Açılış ve Atatürk anması

Yaprak Özer  [00:00:07,660 – 00:02:44,860]

Efendim merhaba, ben Yaprak Özer. “Fikir Buluşmaları”na hoş geldiniz. Her zaman bana göre enteresan konuları işliyoruz ama bugün son derece güncel ve kritik bir konuyu işliyor olacağım: Siber güvenlik. Karşımda Ayşim Niksarlı var. Forcerta kurumun ismi ve kendisi bunun başında. Tabii ki bu, hayatının bu dönemindeki görevi. Öncesinde Ayşim Hanım çok uzun yıllar özellikle finans dünyasında, belli başlı bankaların siber güvenlik ekiplerini kurmak, birleşmelerini sağlamak, güvenlikleriyle ilgili önlemleri almak ve takımlara liderlik etmek üzere çok önemli bir kariyer geçirmiş.

Finans kurumları, sektörler arasında bazı konularda daha öncü diyebileceğim kurumlar. Belki biz toplumu, bireyleri kucakladıkları için o maceraya mecburen atılmış olan kurumlar. Ayşim Hanım’ın farklı noktalarda farklı deneyimleri var.

Biliyoruz ki bugün, dün, ondan önceki gün gerek Avrupa’da gerek Türkiye’de siber güvenlik krizleri yaşıyoruz. Türkiye’de henüz neler olduğunu tam bilemiyoruz ama ufak ufak sesleri çıkıyor. Bunların arasında buzdolaplarının çözülmesi, kan bankalarındaki kanların heba olması gibi şeyler var.

Konuyu çok uzatmak istemiyorum. Ayşim Hanım’a hoş geldiniz demek istiyorum. Ama günün anlam ve önemini de vurgulamadan geçemeyeceğim. Çünkü o da bana katılmak isteyecek. Bugün Mustafa Kemal Atatürk’ün ölüm yıl dönümü. Bizler onu saygıyla anıyoruz.

Aslına bakarsanız bugün iki kadının böyle bir konuyu tartışıyor olması ve farkındalık yaratmak üzere görev bilinciyle sizlerle buluşması bu liderin vizyonuyla alakalı. Efendim, hoş geldiniz diyorum. Buyurun, sesinizi duyayım.

Ayşim Niksarlı  [00:02:44,880 – 00:02:45,120]

Hoş bulduk, merhaba.

Yaprak Özer  [00:02:45,120 – 00:02:49,240]

Girişi çok uzattım. Lütfen kusuruma bakmayın.

Ayşim Niksarlı  [00:02:49,340 – 00:02:52,080]

Ne demek, tabii ki.

Ayşim Niksarlı  [00:02:54,320 – 00:03:18,680]

Ben de aynı şekilde saygıyla anıyorum. Gerçekten burada Atamızın açtığı vizyon, özellikle kadınlara verdiği değer… Kadınların gerek ekonomide gerek aile hayatının dışındaki alanlarda, sektörlerde, meclise kadar noktalarda ve yönetim kademelerinde yerini bulmasını kendisine borçluyuz. Saygıyla anıyoruz Atatürk’ü.

Siber saldırıların değişen boyutu

Yaprak Özer  [00:03:19,900 – 00:03:39,540]

Sevgili Ayşim Hanım, biraz önce genel itibarıyla finans dedim ama o, yaptığınız çalışmaların geçmişteki kısmı. Bugün ise pek çok sektörde pek çok kuruma danışmanlık yapıyorsunuz. Forcerta ismini doğru mu söylüyorum, bilmiyorum.

Ayşim Niksarlı  [00:03:39,540 – 00:03:40,540]

Forcerta.

Yaprak Özer  [00:03:40,540 – 00:03:41,780]

Forcerta demek.

Ayşim Niksarlı  [00:03:41,780 – 00:03:42,820]

Evet, Forcerta.

Yaprak Özer  [00:03:42,820 – 00:05:18,880]

O zaman onu da hemen düzeltmiş olayım. Forcerta bugün değişik kurumlara, bunların arasında çok büyükler de var, güvenlikleriyle alakalı danışmanlık ve uygulamalı çalışmalar yapıyor. Geçmişteki finansal kuruluşları da hemen söyleyeyim, çünkü bunlar açık bilgiler: Pamukbank, Halkbank, Ziraat gibi finans kurumları var. Bunlar arasında özellikle kamu kuruluşları, çok sayıda şubenin ve çalışanın olduğu yerler var. Bu nedenle altını çiziyorum.

Ama soruma geçmeden önce, Ayşim Hanım, son zamanlarda tek bir siber saldırıda 6,34 milyar dolarlık dijital varlığın hacklendiği ya da buharlaştığı haberi, okuduklarımdan yalnızca bir tanesi. Bu ve bunun gibilerin artık listesini tutamıyorum. Kuzey Kore menşeli saldırılar, Rusya menşeli saldırılar… Anlıyorum ki artık bütün dünyaya yayılmış bir durum. Neredeyse günlük bir vaka; vaka-yı adiye derler. Siz bunu nasıl açıklarsınız? Biz ne yaşıyoruz Allah aşkınıza? Ben halk diliyle böyle ifade ettim. Bu nedir?

Ayşim Niksarlı  [00:05:20,180 – 00:07:37,324]

Ya, çok doğru bir noktaya temas ettiniz. Daha önceki durumdan çok farklı yerlerdeyiz. Yani, bugün artık siber güvenlik teknoloji departmanlarının ya da bilgi işlem ekiplerinin konusu olmanın çok dışına çıktı. Siber güvenlik artık ekonomik güvenliğin, toplumsal güvenliğin, hatta ulusal güvenliğin ayrılmaz bir parçası haline geldi. Siz de bahsettiniz geçmiş kariyerimden. 30 yılı aşkın bir süredir sektördeyim. İstanbul Teknik Üniversitesi Elektronik ve Haberleşme Mühendisliğinden mezun olmamın arkasından ağırlıklı bir şekilde finans sektöründe çalışmalarım oldu bahsettiğiniz gibi. O yıllara geri dönüp baktığımda, az buz bir zaman değil, bir insan yaşı kadar bir kariyer. Siber güvenliğin geçirdiği bu dönüşüme bizzat tanıklık etme şansım oldu…

Kariyerimin ilk yıllarında tehditler biraz daha sistemlere izinsiz erişim sağlamak gibi, web sitelerini bozmak, hacklemek gibi bireysel meraklarla hatta, buldukları birtakım küçük, program parçacıklarıyla, hatta, “script kiddie” denen, böyle, script çocukları gibi, birtakım da terimler vardı. Bunlarla yapılan saldırılar vardı. Ama bugün baktığımızda artık, bahsettiğiniz gibi, karşımızda milyarlarca dolarlık bütçelere sahip çok ciddi organize suç grupları var. Devlet destekli tehdit aktörleri var ve bir yandan da yapay zekâ destekli saldırı kabiliyetleri bulunuyor. Bütün bu organize suç örgütleri bu kabiliyetlerden de yararlanıyorlar. Ve tabii ki de bu noktada artık mesele bir kurumun verilerinin çalınmasının çok ötesine geçti.

Artık elektriklerin kesilmesine, sağlık hizmetlerinin durmasına, finansal sistemlerin aksamasına, hatta lojistik zincirin kırılmasına ve insan hayatının doğrudan etkilendiği noktalara doğru geldi. Baktığımızda yine geçmişten bugüne doğru gelecek olursak, biz bu ilk, insan hayatına varan noktayı 2017 yıllarında bir WannaCry saldırısı yaşandığında gördük.

Yaprak Özer  [00:07:37,324 – 00:07:38,124]

Hatırlıyoruz, evet.

Ayşim Niksarlı  [00:07:38,124 – 00:10:50,004]

Evet, o hafta sonunu bütün ekiplerimiz bankada, teknolojik yapımızın içerisinde, sunucuların arasında geçirmişlerdi. Ve gerçekten çünkü çok hızlı aksiyon almamız gerekiyordu ve onu da başardık. Bir zarara da uğramadan, kurtulmuş olduk o saldırıdan. Ama bu bütün sektörleri etkileyen bir saldırıydı. O sırada İngiltere’de sağlık sistemine bu açıklık dolayısıyla yapılan saldırıyla konu insan hayatı boyutuna taşındı. Bu sistemde binlerce randevu iptal edildi, ameliyatlar ertelendi. Bazı bölgelerde hastalar başka hastanelere yönlendirilmek zorunda kaldı. Hatta oradan çıkan sağlık raporları, tahlil raporları, şifrelendiği için sistemlerin üzerinde, onlara erişilemediği için doğru tedaviler, yapılamaz hâle geldi. 19 bin sağlık randevusunun etkilendiği, İngiltere için sadece söylenen ve 92 milyon sterline yakın bir zarar da aynı zamanda, oluştuğu ortaya kondu.

İlk kez bu noktada konunun insan hayatını doğrudan etkileyen yerlere gittiği konuşuldu. Yine girişte sizin bahsettiğiniz gibi, aslında o günlerden bugünlere geldiğimizde, son dönemde özellikle Avrupa’da başlayan olaylar, Fransa’da başlayan olaylar, bu noktada daha da farklı boyutlarda risklerin yaşanabileceğini net bir şekilde ortaya koydu. Artık, burada sadece Fransa’yla da sınırlı kalmadı. Malum, Belçika’dan İsveç’e, İrlanda’dan Estonya’ya birçok sayıda ülkede etkileri de görülmüş oldu. Ve burada, saldırganlar sadece bilgi sistemlerini hedeflemediler. Çok kritik operasyonel süreçleri de hedef aldılar. Market zincirlerinin soğuk hava depolarıyla başladı. Gıda saklama sistemleri, ilaç, tıbbi ürün, lojistik altyapıları ve kan bankalarına kadar, uzadı bu konu.

