güvenliği yaklaşımı; mahremiyet, şeffaflık, hesap verebilirlik ve bilgi bütünlüğü arasında dengeli bir yönetişim modeli oluşturmayı gerektirmektedir.
Kurumların bilgi güvenliği değerlendirmeleri çoğunlukla teknik sistemlere odaklanmaktadır. Şifrelerin güvenliği, cihazların güncelliği, erişim yetkilerinin sınırlandırılması ve ağ güvenliği gibi unsurlar kuşkusuz kritik öneme sahiptir.
Günümüzde istihbarata karşı koyma yalnızca dışarıdan bir aktörün kurumsal sisteme erişmesini engellemek değildir. Aynı zamanda kurum dışında hâlihazırda bulunan veri parçalarının gelecekte hangi amaçlarla bir araya getirilebileceğini ve hangi güvenlik risklerine dönüşebileceğini öngörebilmek ve bunlara da tedbir geliştirebilmektir.
Bu nedenle dijital güvenlik anlayışının temel amacı, bireylerin veya kurumların tüm iletişim faaliyetlerini ortadan kaldırmak değildir. Esas amaç, veri üretiminin ve paylaşımının gelecekteki olası sonuçlarını değerlendirebilmek, gereksiz veri birikimini azaltmak, kritik verileri korumak ve bilgi bütünlüğünü sağlayacak doğrulama mekanizmalarını geliştirmektir.
Bu kapsamda etkin bir güvenlik yaklaşımının üç temel bileşen üzerine inşa edilmesi mümkündür:
Birincisi, bireysel dijital farkındalık ve sorumluluktur. Bireylerin dijital ortamda ürettikleri verilerin gelecekte farklı biçimlerde kullanılabileceğinin farkında olması, bilgi güvenliğinin ilk katmanını oluşturmaktadır.
İkincisi, kurumsal veri yönetişimi ve güvenlik kapasitesidir. Kurumların veri minimizasyonu, erişim kontrolü, saklama süreleri, güvenli imha, dijital ayak izi değerlendirmesi ve kriz iletişimi gibi süreçleri kurumsal politika hâline getirmesi gerekmektedir.
Üçüncüsü, toplumsal doğrulama ve bilgi bütünlüğü kapasitesidir. Veri sızıntıları veya manipülatif içerikler karşısında toplumun kaynağı, bağlamı ve doğruluğu değerlendirebilmesi; dezenformasyonun etkisinin sınırlandırılması açısından kritik önem taşımaktadır.
Bu üç unsurdan herhangi birinin eksikliği, dijital tehditlerin etkisini artırabilir. Bireysel farkındalık olmaksızın gereksiz veri üretimi devam eder. Kurumsal veri yönetişimi bulunmadığında bu verilerin korunması güçleşir. Doğrulama kültürünün zayıf olduğu ortamlarda ise gerçek bir sızıntı gerçekleşmeden dahi sahte veya manipülatif içerikler önemli toplumsal etkiler yaratabilir.
Sonuç olarak istihbarata karşı koyma ve bilgi güvenliği kavramlarının dijital çağda yeniden değerlendirilmesi gerekmektedir. Güvenlik yalnızca gizli evrakın, kapalı sistemlerin veya fiziksel tesislerin korunmasıyla sınırlı değildir. Bireylerin ve kurumların dijital ortamda bıraktıkları veri izleri de gelecekteki güvenlik risklerinin bir parçasını oluşturmaktadır.
Bu bağlamda dijital ayak izi, yalnızca bireyin geçmişine ilişkin bir kayıt olarak değerlendirilmemelidir. Aynı zamanda gelecekteki görev, sorumluluk ve kriz ortamlarında yeniden yorumlanabilecek stratejik bir veri varlığı niteliği taşımaktadır.
Bu çerçevede çağdaş bilgi güvenliği yaklaşımının temel sorularından biri, yalnızca “hangi bilginin korunması gerektiği” değil, aynı zamanda “hangi verinin gelecekte hangi bağlamda stratejik değer kazanabileceği” olmalıdır.
Bu nedenle bilgi güvenliğinin stratejik boyutu, mevcut verinin korunmasının ötesine geçerek verinin yaşam döngüsünün, yeniden kullanım potansiyelinin ve bağlamsal dönüşüm riskinin yönetilmesini zorunlu kılmaktadır.
Bu perspektiften değerlendirildiğinde, istihbarata karşı koymanın geleceği yalnızca bilgiye erişimi engelleme kapasitesine değil; hangi verinin üretildiğini, hangi verinin dolaşıma girdiğini, hangi verinin birleştirilebileceğini ve bu verilerin gelecekte hangi anlamlara dönüştürülebileceğini öngörebilme kapasitesine de bağlı olacaktır.