Ekim ayı marketlerin, özellikle daha çok zarara uğradığı bir ay olarak geçti. Binlerce kilogram gıda ürünü maalesef kullanılamaz hâle geldi. Yani, bunun maddi boyutu bir yana, artık, toplumun temel ihtiyaçlarının etkilenmesi gibi de bir durum ortaya çıkmış oldu. Biz bunu Ekim ayında yaşarken bir yandan Kasım’ın başında, ilk günlerinde de Avrupa genelinde genel bir daha farklı bir dalga oluştu. Orada da bu sefer, kan bankaları maalesef hedef alındı. Neyse ki ama bu zamanında fark edildi. Fransa’nın ulusal kan kuruluşuna ait üç tesis burada hedeflendi. Kan plazmalarının saklandığı soğuk depoların sıcaklık ayarlarının değiştirilmesiydi burada yaşanan olayda.

Zamanında tespit edildiği için neyse ki kan ürünleri zarar görmeden bu atlatıldı.

Ulusal güvenlik ve 72 saatlik hazırlık

Yaprak Özer  [00:10:50,024 – 00:13:31,096]

Birbirinden enteresan örnekler verdiniz; daha da vereceksiniz, farkındayım. Ama sözünüzü kesmek istememdeki amacım şu: Kariyerinizin başından söz ettiğiniz ilk cümlenizde, o zaman gördüğümüz kurum hedefli saldırıların artık toplumsal hâle geldiğini, saldırganların hiç tanımadıkları halktan insanları etkilediğini anlıyorum. Topla tüfekle olmayan bir savunma, millî güvenlik sorunu hâline dönüştüğünü ifade ediyorsunuz. Bunun teyidini almak isterim.

Bununla birlikte Avrupa Birliği özelinde Avrupa, bütün vatandaşlarına bir alarm verdi. “72 saat boyunca yardımınıza koşamayacağımız zaman dilimlerinin olabileceğini düşünerek başınızın çaresine bakabilecek ekipmanı, hayatınızı devam ettirecek olanaklar zincirini yaratın” dediler. Buna da açıklık getirmenizi istiyorum. Çünkü ülkemizde böyle bir uyarı almadık. Almamamız, bizde böyle bir şeyin yaşanmayacağı anlamına gelir mi?

Elimde bir 2025 verisi var. Bu bir şey ifade eder mi? Bu veriye göre 2025’te bir yıl boyunca 101 bin 500’ü aşkın zararlı bağlantı engellenmiş. Bu benim yalnızca haber araştırmasından edindiğim küçük bir veri.

Şimdi size birbirinin içine geçmiş üç farklı şeyi hem soruyor hem de yorum yapmanızı rica ediyorum. Eminim bunları örneklerle açarak ilerleyeceksiniz ama bu noktada lütfen temas eder misiniz?

Ayşim Niksarlı  [00:13:32,076 – 00:18:36,176]

Tabii, memnuniyetle. Bu olaylar bize neyi gösterdi? Siber saldırıların dijital sistemlerden fiziksel dünyamıza doğru, dolayısıyla da günlük hayatımızın tam içine doğru girdiğini göstermiş oldu. Özellikle son dönemde yoğunlaşan olaylar. Bunu devletler bazında ele aldığımızda, yani, bizim siber güvenlik dünyasında hep söylediğimiz bir motto vardır. Hiçbir zaman %100 güvenlik diye bir iddiada bulunamayız hiçbirimiz. Çünkü biz ne kadar önlem alırsak alalım, mutlaka bir noktadan bir giriş noktası oluşabilir. O yüzden bizim burada aslında biraz daha özellikle de son senelerde ortaya çıkan stratejilerimiz daha çok korumaya yönelik değil, burada tespite yönelik oldu. Olayların hepsine baktığımızda yüzde 100 koruyamayacağımızı artık çok net görüyoruz.

Çünkü bakıldığında gizlilik anlamında en yüksek düzeyde olan yerlere dahi sızılıp birtakım veriler alınabiliyor veya ele geçirilebiliyor, sitelerin kontrolleri devralınabiliyor. Bu yüzden saldırganları yavaşlatmak ve birçok katmandan geçirerek hem işlerini zorlaştırmak hem de zaman kazanmak yönüne gidiyoruz. Buna katmanlı güvenlik diyoruz. Yani, dolayısıyla, Avrupa’da yapılan uyarılar Türkiye’de hiçbir şey olmadığı anlamına gelmiyor, hepimizin her zaman buna hazır ve nazır durumda olması gerekiyor. Bu uyarıların ulusal düzeyde olması, olumlu bir davranış. Ama bizim zaten, bireyden kuruma, kurumdan topluma doğru olan yapılanmada Türkiye de dahil olmak üzere bu konu ulusal düzeyde ele alınıyor ve bir farkındalık konusu haline gelmiş oluyor.

Yani, Türkiye’de yayınlanan son Siber Güvenlik Kanunu’na baktığınızda, yani, kapsamına baktığınızda aslında, oldukça geniş. Yani, sokaktaki vatandaş da bu Siber Güvenlik Kanunu’nun kapsamında Türkiye perspektifiyle baktığımızda. Hatta bir maddesini kısaca söyleyebilirim. Diyor ki “Bu kanun siber uzayda varlık gösteren, faaliyet yürüten, hizmet sunan kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişilikleriyle, tüzel kişiliği bulunmayan kuruluşları kapsar.” Yani, gerçekten burada hepimiz varız bu işin içerisinde. Türkiye bir deprem ülkesi. Çok ciddi boyutta olaylar yaşadık ve her olayda önlemler alınması gerektiğini konuşuyoruz. Bir deprem çantasının hazır olması vesaire gibi böyle başucumuzda bazı şeylerin, cihazların, aletlerin, alarm mekanizmalarının ya da en basitinden bir düdük çalabileceğimiz bir şeyin bulunması gibi.

Bu da aslında çok benzer bir şey. Yani, bu yaşanan olayların tedarik zincirlerini, marketleri vesaire doğrudan hayatımızı etkileyen boyutlarını görmek aslında bu anlamda da önlem almamızı gerektiren, gördüğümüz bir gerçek var karşımızda. Tabii ki biz, birilerinin bizi uyarmasına gerek kalmadan bunları yapıyor olmamız lazım. Ama konunun ulusal boyutta ele alınması da gerçekten çok önemli. İsterseniz konuyu oraya getirelim. Siber saldırıların artık çok farklı olduğunu söyledik. Siber sistemlerden fiziksel dünyaya geldi dedik. Yani, burada bilgisayarlar değil artık gıda güvenliği, sağlık güvenliği, ekonomik güvenlik ve ulusal dayanıklılık. Ulusal dayanıklılıktan söz ederken hep Avrupa’yı konuşuyoruz. Avrupa’da DORA Kanunu zaten tamamen operasyonel.

DORA da “resilience”, yani operasyonel dayanıklılık üzerine çıkan bir kanun. Dolayısıyla burada dayanıklılık, pandemide de bunu sıkça duyduk. Dayanıklı olmak, o noktada bir motto hâline geldi. Burada da aslında siber güvenlik dünyasında da bir ulusal dayanıklılıktan bahsediyoruz. Hatta ben bunu bir başka boyuta da taşımak istiyorum. Dayanıklılığın ötesinde artık literatürde “digital sovereignty” diye geçen dijital egemenliği konuşuyoruz. Dayanıklılığın ötesinde konu egemenliğimize, bağımsızlığımızı etkileyen bir noktaya kadar gidiyor.

Bireysel farkındalık ve kritik altyapılar

Yaprak Özer  [00:18:36,176 – 00:22:14,236]

Ayşim Hanım, ben bölerek gitmek istiyorum. Konuştuklarınızın belli bir grup için kolay anlaşıldığını varsayıyorum. Ama bölmek istememdeki sebep şu: Her ne konu konuşursak konuşalım, içindeki iletişim unsurları… Kendi ülkemizde, üzülerek söylemek gerekirse iletişim hiçbir zaman istendiği kadar açık, yaygın ve derin olmadı. Bu da onlardan bir tanesi, aynen depremde olduğu gibi.

Çıkan yasanın ilgili maddesini bizimle paylaştınız ve hepimizi kapsadığını ifade ettiniz. Bundan mutlu olmamak mümkün değil. Ancak ne ben, ki bu konularda neredeyse bir haber obeziyim, ne de sanırım çevremdeki kimse kanun maddelerini açıp okur. Okumayız da. Bunlar bizim hayatımızı dirlik ve düzenlik içerisinde yaşamamız için devletin atması gereken adımlar. Ama bütün bunlar, sizin gibi uzmanlar ve bu işin profesyonelleri dışında, benim ve varsayıyorum toplumun genelinin doğru dürüst bilmediği şeyler.

Birbirinden enteresan şeyler söylediniz. Kendi yorumumu söyleyeceğim: Anlattıklarınızın hepsi korkuyla yaşamak gibi bir şey. Siz buna itiraz edebilirsiniz. “Korkuyla yaşamayalım, önlem alarak yaşayalım” diyeceğinizi biliyorum. Siber güvenliği depreme benzettiniz. Deprem deneyimi çok olan ama depremde çok da canımızın yandığı bir ülkeyiz.

Size önlemlerin neler olduğunu sormak istiyorum. Avrupa’nın 72 saat uyarısı çok somut bir örnek. Diyor ki: “İçme suyunu bir yere koy. Çünkü içinde zehirli madde olabilir. O dönemde suyunu güvenlik altına al. Yiyeceklerini güvenlik altına al.” Çünkü gördük, buzdolaplarını hackleyebiliyorlar. Bununla birlikte elektriğin olmayabilir; bunda da kendini güvenlik altına al. Bu ve bunun gibi şeyleri madde madde, herkesin anlayacağı şekilde söylemişler. Ben bunu okuyabildim.

Burada böyle bir şey olduğunda biz Türk vatandaşlarına, bu işin içerisindeki birisi olarak ne önerirsiniz? Önce can sonra canan; kendi sınırlarımız içinde… Belki bunu bireyler ve kurumlar olarak bölelim. Birey ve kurum dedikten sonra bu halkaların dışında kalan kimse yok ama belki oralarda ifade etmek istediğiniz bir şey olacak.

Ulusal dayanıklılık kısmını açmanızı istiyorum. Dijital egemenliğe bir sonrasında gelelim isterseniz. Onun da altı en az bu kadar dolu. Orada başka şeyler söylemek istediğinizin farkındayım. Deneyimlerinizden alınabilecek önlemler, düşünülebilecek fikirler neler olabilir? Hayal gücümüzü de bu anlamda geliştirmemize yardımcı olun lütfen.

Ayşim Niksarlı  [00:22:15,016 – 00:28:34,292]

Her şey bireysel farkındalıkla başlıyor. Biz de kurumlara gidip bilgi güvenliği farkındalığı ya da siber güvenlik dayanıklılığını artırmaya yönelik önlemleri konuşurken önce bireyleri bu konuda bir noktaya getirmeye çalışıyoruz. Kurumun geliştirebileceği stratejiler, bu stratejilere uygun aksiyonlar, genel politikalar ve belirleyebileceği standartlar mevcut. Ama siz istediğiniz kadar standartlar oluşturun, politikalar belirleyin; bunlar en alta kadar inmezse, farkındalık seviyesi bireysel düzeye gelmezse kâğıtlarda yazan cümleler hâlinde kalıyor. Dolayısıyla her şeyi farkındalıkla, çeşitli eğitimler vererek başlatıyoruz.

Saldırılar anlamındaki farkındalıktan bahsederken örneğin gelen e-postalardaki küçücük bir linke tıklamak bile koca kurumun çalışamamasına sebep olabiliyor. O linkin arkasında bütün dosyaları şifreleyen, ransomware dediğimiz bir zararlı yazılım olabiliyor. Veya içeriye sızıp sessizce bekleyen, günün birinde aktif hâle gelip ortalığı dağıtabilecek bir kapı açmış olabiliyor.

Dolayısıyla şüpheli durumların mutlaka kurum içerisindeki ilgililere bildirilmesi gerekiyor. Örneğin bilgisayarın beklenmedik biçimde yavaşlaması; arka planda çalışan bir zararlı olabilir. Bilinmeyen yerlerden gelen uygulamaların bilgisayara veya telefonlara yüklenmemesi… Bunlar bankacılık hesaplarından şifreleri çalan yazılımlar olabilir. Bireysel olarak dikkatli olabileceğimiz noktalar var.

Ama sizin bahsettiğiniz daha geniş ölçekli, özellikle 72 saat uyarısı perspektifinden bakacak olursak saldırıların gerçek hayata, fiziksel dünyaya yansımalarını da dikkate alarak hayatın devamlılığını sağlamak gerekiyor. Depremlerin yanı sıra pandemi de bize bunu gösterdi. Dayanıklılık ya da kriz yönetimi dediğimizde çok benzer yerlere geliyoruz. Deprem de bir krizdi, pandemi de bir krizdi, siber güvenlik saldırısı da bir kriz.

Krizin nasıl yönetileceği, iletişimin nasıl kurulacağı, kurumların ve bireylerin birbiriyle temaslarının nasıl düzenleneceği, bunların hepsi kriz yönetiminin parçası. Bireysel olarak ayakta kalmak, yaşamımızı sürdürebilmek için… Siber Güvenlik Kanunu ve arkasından gelen düzenlemelerden bahsederken bu konuları da açmış olacağız. Etki alanının birçok noktası var.

Daha öncesinde Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin yayımlamış olduğu rehber vardı ve bazı kritik altyapılar tanımlandı. Bu kanundan sonra kritik altyapı sektörleri daha da genişletildi, 15 ayrı sektöre dönüştü. Sizin söylediğiniz, suyun yanı başında olması neden? Kritik altyapı diye bahsettiğimiz su sistemlerine girilip zarar verilmesi veya saldırı sonucu zararlı atıkların buralara karıştırılması hâlinde steril suya ihtiyacımız olacak. O zamana kadar stoklanmış sular belki daha güvenli ilan edilecek, onlar kullanılacak.

Dijital altyapılar, dijital hizmetler, elektronik haberleşme… Konunun bir de haberleşme boyutu var. Kriz yönetiminde çok önemli olan enerji dediniz, elektriğin kesildiği nokta gibi. Finans sistemleri zaten oldum olası bu konuların içinde ve en regüle sektörlerden biri.

Gıda ve tarım mesela yeni eklenen bir sektör. Mart tarihini hatırlamaya çalışıyorum. Mayıs 2026’da, en son kurul toplantısının ardından bu ikincil düzenlemenin güncel hâline ulaştık ama üzerinde Mart 2026 tarihi vardı. Burada yeni eklendiğini gördük. Bu son saldırılar olmadan önce öngörülüp kritik sektörler içine eklenmiş durumdaydı.

İmalat sanayi de var. Daha önceden de kamu hizmetleri vardı. Medya, kriz iletişimi, posta ve kargo, sağlık, savunma sanayi, ulaştırma, uzay olmak üzere 15 ayrı sektör, bu tedbirler ve daha detaylı denetimlere tabi olma açısından kritik sektörler olarak belirlendi. Her birinin ulusal siber dayanıklılık ekosisteminde çok önemli bir yeri var.

Artık yalnızca finans sistemleri değil; enerji altyapıları, telekomünikasyon şebekeleri, ulaştırma ağları, sağlık sistemleri, kamu hizmetleri, bunların hepsi dijital sistemler üzerinde çalışıyor. Dolayısıyla bu sistemlerin güvenliğini sağlayabilmek çok kritik hâle geldi. Bunları yaparken bağımlılıkla ilgili de bir konu var. Egemenliğe bağlayayım konuyu.

Dijital egemenlik ve teknoloji bağımlılığı

Yaprak Özer  [00:28:34,672 – 00:29:22,192]

Lütfen bağlayın. Çünkü o enteresan bir konu. Biz egemenliği yalnızca sınırlarımızla, fiziki sınırlarımızla onların, korunmasıyla, özdeşleştirdik bugüne kadar. Bu kafamızdaki yargılar, birazcık daha silinmeli. Daha doğrusu silinmek değil, bunlar revize edilmeli. Şu ana kadar sizin anlattığınız hemen her şeyde şunu ifade etmek istiyorum. Risk yönetiminden söz ettiniz. Risk yönetimini iyi yapanların, kendi kendime tercüme edebilirsem, krize dönüşmeyen bir dayanıklılık serüveninde hayatlarını idame ettirebileceklerini ifade ediyorsunuz.

Ayşim Niksarlı  [00:29:22,432 – 00:29:22,732]

Doğru.

Yaprak Özer  [00:29:22,972 – 00:30:17,192]

Ve risk yönetiminin altını çizmek istiyorum. Çünkü Türkiye’de özellikle bu konu, böyle, sigorta gibi, pek sevilen bir unsur maalesef değil. Çünkü masraflı. Belki çok haklı herkes, yani. Ama bu risk yönetimi sizin önlem almayı, önerdiğiniz noktalar. Dijital egemenliğe gelelim Ayşim Hanım. Dijital egemenlikte bir ülkenin egemenliği, sizin, uzmanlık alanınızda hangi unsurlardan, oluşuyor? Çünkü 15 tane kritik sektör saydınız. Bunlar eskiden herhâlde savunma sektörü derdik en kritik sektör ya da sağlık denirdi. Ama 15 sektörün içerisine tarımı da koydunuz, iletişimi de koydunuz, haberleşmeyi koydunuz. Daha doğrusu koyuldu, siz koymadınız.

Ayşim Niksarlı  [00:30:17,212 – 00:30:18,832]

Tabii. Doğru.

Yaprak Özer  [00:30:18,832 – 00:30:24,232]

Ve ne anlıyoruz, dijital egemenlikten? Bu benim millî güvenlik soruma da geliyor çünkü.

Ayşim Niksarlı  [00:30:24,812 – 00:32:03,028]

Tabii, çok doğru. O zaten oraya bağlanıyor dediğiniz gibi. Ya, nasıl ki ülkeler enerji güvenliği, gıda güvenliği veya savunma güvenliği alanlarında dışa olan bağımlılıklarını aslında azaltmaya çalışıyorlarsa dijital dünyada da benzer bir yaklaşım ortaya çıkıyor. Aslında burada son yıllarda çok örneklerini de görüyoruz. Mesela Çin’e baktığımızda çok uzun süredir kritik teknoloji alanlarında kendi ekosistemlerini oluşturmaya çalışıyorlar ve burada çok ciddi yatırımlar yapıyorlar. Arama motorlarından bulut platformlarına kadar veya sosyal medya ağlarından yarı iletken teknolojilerine kadar birçok alanda da kendi alternatiflerini geliştirdiler. Bugün kullandıkları bir internet ekosistemi, ödeme sistemleri, bulut altyapıları, yapay zekâ platformları büyük ölçüde kendi ulusal stratejileri doğrultusunda şekilleniyor.

Hatta burada ekonomik anlamda da çok ciddi, sarsıntılar yaratıyorlar. Çünkü geliştirdikleri bazı, teknolojileri de açık kaynak olarak da ortaya, özellikle, yapay zekâ konusunda filan, haberlerden de takip ediyoruz, paylaşıyorlar. Dolayısıyla burada ekonomik dengeler de çok ciddi bir şekilde değişiyor. Tabii burada ama amaç sadece ekonomik bir büyüklük yaratmak değil. Burada aynı zamanda kritik teknolojiler üzerindeki kontrolü ve bağımsızlığı koruyabilmek aslında amaçları. Benzer şekilde Rusya’da son yıllarda internet altyapısının ve uydu haberleşme sistemlerinin yerlileştirilmesine yönelik, birtakım önemli adımları görüyoruz.

Uydu haberleşmesi ve stratejik altyapılar

Yaprak Özer  [00:32:03,808 – 00:33:06,108]

Mesela Rusya savaşta olan bir ülke. Ekonomisinin de büyük darbe aldığını hepimiz biliyoruz. Rusya ne yapıyor şu anda? Bütün bu haberleri mutlaka sizden daha geç, herhangi bir okur gibi okuyorum. Ama Starlink’e rakip olabilecek bir uydu alıcı verici sistemi geliştirdiklerini, millî bir sistem olduğunu ve bu savaşta çok önemli bir değişim sağlayacağını okudum.

Söylemeye çalıştığım şu: Bizim tüm haberleşmelerimiz uydu aracılığıyla oluyor. Belki oraya bir açıklık getirirsiniz. Ben sizin kadar iyi ifade edemeyeceğim ama millî bir haberleşme kalkanı yaratmışlar. Rusya olması enteresan. Teknolojilerini bu alanlarda herhâlde daha fazla derinleştiriyorlar. Buyurun efendim, ne demek bu?

Ayşim Niksarlı  [00:33:06,988 – 00:35:15,267]

Yani, açıkçası özellikle, Rusya-Ukrayna savaşında, Amerikan SpaceX şirketinin Starlink sisteminin, uydu internet hizmetinin kullanılıyor olması burada konuyu göz önüne getirdi. Burada görüldü ki aslında uydu haberleşme sistemleri artık stratejik bir altyapı unsuru. Çünkü burada birçok ülkenin kendi internet ağlarını ve bağımsız iletişim altyapılarını geliştirmesinin kritikliği ortaya çıktı. Dolayısıyla Rusya da bu savaşın içinde belirttiğiniz gibi olduğu için, buradaki Starlink’in sağladığı askerî ve lojistik üstünlüğü görünce tabii ki o da bağımlı kalmamak ve kendi egemenliğini korumak amacıyla yeni alternatif projeler geliştirdi. Çok ciddi yatırımlar yapıyor ülkeler buna. Haberleşme çünkü çok önemli. Yani, sizin sadece, kendi haberleşmenizin devamlılığının dışında bir de kendi haberleşme ağlarınızın bir başkasının kontrolünde olması demek, o ağın içerisindeki veriler de stratejik…

Tabii ki birtakım şifreleme algoritmaları var; kritik veriler hiçbir zaman açık bir şekilde gitmez. Ta ilk dünya savaşlarında bile birtakım Almanların ilk kullandığı şifreleme algoritmaları vardı. Ama yine de bu anlamda başka bir ülkeye bağımlı olmanın oldukça kritik olduğu görüldü. Dolayısıyla burada da bağımsız bir internet ekosisteminin ötesinde, bunun biraz daha uzaya doğru, haberleşmeye doğru, uydu sistemlerine doğru… Zaten o bizim de düzenlememizde, 15’inci madde olarak uzay eklenmiş oldu. Çünkü hakikaten burada, uzaydaki haberleşme uydu sistemleri de çok ciddi bir millî yatırım ve bu yatırımların dışında, korunma sistemlerinin geliştirilmesi ihtiyacını doğurmuş oldu. Savaşlarda da bunu gördüğümüz gibi.

Etik hackerlar ve risk yönetimi

Yaprak Özer  [00:35:16,348 – 00:37:53,036]

Savaşların zaten türü, rengi… Hibrit savaş dediğimiz şey bu. Karada normal bildiğimiz yollarla ya da havada, denizde; bir de vakıf olamadığımız bir alanda bu şekilde devam ediyor.

Sizi farklı noktalara getirmek ve görüşlerinizi almak istiyorum. Kurumlar, devletler, kamu kurumları üzerinden yapılan çalışmalarda adına hacker dediğimiz korsanlar var. Bunu herkes biliyor ama karşılıklı çalışılan bir durum da söz konusu. Bunların iki tarafta, hem savunmada hem saldırıda kullanıldığı konusu… Farkındalığımızı artırmak için oradaki durumu biraz resmetmenizi isteyeceğim.

Bir de bu siber ya da dijital konular bıçakla kesilmiyor. Kurumların tedarikçileri, kendi çalışanları var. Veri alışverişinde bulunulması icap ediyor. Kurumun legal kabul ettiği sistem içerisinde hareket eden kişilerin bile indirdikleri birtakım aplikasyonlar üzerinden açıklar oluştuğu ifade ediliyor. Ben halk ağzıyla söylemiş olayım ama bunların geçerliliği var mı, ne oluyor? Bunları bize ifade edin.

Bir de sokaktaki insanın en çok bildiği şey para transferi. Saldırganların bir şekilde hesaplara girmesi, paraları alması. Herkesin en çok korktuğu şeylerden biri bugüne kadar buydu. Ülkemizde halkımız, biz hepimiz bu saldırıları en fazla para kaybetmek olarak gördük. Buralarda da şekil şemal değişiyor. Ne oluyor, nasıl oluyor? Bunları nasıl tanımlıyorsunuz? Önlemler nelerdir? Belki o dünyaya adım atmamıza yardımcı olursunuz. Buyurun.

Ayşim Niksarlı  [00:37:53,776 – 00:38:52,376]

Hacker’ları, dediğiniz gibi saldırganları, belki iki ana gruba ayırabiliriz. Beyaz şapkalı dediğimiz “ethical hacker”, etik saldırganlar var kurumlarımızın içerisinde. Bizler de iş ortaklarımızla bu alanda çeşitli çalışmalar yürütüyoruz.

Beyaz şapkalı olanlar, gerçek kötü niyetli saldırganın saldırısından önce sistemlere kontrollü bir şekilde erişmeye çalışıp buldukları açıklıkların nasıl kullanılabileceğini ortaya koyuyorlar. Bir noktayı keşfettiniz, oradan giriş sağladınız. O noktadan hangi başka noktalara gidebileceğinizi ve oralarda ne gibi zararlar yaratabileceğinizi ortaya koyan arkadaşlarımız.

Yaprak Özer  [00:38:52,636 – 00:38:56,176]

Bir meslek grubu galiba, öyle mi artık? Buna öyle diyebilir miyiz?

Ayşim Niksarlı  [00:38:56,536 – 00:44:16,716]

Tabii ki. Hatta bunların bir sertifikası da var. CEH diye geçiyor. Certified Ethical Hacker. C, E ve H harfleriyle. Bu eğitimi ve uygulamayı EC-Council adlı konsey sertifikalandırıyor. Ben de bu arada bu sertifikaya sahibim. Burada çünkü bizim karşı tarafın mentalitesini bilip nerede, nasıl ilerliyor, hangi adımlarla gidiyor, bunları bizim ondan önce öğrenip bilip onu ne noktada durdurabileceğimizi de hesaplayabiliyor olmamız lazım. Dolayısıyla da buradaki çalışmalar çok değerli. Hatta, birçok regülasyonda, özellikle de finans sektöründen örnekler verdiğiniz için oraya da parmak basmak isterim ki ben, kariyerimin çok büyük bir kısmında da finans sektöründe olduğum için. Finans, en regüle olmuş sektörlerden biri.

Bankalar için BDDK; ödeme sistemleri ve diğer finans kuruluşları için Türkiye Cumhuriyet Merkez Bankası; kripto varlık şirketleri ya da borsaya kote şirketler için SPK gibi otoriteler var. Havacılık gibi farklı sektörlerde de farklı otoriteler var. Ama bu otoritelerin, iletmiş olduğu, oluşturmuş olduğu düzenlemelere baktığınızda hepsinde mutlaka en az yılda bir kez bu bahsettiğim nitelikteki arkadaşların gerçekleştirmiş olduğu, yani, ethical hacker, beyaz şapkalı hacker’ların gerçekleştirmiş olduğu bir sızma testi, penetration test diye de geçer, sızma testinin bu kurumda yapılmış olmasını şart koşuyorlar. Hatta, bunu şart koşmanın ötesinde de bunun nasıl yapılacağını, burada tespit edilen bulguların nasıl sınıflandırılacağını, nasıl ele alınacağını, hangi formatta raporlanacağına kadar çok detaylı düzenlemeler mevcut bununla ilgili.

Yani, bu konuda, kurumun içerisinde veya kurumun içerisinde böyle bir kaynak ayırması mümkün değilse de dışarıdan hizmet alarak bunları zaten yaptırmak artık, regülasyonlara bağlı bir konu. İstekle sınırlı değil ama tabii regülasyonun olmadığı sektörler de bunları isteyerek, yaptırıyorlar. Çünkü bir hacker kapınızı çalmadan önce geldiğinde hangi kapıları açabileceğini sizin önceden görüyor olmanız gerekiyor. Bu çok değerli bir bilgi. Bunu yaptırmakla da iş bitmiyor zaten. Çıkan bulguları belli bir öncelik sırasıyla ele almak gerekiyor. Biraz önce sizin de vurguladığınız risk yönetimi siber güvenliğin çok büyük bir parçası. Her türlü kriz yönetiminde olduğu gibi. Riski biraz açmak istiyorum.

Biz çok kompleks formüller de kullanıyoruz ama en basit formülü söyleyecek olursam risk eşittir etki çarpı olasılık. Yani, biz şöyle bakıyoruz: bu olayın gerçekleşme olasılığı nedir? Gerçekleştiği durumda etkisi nedir? Bunları belli skalalarda çarpıp risk boyutunu ortaya çıkartıyoruz. Çünkü riski boyutlandırmak zorundayız. Yoksa bizim önümüzde onlarca, yüzlerce, binlerce aksiyon ihtiyacı varsa bunu neye göre sıraya dizeceğiz? Hepsini bir anda yapmak mümkün değil. Bunu belli bir öncelik sırasıyla ele almak durumundayız. Dolayısıyla da birtakım formülasyonlara sokmamız gerekiyor. Şimdi, örneğin yine, günlük hayatımızdan örnekler vereyim. Diyelim ki uçak kazası. Uçak kazası olasılık olarak baktığınızda, diğer, kara yolunda yaşanan trafik kazalarından daha düşük bir olasılıktır.

Formüle bağlayacağım. Ama bu olayın gerçekleşmesi halindeki etkisi çok yüksektir. Dolayısıyla burada baktığımızda, risk boyutuyla baktığımızda, belki de benzer noktalara geliyor oluyoruz. Çünkü yaşanırsa etkisi yüksek. Diğerinin de etkisi belki daha hafif atlatılabilir ama olasılığı çok yüksek. Birçok özellikle de bayram, seyran zamanlarında maalesef ki çok sürekli birtakım haberler alıyoruz. Dolayısıyla, yani, bu noktadan yola çıkarsak bir kere riski doğru sınıflandırmak, doğru önceliklendirmek. Ve etkisini düşünerek hangi sistemlere ne kadar etkisi olacağını da hesaba katarak, bu arkadaşlarımızın sızma testlerinin sonucunda çıkan, tespitleri, bulguları da buna göre ele alıp, bir takvimde toparlamamız gerekiyor. Kendi kurumlarımızda veya şu an danışmanlık verdiğimiz kurumlarda da görüyoruz.

Öyle bir konu var ki bunun yatırımı gerçekten çok ciddi boyutlarda. Belki o anda hemen, o büyük yatırımı bütçelemek çok mümkün değil. O zaman da ne yapacağız? Bu etkiyi daraltacak daha küçük önlemler alacağız ki yaşarsam da bu başıma geldiğinde daha hafif atlatayım mentalitesi. Siber güvenlik konuşuyoruz ama bunlar günlük hayatımızda da var. Algıda seçicilik oluyor biliyorsunuz, mesleki…

Yaprak Özer  [00:44:16,776 – 00:44:17,496]

Evet, evet.

Ayşim Niksarlı  [00:44:17,496 – 00:44:20,896]

Formasyon oluyor. Ben hayatımı böyle yaşıyorum açıkçası yıllardır.

Kriz anında müdahale ve kurumlar arası iletişim

Yaprak Özer  [00:44:20,936 – 00:44:33,116]

Yok, zaman kazanmak dediniz. Yani, mesela, bunun hiç öyle çok teknik bir şeyi yok. Söylediklerinize katkıda bulunmak için söylüyorum. Katmanlı güvenlik dediniz.

Ayşim Niksarlı  [00:44:33,336 – 00:44:33,436]

Hıhı.

Yaprak Özer  [00:44:33,436 – 00:44:49,996]

O risk ya da krizin olmamasını sağlayacak bir dünyada artık yaşamadığımızı ifade ettiniz. Olacak ama hiç olmazsa hem öngörmek hem durdurmak hem de zaman kazanmak galiba.

Ayşim Niksarlı  [00:44:50,236 – 00:44:50,456]

Evet.

Yaprak Özer  [00:44:50,456 – 00:45:13,976]

Diyelim ki madem böyle günlük hayata girdik, böyle bir şey oldu ve kurum gafil avlandı. Bir kurumdan söz edelim. Yani, böyle afaki senaryo öyle olsun. Ne yapmak lazım böyle bir durumda? Yani, bu bir iflas bayrağı da çekilebilir öyle kötüyse eğer. Ya da ne yapacak bu insanlar? Yani, bir yönetici ne yapmalı, ne yapar?

Ayşim Niksarlı  [00:45:14,796 – 00:45:19,056]

Ben bunu bir adım önden başlatmak istiyorum müsaadenizle, Yaprak Hanım.

Yaprak Özer  [00:45:19,436 – 00:45:19,536]

Lütfen.

Ayşim Niksarlı  [00:45:19,536 – 00:46:21,776]

Yönetici seviyesinde, C-level dediğimiz seviyede masaüstü egzersizler, tatbikatlar var. Bunu üst yönetimden başlayarak gerçekleştiriyoruz. Teknik boyutu da var. Olay yaşanmadan önce bir simülasyon dünyası yaratıyoruz.

Bu ne olabilir? Örneğin içeriye zararlı bir oltalama e-postası gelmiştir. Biraz önce bahsettiğimiz linke birileri tıklamıştır, içeriye bir zararlı girmiş ve yayılmıştır. Hatta dışarıya birtakım kritik müşteri bilgileri çıkarmıştır. Bunları simülasyon ortamında oluşturuyoruz. Sadece teknik yöneticilerle de değil; kurumun genel müdürü, genel müdür yardımcısı, kurumsal iletişim uzmanları ve yöneticileri, hukuk… Çünkü bunun hukuki boyutları da var malum.

Yaprak Özer  [00:46:21,796 – 00:46:22,456]

Tabii ki.

Ayşim Niksarlı  [00:46:22,736 – 00:49:00,396]

Türkiye’de Kişisel Verileri Koruma Kanunu 10 sene önce çıktı. Avrupa’da GDPR zaten çok daha öncesinden beri var. Bunların çeşitli bağlayıcı noktaları var. Örneğin, bir kişisel veri kaçağı yaşadığınızda 72 saat içerisinde kuruma bildirmek zorundasınız. Şeffaflıktan da siz söz ettiniz. Mesela, KVKK’nın gelmesi aslında çok ciddi bir şeffaflık da getirdi. KVKK sitesine baktığınızda açık bir şekilde hangi kurumun ne zaman ne yaşadığını, ne tür veriler kaçırdığını vesaire hepsini görüyorsunuz bu bildirim zorunluluğundan dolayı. Kişisel veri boyutuna baktığımızda, yaptırımlar anlamında çok ciddi para cezaları ve hapis cezasına kadar giden yaptırımlar söz konusu. Dolayısıyla biz bu tip senaryolarla olaylar yaşanmadan çalışıyoruz.

Burada şunu da çok iyi gözlemliyoruz. Yani, buradaki kriz yönetiminin çok büyük, önemli bir parçası iletişim. Bunu nasıl yürüttünüz? Vakti zamanında, ben henüz banka kariyerimdeyken Türkiye’de yabancı menşeli bir bankada sayı olarak çok ciddi miktarda kredi kartı ele geçirilmişti. Mesela, bu banka bu krizi çok iyi yönetti. Daha hiçbir müşterisinden şikâyet almadan ya da bu orada burada konuşulmaya başlamadan açık bir şekilde çıktı. “Biz böyle bir şey yaşadık.” dedi. Bütün müşterilerine bütün kartları gönderdi. Kendisi hemen bu aksiyonları planlayıp aldı. Yeni kartlar gitti, eskiler hemen iptal edildi ve bununla ilgili de bir güven verildi topluma da.

Çünkü bütün bu adımlar anlatıldı. Hiçbir zarara uğramayacağından müşteri müsterih oldu, eski ifadeyle söyleyecek olursam. Dolayısıyla da mesela, bu çok güzel bir kriz yönetim örneği oldu finans sektöründe. Bu neden oldu? Bu banka zaten global bir banka; eminim ki bunun egzersizini yapmıştır: Bu olduğunda ne yapacağım, kamuya nasıl bir açıklama yapacağım? Buradaki genel müdürün duruşu nasıl olacak? Diğer ekipler nasıl organize olacaklar? Bunların hepsi çok önceden, egzersiz edildiği için mutlaka ki bunlar bu kadar rahat bir şekilde yürütüldü. Sizin sorunuza gelecek olursam yine o bir adım geri gitmiştik, ileri gidelim. Velev ki böyle bir şey yaşandı.

Biraz eski terimleri de kullanayım; seviyorum çünkü.

Yaprak Özer  [00:49:00,596 – 00:49:03,096]

Ben de seviyorum bazılarını çok güzel.

Ayşim Niksarlı  [00:49:03,096 – 00:49:56,576]

Karşılıklarını bulamıyorum. Velev ki böyle bir şey yaşandı. Bu noktada da ne yapacağız? Bir kere en önce bizim böyle bir olay yaşadığımızda, o sistemi, ilk hangi sistemde bunu gördüysek o sistemi izole etmemiz lazım. Bir de şöyle bir şey yaşanıyor, panik durumu yaşanıyor. Hemen bu sistemi kapatalım, hemen, silelim, edelim, başka yerlere gitmesin. Ama o zaman şu eksik kalıyor. Bir kere bizim için şu çok önemli. Bu saldırganların nasıl ilerlediğine dair birtakım framework’ler var. Yani, bunların, attığı her bir adımın içerisinde o adımda neler yaptıklarına dair bizim ön bilgi aldığımız birtakım adım atma yöntemleri var, metodolojileri var diyeyim.

Yaprak Özer  [00:49:56,576 – 00:49:56,836]

Evet.

Ayşim Niksarlı  [00:49:56,836 – 00:49:58,036]

O metodolojiye göre…

Yaprak Özer  [00:49:58,056 – 00:50:01,996]

Patikalar. Hangisini, evet, izliyorlar?

Ayşim Niksarlı  [00:50:02,376 – 00:51:06,896]

Evet, o patikaları bizim doğru keşfedebilmemiz için bu sistemleri kapatalım, silelim değil de çünkü kapattığınızda örneğin, bilgisayarın hafızasında yer alan izleri silmiş oluyoruz. Çünkü o sistem açık kalacak ki memorisinde, hafızasında da belli bilgiler var. Onlara da ihtiyacımız var. Veya diskinde belli dosyaların üzerinde bıraktığı izler var. Onlara da ihtiyacımız var. O yüzden onu, kapatmak değil ama ağımızın içerisinden kablosu, yani, power kablosunu, elektrik kablosunu değil, ağa bağlandığı kabloyu çekmemiz ve onu izole etmemiz en birinci adım. Çünkü biz buradan nereye varmaya çalışıyoruz? Bu sistemdeki hareketleri analiz ettiğimizde, ki bunun adı da bu da bir profesyonel iş kolu, adli analiz diye geçiyor bu.

Burada bazen emniyet kolluk kuvvetleriyle birlikte çalıştığımız noktalar oluyor bizlerin de, firmalarda, kuruluşlarda. Çünkü konu biraz daha, emniyet güçlerinin içerisinde de bu konuya odaklı…

Yaprak Özer  [00:51:07,076 – 00:51:07,856]

Anladım.

Ayşim Niksarlı  [00:51:07,876 – 00:53:59,936]

Sistemler var, bu konuda eğitimli kişiler var. Onlarla birlikte ilerlemek gerekiyor. Zaten belli, örneğin, diyelim ki bir saldırı tespit ettiniz. Bununla ilgili o IP adresinin arkasındaki kişileri bulabilmek için gidip savcılıktan bir kâğıt alarak operatöre başvurup “Bu kim tarafından kullanılmış?” diye öğrenmeniz gerekiyor. Yani, bunun birçok noktası var tabii. Dolayısıyla da biz oradaki bütün izleri ne kadar iyi kullanabilirsek bu olayın adli analizinde geriye dönük tarihçesini çıkartıyoruz ve nereden başlamış, nereye doğru gitmiş, başka bir yerlere sıçramış mı? Bunlara doğru gidebilmemiz için bizim o bilgilerin tamamına ihtiyacımız var. Tabii ki sıçradığı noktaları da tespit ettikçe oraları da yine bir yandan temizleyip bir yandan da yani, önce izole edip tabii, sonra temizleyip ilerlemeye çalışıyoruz.

Tabii burada şeyler çok önemli. Bir kere, bizim bütün bunlar olmadan önce çeşitli sistemlerden topladığımız, kayıtlar var. Her bir sistemin üzerine kurduğumuz birtakım ajanlarla bunlardan, bilgiler topluyoruz ve bu bilgileri değerlendirip anormal durumları bize alarm ile bildirecek birtakım kurallar oluşturuyoruz sistemlerin üzerinde. Yani, bu mesela, bankalarda, bu tür BT sistemlerinin dışında, fraud mekanizmaları için de bu tür kurallar, kullanılıyor. Çünkü fraud bankaların çok ciddi, yani, mücadele ettiği alanlardan bir tanesidir. Bu kuralların sürekli geliştirilmesi, hatta artık, algoritmalar geliştiriyoruz yapay zekâ ile birlikte, makine öğrenmesiyle birlikte farklı boyutlara doğru taşındı buradaki, kuralların da güncellenmesi. Bu kurallardan gelen alarmların izlenmesi çok önemli.

Buradan yine biraz daha şeye doğru gideceğim ama sonra tekrar buraya geri geleceğim. Çünkü “Ne yapsın kurum?” dediğinize geleceğim. Mesela, burada da ulusal düzeyde de tabii sadece, şey de değil, kurumun kendi sistemlerini izlemesinin ötesinde aslında burada yine bütün bu mekanizmalar, Siber Güvenlik Başkanlığının altında toplanmış oldu son, dönemdeki gelişmelerle. Ama bunu ulusal düzeyde yapan USOM onun bir altında sektörel SOME, bu kısaltmaları açacağım hemen. Sonra da kurumların kendi SOME’leri. SOME’nin anlamı şu: Siber Olaylara Müdahale Ekibi. USOM bunu ulusal düzeyde izliyor. Sektörel SOME’lere gelince, örneğin finans sektörünün sektörel SOME’si BDDK. Bunun gibi diğer sektörler için de her biri var.

Örneğin USOM, bu iletişim zincirinin öneminden de bahsediyoruz. Siz orada da…

Yaprak Özer  [00:54:00,016 – 00:54:04,656]

Harikulade. Yok. Çok büyük bir aydınlanma ve farkındalık yaratıyorsunuz. Buyurun.

Ayşim Niksarlı  [00:54:04,656 – 00:54:08,816]

Yani o kadar kopuk değil, onu söylemek için söylüyorum.

Yaprak Özer  [00:54:08,856 – 00:54:09,256]

Çok güzel.

Ayşim Niksarlı  [00:54:09,456 – 00:56:50,620]

Burada USOM’dan sektörel SOME’ye, sektörel SOME’den kurumun SOME’sine iletişim geliyor. Bulunduğum bankalarda bu SOME’yi yöneten kişiydim. Doğrudan bize, yani, biz zaten kendi sistemlerimizde tespit ediyoruz ama yukarıdan bize doğru da “Sizin sistemlerinizde de şöyle, saldırı girişimleri.” diyeyim. Yani, burada, “girişim” kelimesinin altını çiziyorum. Çünkü saldırının olup da bir olayın gerçekleşmesi başka bir şey. Girişim demek o saldırı yapılmış ama durdurulmuş. Biz zaten kendi sistemlerimizde görüyoruz. Zaten sürekli saldırı olması normal bir durum, beklediğimiz bir durum. Önemli olan bizim onu durdurabiliyor olmamız, bu kabiliyeti geliştirmiş olmamız. Bunları da hem sürekli sistemlerdeki o kuralları güncelleyerek hem de sürekli izleyip yeni ne yapmamız gerektiğine dair, adımlar atarak gerçekleştiriyoruz.

Mesela, bize oradan, geliyordu zaten. “Şöyle bir şey gördük.” Biz ona “Evet, biz bunu şu tarihte tespit ettik. Bununla ilgili şöyle adımlar attık.” deyip geri cevap, gönderiyorduk. Dolayısıyla bu kanal da açıktı demek istiyorum. Şimdi daha da şeyin içerisinde, başkanlığın içerisinde daha da iç içe çalışan, yapılar hâline gelmiş oldu. Burada çünkü hep, bir zincir. Yani, bunu mutlaka yukarıdan aşağıya, yani, ulusal boyuttan kurum ve kurumların içerisindeki ekipler boyutuna doğru getirmemiz gerekiyor. Yine tekrar şeye dönecek olursak burada kurum ne yapsın başına böyle bir şey geldiğinde? Yani, burada bir kere mutlaka bunun tatbikatlarını yapsın. Bu olduğunda neler olacak?

Tabii burada da her bir senaryo için ayrı ayrı çalışmak gerekiyor. Örneğin, içeriye bir zararlı yazılım saldırısı olursa… Hangi adımları takip edeceğim? Veri kaçağı olursa neler yapacağım? Çünkü veri kaçağı dediğimizde burada direkt hukuk birimleri giriyor, KVKK kurulu giriyor. Her senaryonun farklı dinamikleri, farklı paydaşları ve karşı kurumları var. O yüzden bunların hepsini çeşitlendirerek, bunlara hazırlıklı olmak, bunların ön planlarını yapmak, önemli. Başımıza geldiğinde etkisini olabildiğince küçültmeye çalışmak önemli. Yani, onu da sistem izolasyon dedik, bilgilendirmeler dedik. Bazı şeyleri önden haber vermek halka da olabilir, kurum içerisindeki iletişimle de olabilir. Şifrelerin değiştirilmesi, kart örneğini de verdik.

Mesela, bunlar senaryodan senaryoya çok değişecek şeyler. Yeni kart basımı buna bir örnek gibi. Senaryoya göre de bunun önlemlerini…

Yapay zekâ ve saldırıların hızlanması

Yaprak Özer  [00:56:50,780 – 00:58:31,440]

Ama her durum kendi içinde özel tabii ki. Siz onu ifade etmeye çalışıyorsunuz. Sizi dinlerken gönül istiyor ki bütün iş dünyası bu şekilde olsun. Çok sofistike, daha doğrusu olması gereken bir dünyayı, olduğu kısmıyla ifade ettiniz. Bunları pek çoğumuz bilmiyor. Kurulmuş kurullar, kurumlar ve önleyici mekanizmalar…

Bütün bunlardan yola çıkarak şunu sormak istiyorum; belki biraz da toparlamış oluruz. Son 10 gün, son bir ay diyelim, daha önce hiç yaşamadığımız kadar güvenlik saldırısı yağmuru altındayız. Bunun adı da dijital güvenlik olsun, diğer güvenlik konularıyla karışmasın. Neden şimdi oluyorlar? Bununla ilgili bir görüşünüz var mı?

İkinci olarak, sizi kesmemek için bir başka soru daha sorayım. Türkiye’nin bu siber güvenlik, dijital güvenlik ekosisteminde bir karnesi olsa notu ne olurdu? Avrupa Birliği standartlarında mıyız? Bunlardan çok uzakta mıyız? Böyle bir şeyden söz edilebilir mi? Orada da fikir sahibi olmak istiyorum. Daha fazla uzatmadan size bırakayım.

Ayşim Niksarlı  [00:58:32,120 – 00:59:57,980]

Estağfurullah. Şimdi, bunlar, niye bu kadar arttı? Bir kere oradan başlayayım. Sorunuzun ilk başlangıcı o şekildeydi. Bunlar aslında hep vardı. Yani, bir güç, dengesiyle ilgili bir konu. Bir noktada, paranın gücü, ulusal anlamda bir güç, kaynakları ele geçirmek. Bunlar, tabii bunların arkasında, petrol kaynakları, elektrik vesaire bir sürü şey. Bunlar, tabii ki motivasyonlar zaten belli. Fakat bunlar niye bu kadar arttı? Bana göre sorarsanız yapay zekâ burada çok ciddi bir enstrüman oldu bir anlamda kötü niyetliler için de. Tabii ki saldırılar için olduğu gibi savunma tarafında da yapay zekâyı çok ciddi boyutlarda kullanıyoruz. Bizim de hem ürün portföyümüzde çok ciddi, bu konuda yapay zekâ destekli ürünler var hem de bir taraftan biz hizmetlerimizde de bu yapay zekânın yönetişimiyle de ilgili çok detaylı çalışmalar gerçekleştiriyoruz.

Hem stratejik hem operasyonel hem de teknik boyutlarıyla ele alıyoruz konuyu. Şimdi, tabii, yapay zekâ gerçekten işin dengesini çok farklı boyutlara getirdi. Burada, bir kere ben, mesela, çok somut size şeyden örnek vereyim: bir zafiyet yönetimi süreci vardır güvenlikte, en önemli. Biraz önce biraz bahsettik aslında bu işi.

Yaprak Özer  [00:59:57,980 – 00:59:58,560]

Evet.

Ayşim Niksarlı  [00:59:58,560 – 01:00:20,900]

Etik hackerlardan bahsettik, birtakım sızma testlerinden bahsettik. Zaten sızma testinin temeli odur. Yani, zafiyeti ilk önce, bulmaya çalışırlar. Ürünlerde sürekli yama yönetimi dediğimiz bir süreç var. Sürekli yamalar geliyor. Bunu aslında çok rahat söylüyorum çünkü telefonlarımızda da sürekli, mesela, güncellemeler geliyor. Yeni sürüm…

Yaprak Özer  [01:00:20,960 – 01:00:21,160]

Evet.

Ayşim Niksarlı  [01:00:21,160 – 01:04:00,148]

Güncelleme yapmamız gerekiyor. Bunun içerisinde güvenlikle ilgili de yamalar gelmiş oluyor. Bu anons edilen yamaların sistemlere zamanında geçilmemesi kaynaklı zaten en çok buradan gol yiyoruz maalesef ki. Bir anlamda bile bile oluyor; ya da konfigürasyon eksiklikleri nedeniyle. Ama tabii sadece bu kadar değil. Burada bir de sıfır gün atakları dediğimiz bir başka atak türü de var. Bu da şu demek oluyor: Yani, daha, üreticisi dahi bilmiyor böyle bir açıklık olduğunu, zafiyet olduğunu. Ama bunu saldırgan keşfetmiş, ve bilmediği için bununla ilgili nasıl güncelleme yapacağını da henüz yayınlamamış üreticisi ve dolayısıyla sistemlerde bu açıklıkla yaşıyoruz o sırada.

Ve bir anlamda, orada zayıf karnımız durumunda. Yani, bildiğimizin ötesinde bir bilmediklerimiz de var. Dolayısıyla bu zafiyetlerin yönetimiyle ilgili süreçlerin kritikliği ortaya çıkıyor. Ama ben bunu şeye bağlayacağım, yapay zekânın gelişimiyle ilgili olan bir konuya bağlayacağım. Şimdi, mesela, 2021 yılında yaklaşık 20 bin tane yeni zafiyet açıklanıyordu. Bunlar CVE diye geçiyor ama önemli değil, güvenlik zafiyeti diyelim biz bunlara. Teknik terimler önemli değil şu an. Konuyu doğru bir biçimde aktarmaya çalışıyoruz. 2024 yılında bu sayı 40 bin seviyesini aştı. İki katını aştı, yani. Yani, birkaç yıl içinde bu iki katını aştı diyoruz. Ama daha da önemlisi, mesela, 2024 yılına baktığımızda, bu zafiyet sayısı önceki yıla göre yaklaşık %20 arttı.

Hatta şimdi… Orada öyle bir eğri var ki… Normalde şöyle gitmesi bile kötüdür ama şöyle gidiyor. Yani, biz buna “eksponansiyel artış” diyoruz. Zafiyetlerin sayısı eksponansiyel bir artışla yükseliyor ve daha da yükselecek. Çünkü artık, böyle insanların oturup bunları, “Acaba hangi port açık, hangi sistemi yamalamamış, nerede bir eksiği var?” diye insan gücü uğraşmıyor. Bununla artık yapay zekâ uğraşıyor. Binlerce makinenin üzerindeki ajan bu saldırıları anında milyonlarca gerçekleştirip neler olduğunu dakikalar içerisinde raporluyor. “Zero day” diye bahsettiğim konuya da bunun için değinmiştim. Bu daha üreticisinin dahi bilmediği saldırıları dahi gerçekleştiriyor. Yakın zamanda yapay zekânın, ajanların gelişimiyle ilgili böyle bir şey de yaşadık.

İçeride saldırı konusunda çalıştırılan bir ajan, başka bir ajanla konuşup kendi kendilerine farklı bir yere saldırı düzenlediler. Keşfe yönelik, kendi yaptıkları işi geliştirmek için devam edip konuyu gerçekten zarar noktasına getirdiler. Yani, yapay zekânın dur durağı yok. Bir de bunu üstelik saldırganın elinde kullanıldığını düşündüğünüzde olay çok daha farklı boyutlara, geliyor. Dolayısıyla motivasyonlar belli. Bu motivasyonlara hizmet eden araçlar yapay zekâyla birlikte çok daha sofistike ve çok hızlı sonuç alır hâle geldi. Dedik ya, biz yavaşlatmaya çalışıyoruz saldırganı…

Yaprak Özer  [01:04:00,148 – 01:04:00,588]

Evet.

Ayşim Niksarlı  [01:04:00,588 – 01:04:23,128]

Artık bir insan saldırgan değil, karşımıza yapay zekâ ajanıyla gelen bir saldırgan olduğu için, artık oradaki hız da maalesef ki bizim de saldırı sistemlerimizi aynı hıza uyumlandırmamız, yapay zekâyla yine besleyerek gerekiyor. Yani, bu artık insan insana yapılacak bir saldırı ve savunma noktasından çok uzağa geldi.

Türkiye ve sektörlerin siber güvenlik karnesi

Yaprak Özer  [01:04:23,908 – 01:04:40,208]

Çok enteresan. Sizi bir teknoloji filmi izlercesine dinledim. Anlattıklarınızı gözümün önünden geçirmeye gayret ettim. Anlaşılması kolay değil.

Ayşim Niksarlı  [01:04:40,788 – 01:04:40,788]

Hıhı.

Yaprak Özer  [01:04:40,788 – 01:04:51,768]

Anlaşılmasını kolaylaştırmayı görevimiz olarak belirlemek istiyorum. Ama ikinci soruma yanıt vermediniz. Türkiye’nin bir karnesi olsa…

Ayşim Niksarlı  [01:04:51,968 – 01:04:52,548]

Ha, pardon.

Yaprak Özer  [01:04:52,548 – 01:06:04,268]

Ne olurdu? Onu merak ediyorum. Burada bir liste ya da kategorizasyon var mı? Şundan korkuyorum: Bunlar daha küçük bir grubun ulaştığı bilgiler, olanaklar, önlemler, yöntemler ise çok açık var.

Biliyorum ki küçük ve orta ölçekli firmalar, özellikle son yıllarda yaşanılan krizlerle… Bu, kurumlar ve bireyler için ekonomik bir seferberlik gerektiriyor. Zafiyet dediniz madem, Türkiye’nin doğal zafiyetleri var. Yalnızca eğitimsizlik de değil. Acaba tahmin ettiğim gibi mi, yoksa “Türkiye daha zayıf bir noktadadır” düşüncesi kafamdaki efsanelerden biri mi? Onu da anlamak, öğrenmek isterim.

Ayşim Niksarlı  [01:06:04,828 – 01:10:15,400]

Türkiye, yurt dışıyla karşılaştırmak gerekirse birçok konuyu regülasyonlarıyla doğrudan adapte ediyor. Bazen arada biraz zaman geçiyor ama çok ciddi boyutlarda olmuyor. Örneğin, somut örneklerle gitmek gerekirse, GDPR’dan yola çıkarak KVKK gelmiş oldu. Şimdi, mesela, bugünlere baktığımızda yapay zekâyı konuşuyoruz. Artık burada yine Avrupa’daki AI Act’i baz alacak birtakım çalışmalar gerçekleştiriliyor bunun regülasyona dayalı zeminini oluşturmak üzere. Yani, burada birçok şey Türkiye’ye de gelmiş oluyor. Tabii ki yaşanan iyi pratikler de uyarlanmış oluyor. Karne tarafına bakacak olursak da aslında bizim, yine hem ürün portföyümüzde hem hizmet portföyümüzde bu karneleri oluşturan bir platform var kullandığımız. Biz bunları ülkelerden ziyade tabii şey bazlı oluşturuyoruz, domain bazlı.

Yani, domain derken şunu kastediyorum: örneğin, www diyelim, indeksiletisim.com dediğinizde bu bir domain adı olarak geçiyor. Her bir domain için biz bir karne oluşturabiliyoruz. Bu domain’den bahsederken de sadece, yani, genelde kurumlar tabii ki bu domain’leri satın almış oluyorlar ve kurumların alt domain’leri de oluyor. Bunları da kapsayacak şekilde aslında kurumun, şöyle demek daha doğru: kurumun internet dünyasındaki bütün ayak izini çıkartıp bu ayak izinden yola çıkarak da bir siber karne oluşturuyoruz. Tabii ki bu platformla birlikte. Bu nasıl yapılıyor? O ayak izinin içerisinde bulunan IP adresleri, domain’ler ve alt domain’ler ayak izinin, dijital ayak izinin bütününü oluşturuyor aslında.

Bunların her birindeki tespitlerden yola çıkarak bu karne oluşuyor. Örneğin, buralarda hangi yapılarda hangi zafiyetler var, eksiklikler var? Uygulama güvenliği, ağ güvenliği, yamalama sıklığı, sosyal mühendislik alanları veya “hacker chatter” dediğimiz, hacker’ların kendi aralarında sizin kurumunuzu hedef alan bir şey konuşup konuşmadıkları… Bütün bu bilgilerden yola çıkılıyor. Tespitlerin risklerine ve olay gerçekleşirse yaratacağı etkiye göre sınıflandırıldığı hesaplama mekanizmaları var. Biraz önce basit formülünü söylemiştik ama bunlar çok daha algoritmik hesaplarla yapılıyor. Ve bu skorlar bu mekanizmalardan geçilerek oluşturuluyor. Farklı ağırlıklar var. Orada riskin yüksek olmasının farklı getirdiği ağırlık var veya o açıklığın etkileyebileceği sistemlerin getirdiği farklı ağırlıklar var.

Bu hesaplar yapılıp bir skor oluşturuluyor. Yani, gözlemlediğimiz… Biz mesela Forcerta olarak da aylık düzende her ay başka bir sektörü ele alıp Türkiye bazlı yapıyoruz biz bunu. O sektörde adı geçen, yani adı duyulmuş, bilinen ama tabii ki hiçbir firmanın adını anons etmeden alıp 10 tane, 15 tane, o sektörün büyüklüğüne göre bir sektörel siber güvenlik karnesini oluşturuyoruz sektörün. Ve buradaki biraz önce bahsettiğimiz alanların hangilerinde daha çok önlem almak gerekiyor, bunu kabaca ortaya koyuyoruz ki aslında çünkü her bir sektörün farklı dinamikleri var. Dolayısıyla da bu bize genel bir fikir de veriyor ama…

Yaprak Özer  [01:10:15,420 – 01:10:16,800]

Ne veriyor? Bu fikir ne?

Ayşim Niksarlı  [01:10:17,840 – 01:13:09,700]

Türkiye için çok farklı bir tablo yok. Özetle onu söyleyeyim. “Türkiye olarak biz çok gerideyiz.” gibi bir söylem böyle bir karamsar tablo çizmenin gerçekçi bir tarafı yok. Bu konu özellikle sektörel bazda oluyor. Orada şunu görüyoruz: İster Türkiye olsun ister globalde baktığımızda olsun, her zaman ve her zaman regüle sektörler skor ve karne açısından çok daha iyi durumdalar. Çünkü onlar da zaten hedef alındıkları ve zaten bu hedef dolayısıyla da daha ulusal ve kamusal düzeyde de birtakım düzenlemelerin olması dolayısıyla… Ve bu düzenlemeler düzenlemeyle de kalmıyor. Bağımsız denetçiler gidip her yıl mutlaka ki bunları, bu kurumları denetliyorlar.

Ben de o kurumlarda çalışırken bu tespitleri yönetim kuruluna kadar raporluyordum. Yani, dışarıdan bağımsız bir denetçi geldiğinde bunların tespit ettiklerini veya bahsettiğim bir sızma testi yaptırdığımızda onların bulgularını biz yönetim kuruluna kadar raporluyoruz ve yönetim kurulundan bunların yatırımlarıyla, öncelikleriyle ilgili onaylar ve bilgilendirmeler doğrultusunda yıllık güvenlik, siber güvenlik planımızı ve bütçemizi çıkartıyoruz. Onun da bir parçası oluyor daha doğrusu. Tek bir parçası değil tabii. Bunun yanı sıra teknolojik gelişmeler, dinamikler vesaire birçok parametresi var ama bu da önemli bir parçası. Ve bu kadarla da kalmıyor. Bunlar yönetim kuruluna raporlanıyor ve dijital imzayla sisteme yükleniyor. Sektörel SOME’lerden bahsettik.

Örneğin, BDDK’nın BADESS sistemine, bankalar için söylüyorum, bunların hepsinin raporları yükleniyor. Bu bulguların hepsi ulusal düzeyde de takip altında. Hangi kurumda ne tür açıklıklar var ve bunlar hangi zaman hedefleriyle ne düzeyde kapatılacak? Yani, burada çok ciddi uçtan uca bilgilendirme mekanizmaları var. Dolayısıyla oraya geleceğim. Regüle olmayan sektörler maalesef ki bütçeyle boğuşmak durumunda kalıyorlar. Çünkü regüle sektörde belli bir güç, belli bir bütçe, buna ayrılmış insan kaynağı ve para kaynağı var. Organizasyonel yapılanma var. Orada da biraz bizim gibi danışmanlık firmaları biraz daha bu konuda kendi kaynaklarını barındıramayan ya da buna kaynak ayıramayan firmalara verdiğimiz hizmetlerle biraz daha şey getirerek, onlara da know-how transferi de yaparak, bütün bu çalışmaları yaparken bu bilgileri de onlara aktararak…

Yaprak Özer  [01:13:09,740 – 01:13:11,500]

Güvenli alanlar çekiyorsunuz.

Ayşim Niksarlı  [01:13:11,580 – 01:13:12,340]

Evet.

Yaprak Özer  [01:13:12,380 – 01:13:46,540]

Evet. Ayşim Niksarlı, çok teşekkür ederim. Gerçekten önemli, yani birbirinden önemli konulara böyle zincirleme bir giriş çıkış yaptık. Bu sanki ne diyeyim, MBA’de bir şey dersi gibi oldu, siber güvenlik dersi girişi oldu tabii ki. Bunun daha çok alanda, daha derine ve daha farklı bölümlere ayrılarak anlatılması gerekir. Ama böyle olacak. Ben çok faydalandım. Çok teşekkür ediyorum.

Kripto varlıklar ve kuantum riski

Ayşim Niksarlı  [01:13:46,820 – 01:13:53,520]

Rica ederim. Ben süremizi de aştığımızın farkındayım ama kapatmadan çok önemli bir noktaya daha temas etmek istiyorum.

Yaprak Özer  [01:13:53,520 – 01:13:54,080]

Tabii ki.

Ayşim Niksarlı  [01:13:54,576 – 01:13:58,456]

Gelecekle ilgili olduğu için şimdiden bunu da gündeme taşımakta fayda var.

Yaprak Özer  [01:13:58,456 – 01:14:00,836]

Hayır diyemem, hayır diyemem. Buyurun.

Ayşim Niksarlı  [01:14:01,296 – 01:17:46,816]

Evet, yani, siz de bahsettiniz, kripto ekosisteminde de çok ciddi olaylar var. Geçen seneye baktığımızda, Şubat 2025’te Bybit kripto para borsasının 1,46 milyar dolarlık bir konusu vardı. Ama söylediğiniz gibi Binance bunu çok yakın zamanda, hem de ulusal bayramımız 29 Ekim’de yaşadı. 6,3 milyar dolar gibi bir toplam maliyet açıklandı. Neyse ki bunun bir bölümü, 2,84 milyar doları, yaklaşık 3 milyar dolarlık kısmı durduruldu. Ama kalanları da kendilerinin direkt ödeyeceklerini, zaten garantisini verdiler, duyurularını yaptılar. Maalesef bütün bunlar 40 dakikada, gözlerinin önünde oldu. Oradaki ekipler, ilk bir milyar dolarlık kısmı gerçekleştiğinde, Abu Dabi’de saat 23.20’de farkına vardılar.

Ve izlemeye başladılar. Hemen üst yönetimi zaten bilgilendirdiler. Kriz yönetimi dediğimiz olayın tam olarak işlediği bu durumda 100 çalışandan oluşan bir kriz masası kurdular ve hemen, yakın izlemeyle, özellikle de birtakım cüzdanları kara listeye alma ve parayı dondurma yetkisi taşıyan kurumlara zaten hemen başvurularını yaparak bu 2,84 milyar dolarlık, 3 milyar dolara yakın kısmı durdurdular. Bu çok ciddi bir şeydi. Türkiye’de kripto dünyasında bununla ilgili, özellikle SPK’nın regülasyonları doğrultusunda çok ciddi önlemler alınıyor, adımlar atılıyor. Burada da yapılan çalışmalar var Türkiye’de. Ama ben asıl söyleyeceğim o değildi. Kriptolojiden konuya girince şunu söylemek istiyorum. Yani, önümüzdeki en büyük tehdit de kuantum teknolojisi.

Süremiz biraz uzamış olmakla beraber bundan da söz etmeden geçmek istemiyorum. Burada çünkü aslında şu anda, uzun vade için en çok bu başlığı konuşuyoruz. Yani, bütün sektörler için, özellikle de bankacılık, finans vesaire böyle regüle sektörler için çok konuştuğumuz bir alan. Çünkü şu anda kuantum bilgisayarları bugünkü şifreleme sistemlerini kırabilecek seviyede değiller. Ama bu risk bugünden başlıyor. Neden bugünden başlıyor? Çünkü yine, burada çok önemli bir yaklaşım var, altını çizmemiz gereken. Bugün topla, yarın çöz. Neyi topluyorlar? Bilgileri topluyor, şifrelenmiş bilgileri topluyorlar. Bugün o şifrelenmiş bilgileri bugünün teknolojisiyle çözemeyecekleri bir gerçek olsa da bu teknolojinin çok bariz ilerlediği noktalarda bunlar çözülebilir hâle gelecekler.

O yüzden, bunların bugün çözülememesi demek gelecekte çözülemeyeceği anlamına gelmiyor. Çünkü uzun yıllar gizli kalması gereken, savunma sektörü, sağlık, finans, kritik altyapı verileri için bu çok ciddi bir tehdit oluşturuyor. “NIST nedir?” dediğimizde, National Institute of Standards and Technology, Amerika’daki Ticaret Bakanlığı’na bağlı bir kuruluş. Ulusal Standartlar ve Teknoloji Enstitüsü diye Türkçeleştirebiliriz. Bu kuruluş 2024 yılında post-kuantum kriptografi standartlarını yayımladı ve kurumların bugünden geçiş hazırlıklarına başlamasını önerdi. Yani, bunu da daha proaktif bir şey için ve de şimdiden farkındalığını yaratmak için bu konudan bahsetmeden geçmek istemedim.

Yaprak Özer  [01:17:46,836 – 01:17:47,216]

Ne kadar doğru.

Ayşim Niksarlı  [01:17:47,216 – 01:19:08,876]

Gerçekten bugünden başlamamız gerekiyor bunun da hazırlıklarına. Yarın çok geç. Bunun standartları belirlendi. Elimizde guideline’ları var. Buna yönelik birtakım yapılar zaten bankalarda ve regüle sektörlerde başladı. Ama bu konuda da bir farkındalık yaratmamızın önemli olduğunu düşünüyorum. Yani, kapanış, mesajımızda da şunu söylemek istiyorum: Bu bulunduğumuz yüzyılda artık ülkelerin sınırları sadece siz de bahsettiniz, yani, karada, denizde, havada korumamız mümkün değil. Burada dijital dünyada da korumamız gerekiyor ve siber güvenlik artık teknoloji yatırımının ötesinde ekonomik istikrarımız için, toplumsal güvenliğimiz için ve ulusal egemenliğimiz için yine, temel unsurlardan biri hâline gelmiş durumda. Dolayısıyla zaten bu ulusal globalde de birçok platformda, NATO’dan tutun, Birleşmiş Milletler’e kadar, G20 zirvelerine kadar, Türkiye’de bölgesel etkinliklerde çok ciddi noktalarda üst düzeylerde konuşulan bir konu hâlinde.

Bu konuda, önlemlerimizi almak, hazırlıklı olmak, neler yapabileceğimizi araştırmak, kendi kaynaklarımız yoksa bu konuda, belli noktalardan, güvenilir kaynaklardan destek almak, gerçekten çok kritik.

Kapanış

Yaprak Özer  [01:19:09,896 – 01:20:03,516]

Çok teşekkür ederim. Kuantum konusunda sizinle bir kere daha, biraz sindirdikten sonra konuşmak isterim. “Bugün önlem alınmazsa yarın çok geç olacak” dediniz. Sınırların kara, hava, deniz olarak değil, dijital olarak korunması yalnızca ülkeler için değil, kurumlar için de gerekli. Çok açıkça bireylerin de kendi sınırlarını iyi koruması gerektiği kanaatindeyim.

Bunu henüz konuşmuyoruz. Belki bu mevzuyu vatandaşlık bilinciyle bir araya getiririz. Sizinle ayrıca tartışmak, bilgilerinizden ve deneyimlerinizden yararlanarak biraz daha fütüristik bir yaklaşımla konuyu ele almak isterim. Şimdiden ileriye dönük programımızın çerçevesini çizdiğimizi görüyorum.

Yaprak Özer  [01:20:04,656 – 01:20:27,236]

Ağzınıza sağlık. Ben, tekrar 10 Kasım Atatürk’ü anmanın, daha güzel bir yolunun da olmayacağını düşünüyorum. Bilimle, teknolojiyle, bilgiyle, datayla aydınlattığınız için teşekkür ederim Ayşim Niksarlı. Sağ olun, var olun. Görüşmek dileğiyle kısa zamanda.

Ayşim Niksarlı  [01:20:27,236 – 01:20:28,156]

Görüşmek üzere.

Yaprak Özer  [01:20:28,156 – 01:20:29,856]

Sizden öpücük, sağ olun.

Ayşim Niksarlı  [01:20:29,856 – 01:20:30,316]

İyi günler dilerim.